CRA en octubre de 2026: las notificaciones a ENISA ya son obligatorias

El Reglamento (UE) 2024/2847, conocido como CRA, ha dejado de ser una norma futura para convertirse en una realidad operativa. Tras su entrada en vigor en noviembre de 2024, el calendario de aplicación ha llegado a su primer hito crítico: la activación de las obligaciones de notificación. Para los profesionales de la ciberseguridad, esto marca el fin del periodo de preparación teórica y el inicio de la responsabilidad legal directa sobre la gestión de vulnerabilidades.

A diferencia de normativas anteriores que se centraban en sectores específicos, el CRA tiene un alcance horizontal sin precedentes. Abarca desde routers domésticos hasta sistemas industriales críticos, exigiendo que la seguridad se integre desde el diseño. Este enfoque busca resolver el problema de los productos que llegan al mercado con vulnerabilidades generalizadas y sin garantías de soporte a largo plazo.

Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales están obligados a notificar de forma simultánea al CSIRT nacional designado como coordinador y a ENISA. Esta obligación se activa ante dos escenarios concretos: la detección de una vulnerabilidad que esté siendo explotada activamente y la ocurrencia de un incidente grave que afecte a la seguridad del producto.

Esta notificación no es opcional ni puede delegarse en terceros sin supervisión. El reglamento establece que la recepción de estas notificaciones es una obligación legal ineludible para el fabricante, independientemente de si el producto es de hardware, software o una combinación de ambos. La falta de cumplimiento puede derivar en sanciones significativas, ya que se trata de una de las primeras normas vinculantes del marco europeo de ciberseguridad de productos.

Aunque las notificaciones ya son obligatorias, el cumplimiento integral del CRA no llega hasta el 11 de diciembre de 2027. Entre estas dos fechas, los fabricantes deben preparar el resto de sus procesos de ciclo de vida. Esto incluye la generación de SBOM (Software Bill of Materials), la firma de actualizaciones y la evaluación de conformidad para productos de alta criticidad.

Un hito intermedio relevante es el 11 de junio de 2026, fecha desde la cual el régimen para los organismos de evaluación de la conformidad es aplicable. Esto significa que las empresas que fabrican productos de la clase de riesgo más alto ya deben estar interactuando con organismos notificados para obtener el marcado CE de ciberseguridad, un requisito previo a la comercialización en la UE.

Para las pymes, el CRA representa un desafío de recursos. La orientación de la Comisión Europea, aprobada en julio de 2026, busca facilitar el cumplimiento para estas empresas, pero la carga administrativa sigue siendo considerable. Se recomienda a las organizaciones pequeñas priorizar la gestión de vulnerabilidades y la documentación de su cadena de suministro de software, ya que son los puntos de mayor riesgo de incumplimiento inmediato.

Las soluciones SaaS puras quedan, por lo general, fuera del ámbito de aplicación directo del CRA, a menos que se consideren soluciones de tratamiento remoto de datos conectadas a un producto físico. Esta distinción es crucial para las empresas de software que deben determinar si su producto se considera un 'producto con elementos digitales' o un servicio de software estándar.

Es fundamental no confundir el CRA con el RGPD o el Reglamento de IA. El RGPD protege los datos personales de los usuarios, mientras que el CRA protege la integridad y seguridad del producto digital en sí mismo. Una empresa puede cumplir con el RGPD y aun así incumplir el CRA si su producto tiene vulnerabilidades no parcheadas o no notifica incidentes de seguridad.

La Ley de IA regula el desarrollo y uso de sistemas de inteligencia artificial, mientras que el CRA se aplica a cualquier producto digital, con o sin IA. La intersección entre ambas normas es creciente, especialmente en la gestión de vulnerabilidades generadas por modelos de IA, pero los marcos de cumplimiento son distintos y requieren auditorías separadas.

La Comisión Europea ha publicado su orientación oficial sobre la aplicación del CRA, un documento de unas 80 páginas que aclara las dudas más frecuentes de los fabricantes. Aunque no es vinculante, las autoridades de vigilancia del mercado la utilizan como referencia para una lectura coherente. Los fabricantes deben leer este documento junto con el texto vinculante del Reglamento para asegurar su cumplimiento.

ENISA ha publicado también guías sobre la ciberseguridad en la era de la IA de frontera, que ofrecen perspectivas sobre cómo la IA está influyendo en la definición de vulnerabilidades explotables. Estos recursos son esenciales para las empresas que buscan alinear sus estrategias de ciberseguridad con las expectativas regulatorias europeas.