El 11 de septiembre de 2026 entra en juego la primera obligación real del Reglamento de Ciberresiliencia europeo

Una nueva regla del juego para cualquier producto con software

El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA), es la primera norma europea que fija requisitos horizontales de ciberseguridad para todos los productos con elementos digitales: cualquier producto hardware o software que se conecte, directa o indirectamente, a otro dispositivo o a una red.

Nace de una constatación sencilla: durante años, un electrodoméstico ha tenido que demostrar que era seguro eléctricamente para llevar el marcado CE, pero nadie pedía lo mismo respecto a su software. La CRA cierra ese hueco e incorpora la ciberseguridad al mismo marco de marcado CE que ya conocemos en directivas como la de Baja Tensión o la de Máquinas.

El reglamento entró en vigor en diciembre de 2024 y su aplicación es escalonada: llega por fases, cada una con su propia fecha y sus propias obligaciones.

Qué ocurre el 11 de septiembre de 2026

Con esta fecha se activa el primer paso real de esa aplicación escalonada: la obligación de notificar a las autoridades las vulnerabilidades activamente explotadas y los incidentes graves que afecten a la seguridad de los productos, con plazos exigentes:

24 horas — alerta temprana desde que se tiene conocimiento.
72 horas — notificación con la naturaleza de la vulnerabilidad y las medidas correctoras o paliativas.
14 días — informe final una vez disponible la corrección.

La notificación se dirige simultáneamente al CSIRT coordinador nacional y a ENISA, a través de una plataforma única habilitada para ello.

Y hay un matiz importante: esta obligación alcanza también a los productos que ya están en el mercado, aunque se hayan introducido antes de diciembre de 2027. No hay periodo de gracia para el parque instalado.

Junto a la notificación, el fabricante debe informar a los usuarios afectados sobre la vulnerabilidad y las medidas que pueden adoptar.

Qué ocurre el 11 de diciembre de 2027

Es la fecha en la que el reglamento se aplica de forma plena y completa. A partir de ese momento, los productos que se introduzcan en el mercado deberán cumplir los requisitos esenciales de ciberseguridad que fija la CRA: seguridad desde el diseño, superficie de ataque mínima, gestión de vulnerabilidades durante el periodo de soporte, SBOM (inventario de componentes software) y canal de reporte de vulnerabilidades.

Además, deberán contar con documentación técnica, declaración UE de conformidad y marcado CE que cubra también el eje de ciberseguridad.

Los productos ya introducidos en el mercado antes de esa fecha no quedan sujetos a estos nuevos requisitos, salvo que sufran una modificación sustancial.

Nuestra posición en Conatec

Conatec fabrica controladores electrónicos con software embebido que se integran en equipos de fabricantes OEM. Llevamos meses trabajando en la adaptación a la CRA con un enfoque en dos planos.

Sobre el parque instalado: nuestros productos legacy están desplegados en entornos no críticos —no forman parte de infraestructuras esenciales ni de las categorías de producto importante o crítico que define el reglamento— y operan mayoritariamente sobre buses de campo industriales sin exposición directa a internet. El reglamento reconoce expresamente este régimen transitorio: estos equipos no quedan sujetos a los nuevos requisitos esenciales mientras no se modifiquen sustancialmente.

Lo que sí hemos puesto en marcha es el procedimiento interno de vigilancia y notificación de vulnerabilidades, con función responsable designada, canal de reporte y suscripción a las fuentes de inteligencia de vulnerabilidades de referencia.

Sobre el producto nuevo: nuestra plataforma de producto actual se ha concebido siguiendo los principios de security by design que la CRA convierte en obligación —arranque verificado, actualización de firmware controlada, minimización de la superficie de ataque, trazabilidad de componentes software mediante SBOM y un ciclo definido de gestión de vulnerabilidades—. Es la base sobre la que estamos construyendo el expediente de conformidad de cara a diciembre de 2027.

Qué significa esto para nuestros clientes

Si usted integra nuestros controladores en su equipo, su empresa es fabricante del producto final y asume sus propias obligaciones bajo la CRA.

Nuestro papel es dárselo fácil: información técnica clara sobre el componente, comunicación proactiva ante cualquier vulnerabilidad relevante y un canal bilateral de coordinación para que sus plazos de notificación puedan cumplirse.

Estamos abriendo esa coordinación con nuestros clientes OEM. Si quiere anticiparla, escríbanos.

* Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico.