Evaluamos si tus productos están afectados por el CRA, detectamos lo que falta y lo implementamos en tu firmware, tu cloud y tu ciclo de desarrollo. Ingeniería de cumplimiento, no solo un informe.
Desde el 11 de septiembre de 2026 debes notificar vulnerabilidades explotadas e incidentes graves, también de los productos que ya vendes.
Aplicación total del reglamento: todos los requisitos serán exigibles para los productos que se pongan en el mercado.
El CRA es el reglamento europeo que fija requisitos de ciberseguridad obligatorios para cualquier producto con elementos digitales que se venda en la UE, ya sea hardware o software. Exige seguridad desde el diseño, gestión de vulnerabilidades durante toda la vida útil del producto y actualizaciones de seguridad para el usuario.
El cumplimiento se acredita con el marcado CE. Sin él, el producto no puede comercializarse en el mercado europeo, y las sanciones por incumplir los requisitos esenciales pueden llegar a 15 millones de euros o al 2,5% de la facturación mundial.
Tu producto entra en el alcance si:
Desde un sensor IoT o un controlador industrial hasta una app móvil o un software de escritorio.
Cualquier empresa que ponga un producto digital en el mercado europeo, esté o no establecida en la UE. La mayor carga recae en el fabricante, pero cada eslabón tiene obligaciones.
Quien diseña o fabrica el producto, o lo vende con su marca. Responde de los requisitos esenciales, la documentación técnica, la gestión de vulnerabilidades y la notificación.
Aplicaciones, firmware y software comercial que se distribuyen como producto. Deben diseñarse, mantenerse y actualizarse cumpliendo el reglamento.
Antes de comercializar un producto deben verificar que lleva el marcado CE y la documentación exigida por el CRA.
Revendedores y cualquier entidad que participe en la comercialización del producto dentro de la Unión.
Desde el 11 de septiembre de 2026, el fabricante debe comunicar a través de la Single Reporting Platform de ENISA cualquier vulnerabilidad explotada activamente y cualquier incidente grave que afecte a la seguridad de su producto. La obligación incluye los productos que ya están en el mercado.
Para cumplir los plazos necesitas detectar el problema a tiempo, saber quién decide y tener el procedimiento escrito antes de que ocurra.
Aviso inicial desde que tienes conocimiento de la vulnerabilidad explotada o del incidente.
Información general, medidas correctoras aplicadas y medidas que pueden tomar los usuarios.
14 días tras disponer de la corrección en vulnerabilidades; un mes en incidentes graves.
Una primera orientación para saber si debes empezar a trabajar en el CRA. No sustituye a un análisis de aplicabilidad, que hacemos contigo sin compromiso.
¿Tu producto incorpora software o firmware, o procesa datos digitales?
¿Puede conectarse, directa o indirectamente, a una red o a otro dispositivo?
¿Se vende o se venderá en algún país de la Unión Europea?
¿Está ya regulado por una normativa sectorial específica, como producto sanitario, vehículo homologado o aviación civil?
Verás aquí una primera orientación sobre si el CRA aplica a tu producto.
Solicitar análisis de aplicabilidadUn proceso sencillo, adaptado a tus productos y a tu equipo. Empezamos entendiendo dónde estás y terminamos con todo el trabajo resumido en un único documento.
Nos sentamos con tu equipo para hacer inventario de los productos afectados por el CRA y revisar cómo detectáis, gestionáis y comunicáis hoy las vulnerabilidades y los incidentes.
Analizamos cada producto según su uso y su importancia para tu negocio: qué puede fallar, qué impacto tendría y por dónde conviene empezar.
Revisamos el producto por dentro: firmware, comunicaciones, apps y la plataforma cloud que le da servicio. Buscamos vulnerabilidades y configuraciones que se puedan mejorar.
Llevamos lo aprendido a cómo diseñáis, desarrolláis, actualizáis y dais soporte al producto. Y si el firmware, las comunicaciones o la plataforma cloud no cumplen, nuestros ingenieros desarrollan e implementan contigo los cambios necesarios.
Al terminar te entregamos un documento que resume todo lo realizado. Sin informes sueltos: una sola referencia clara para tu equipo, tu dirección y tus clientes.
Llevamos años construyendo plataformas IoT, firmware conectado y arquitecturas cloud para fabricantes industriales. Por eso no somos solo auditores: además de decirte qué falta para cumplir, podemos hacerlo.
El mismo equipo que conoce el reglamento conoce tus dispositivos, tu pipeline y tu cuenta de AWS.
Cuando la evaluación detecta que tu producto no cumple, no te dejamos solo con la lista de tareas. Si lo necesitas, nuestros ingenieros se ponen a trabajar con tu equipo: adaptamos el firmware, aseguramos las comunicaciones de los dispositivos, ponemos en marcha la gestión de certificados y llevamos tu plataforma cloud a lo que exige el CRA. También preparamos los mecanismos para que puedas actualizar tus productos de forma segura durante toda su vida útil.
Tú decides hasta dónde llegamos: desde resolver un punto concreto hasta implementar todos los cambios.
Cualquier producto de hardware o software que se conecte, directa o indirectamente, a una red o a otro dispositivo, que procese datos digitales o que incorpore software o firmware. Incluye dispositivos IoT, equipos industriales conectados, routers, apps y software comercial, junto con sus soluciones de tratamiento remoto de datos.
Sí en lo que respecta a la notificación: desde el 11 de septiembre de 2026 debes notificar vulnerabilidades explotadas e incidentes graves también de los productos ya comercializados. El resto de requisitos se aplica a los productos que se introduzcan en el mercado, o se modifiquen sustancialmente, a partir del 11 de diciembre de 2027.
Depende de la categoría. La mayoría de productos pueden evaluarse por control interno. Los productos importantes de clase I también, si aplican normas armonizadas; los de clase II y los críticos requieren la intervención de un tercero. Por eso la clasificación es el primer paso.
El SaaS puro queda generalmente fuera del CRA, que se ocupa de productos. Sí entra el tratamiento remoto de datos cuando es necesario para que un producto funcione, como la plataforma cloud que da servicio a un dispositivo IoT.
Sí. Buena parte de los procesos de gestión de riesgos, vulnerabilidades e incidentes son reutilizables. El CRA añade requisitos centrados en el producto, como el SBOM, las actualizaciones de seguridad y la documentación técnica, que integramos sobre lo que ya funciona.
Depende del número de productos y de cómo trabajéis hoy. La reunión inicial ya permite saber qué está afectado y si estáis preparados para notificar, que es la obligación que ya está en vigor. A partir de ahí conviene avanzar con margen respecto a diciembre de 2027.
Cuéntanos qué productos fabricas o comercializas y te diremos, sin compromiso, cuáles están afectados y por dónde empezar.
Cuéntanos tu caso
Déjanos tus datos y qué productos fabricas o comercializas. Te responderemos con una primera valoración de alcance.
Ir al formulario de contacto
