CRA

Relevancia cuántica

Seguridad de producto por diseño para productos con elementos digitales con conexión de datos directa o indirecta. La etiqueta «cuántico» no basta: un sensor autónomo sin conexión, un servicio puro o la investigación no comercial requieren análisis específico.

Fechas clave

1. 11-06-2026Aplicación del capítulo IV
2. 11-09-2026Aplicación del art. 14 (notificación de vulnerabilidades explotadas e incidentes graves)
3. 11-12-2027Aplicación con carácter general

Criterios de aplicación (4)

• O

  Los fabricantes de productos con elementos digitales comprendidos en el CRA deben cumplir los requisitos esenciales de ciberseguridad por diseño y por defecto y gestionar vulnerabilidades durante el periodo de soporte, con aplicación general desde el 11-12-2027, sin adelantar este bloque al hito de reporting de 2026.

  Roles fabricante y operadores económicos según rol

• O

  Los fabricantes comprendidos deben identificar y documentar componentes, incluso mediante una lista de materiales de software en formato común y de lectura mecánica que cubra al menos las dependencias de nivel superior cuando aplique el Anexo I parte II.1, sin que ello equivalga a obligación general de publicar o entregar indiscriminadamente la SBOM.

  Roles fabricante

• O

  Desde el11-09-2026, los fabricantes incluidos notificarán simultáneamente al CSIRT coordinador y ENISA, por la plataforma única, las vulnerabilidades aprovechadas activamente y los incidentes graves conocidos. Vulnerabilidades: alerta≤24h y notificación≤72h desde conocimiento; informe final≤14d tras disponer de una medida correctora o paliativa. Incidentes graves: alerta≤24h y notificación≤72h desde conocimiento; informe final en un mes tras la notificación de72h. Sin demora indebida y salvo información ya facilitada según art. 14; información adicional/provisional a solicitud e información a usuarios afectados conforme al art. 14.8 se diferencian de la copia contractual al cliente.

  Roles fabricante

• I

  PQC y cripto-agilidad pueden ser respuestas adecuadas cuando el análisis de riesgos, el estado de la técnica, la exposición criptográfica y la vida útil del producto lo justifiquen, pero el CRA no impone PQC universalmente.

  Roles fabricante

Riesgo si se incumple

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

• Cláusula de ciberresiliencia con calendario CRA

  La cláusula tipo 6 debe obligar al proveedor de productos con elementos digitales comprendidos en el Reglamento (UE) 2024/2847 a cumplir el calendario CRA: capítulo IV desde 11-06-2026, reporting del art. 14 desde 11-09-2026 y requisitos esenciales, marcado CE y gestión general de vulnerabilidades durante el soporte desde 11-12-2027. La cláusula debe conservar configuraciones seguras por defecto, divulgación coordinada, SBOM, soporte de actualizaciones y extensión contractual de estándares equivalentes a subcontratistas críticos, pero esa extensión a subcontratistas es propuesta contractual del manual y no obligación CRA universal en esos términos. La SBOM del Anexo I parte II.1 debe tratarse como obligación del fabricante comprendido desde aplicación general de 2027, en formato común y de lectura mecánica que cubra al menos dependencias de nivel superior, sin publicación indiscriminada.

  Manual QT-QMS, Cláusula tipo 6

  Reglamento (UE)2024/2847 ↗ · Arts.2,13,14.1–14.8,64,69.2–3,71.2;AnexoI II.1

• Réplica al cliente de las notificaciones del fabricante

  Si el proveedor es fabricante sujeto al CRA, la cláusula puede exigir una copia o resumen operativo al cliente de los informes regulatorios; esa copia íntegra es P contractual y se somete a seguridad/confidencialidad, no una obligación legal general con idéntico contenido. Los destinatarios legales son simultáneamente el CSIRT designado y ENISA mediante la plataforma única. Desde11-09-2026: para vulnerabilidad aprovechada activamente, alerta≤24h y notificación≤72h desde conocimiento, e informe final≤14d desde que exista medida correctora o paliativa; para incidente grave, alerta≤24h y notificación≤72h desde conocimiento, e informe final en un mes después de la notificación del incidente del art.14.4.b. Los informes se emiten sin demora indebida y según salvedades de información ya facilitada. El art.14.8 obliga a informar oportunamente a los usuarios afectados de vulnerabilidad/incidente y, cuando se requiera, de medidas para mitigar sus repercusiones; no equivale a entregar automáticamente todos los informes regulatorios al cliente.

  Manual QT-QMS, Cláusula tipo 4

  Reglamento (UE)2024/2847 ↗ · Arts.2,13,14.1–14.8,64,69.2–3,71.2;AnexoI II.1

• SBOM y vulnerabilidades en el plan PQC

  El paso 5 de la checklist PQC debe integrar CRA en la migración manteniendo SBOM de componentes, gestión activa de vulnerabilidades, seguridad por defecto y soporte de actualizaciones para productos con elementos digitales comprendidos, con aplicación general desde 11-12-2027. La SBOM debe formularse conforme al Anexo I parte II.1 como elaboración de una lista de materiales de software en formato común y legible por máquina que cubra al menos dependencias de nivel superior, manteniendo que no existe obligación general de publicarla o entregarla indiscriminadamente. La preferencia por módulos criptográficos certificados FIPS 140-3 al actualizar PKI, HSM y librerías es preferencia del manual y debe etiquetarse R, no obligación CRA universal. Los productos comercializados antes de 11-12-2027 solo quedan sujetos al CRA desde esa fecha si sufren modificación sustancial, pero las obligaciones de reporting se aplican a productos con elementos digitales puestos a disposición en el mercado, incluidos los ya puestos antes de 2027 según la guía de la Comisión.

  Manual QT-QMS, Checklist PQC paso 5

  Reglamento (UE)2024/2847 ↗ · Arts.2,13,14.1–14.8,64,69.2–3,71.2;AnexoI II.1

Fuentes

Fuentes verificadas

• Reglamento (UE) 2024/2847 — Ciberresiliencia (Cyber Resilience Act) ↗
  https://eur-lex.europa.eu/eli/reg/2024/2847/oj