El Reglamento (UE) 2024/2847, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales, conocido como Cyber Resilience Act (CRA) o Reglamento de Ciberresiliencia, introduce un nuevo marco europeo de obligaciones de ciberseguridad aplicable a numerosos productos de software y hardware.
La norma tiene especial relevancia para las empresas que desarrollan y comercializan aplicaciones, ya que determinadas aplicaciones pueden tener la consideración de «productos con elementos digitales» y, en consecuencia, quedar sometidas a sus requisitos.
Las pymes no están excluidas del CRA. No obstante, el Reglamento contempla determinadas particularidades y medidas de apoyo para microempresas y pequeñas y medianas empresas.
La aplicación del CRA no debe analizarse únicamente atendiendo al tamaño de la empresa o al hecho de desarrollar software. Es necesario determinar qué producto se comercializa, quién tiene jurídicamente la condición de fabricante, cuándo ha sido introducido en el mercado y, en el caso de productos ya existentes, si posteriormente se produce una modificación sustancial.
¿A quién considera “fabricante” el CRA?
El CRA atribuye las principales obligaciones a quien tenga la condición de “fabricante”. Por tanto, no debe identificarse automáticamente al desarrollador material del software con el fabricante.
De acuerdo con el artículo 3.13 del Reglamento, es fabricante la persona física o jurídica que desarrolla productos con elementos digitales o hace que estos sean diseñados, desarrollados o fabricados, y los comercializa bajo su propio nombre o marca, ya sea de forma remunerada, monetizada o gratuita.
Por tanto, una pyme que desarrolla una aplicación y la comercializa bajo su propio nombre o marca tendrá, con carácter general, la consideración de fabricante.
También puede tener esta condición una empresa que encarga a un tercero el diseño o desarrollo de la aplicación y posteriormente la comercializa bajo su propia marca.
Por el contrario, una empresa que se limita a desarrollar software por encargo para que sea otra entidad la que lo comercialice bajo su nombre o marca no adquiere automáticamente la condición de fabricante por el mero hecho de haber realizado materialmente el desarrollo.
Identificar correctamente al fabricante constituye, por ello, el primer paso de cualquier análisis de cumplimiento del CRA.
¿Están las aplicaciones móviles sujetas al CRA?
El CRA se aplica a los denominados «productos con elementos digitales». Este concepto comprende productos de software o hardware y sus soluciones de tratamiento remoto de datos, incluidos los componentes de software o hardware que se introduzcan en el mercado por separado.
Una aplicación móvil descargable puede constituir un producto con elementos digitales y, por tanto, quedar comprendida en el ámbito de aplicación del Reglamento. La propia Comisión Europea utiliza las aplicaciones móviles como ejemplo de productos que pueden quedar sometidos al CRA.
No obstante, esto no significa que toda aplicación, sin excepción, esté sometida al Reglamento. El CRA establece determinadas exclusiones y existen productos sometidos a legislación sectorial específica. En consecuencia, deberá analizarse cada aplicación concreta antes de determinar las obligaciones aplicables.
También debe diferenciarse una aplicación descargable de un servicio SaaS prestado exclusivamente de forma remota. Los servicios SaaS no quedan incluidos automáticamente en el CRA por el mero hecho de consistir en software. No obstante, determinadas soluciones de tratamiento remoto de datos pueden formar parte de un producto con elementos digitales cuando sean necesarias para que dicho producto pueda realizar alguna de sus funciones.
¿Están exentas las pymes?
No existe una exención general del CRA para las pymes.
Si una microempresa, pequeña o mediana empresa tiene la consideración de fabricante de un producto con elementos digitales comprendido en el ámbito de aplicación del Reglamento, deberá cumplir las obligaciones que le correspondan.
El legislador europeo ha tenido en cuenta, sin embargo, la situación de las empresas de menor dimensión. El CRA contempla medidas de apoyo y simplificación, y las orientaciones publicadas por la Comisión Europea en julio de 2026 prestan especial atención a las microempresas y pymes, con ejemplos y criterios destinados a facilitar una aplicación proporcionada de la norma.
Existe, además, una particularidad relevante en materia sancionadora: los fabricantes que tengan la consideración de microempresa o pequeña empresa no pueden ser sancionados con las multas administrativas previstas en el CRA por el incumplimiento del plazo de 24 horas establecido para determinadas notificaciones de vulnerabilidades e incidentes graves. Esta previsión no elimina la obligación de notificar, sino únicamente la imposición de la correspondiente multa por el incumplimiento de ese plazo concreto.
¿Cuándo comienzan a aplicarse las obligaciones?
El CRA entró en vigor el 10 de diciembre de 2024, pero estableció una aplicación progresiva de sus disposiciones.
Para las empresas fabricantes de aplicaciones existen dos fechas especialmente relevantes.
Desde el 11 de septiembre de 2026 resultan aplicables las obligaciones de notificación establecidas en el artículo 14 relativas a las vulnerabilidades explotadas activamente y a los incidentes graves que afecten a la seguridad de los productos con elementos digitales.
El 11 de diciembre de 2027 se producirá la aplicación general del Reglamento y comenzarán a resultar exigibles sus principales obligaciones.
No obstante, la llegada del 11 de diciembre de 2027 no significa que todas las aplicaciones que ya estuvieran comercializándose antes de esa fecha deban adaptarse automáticamente a la totalidad de los requisitos del CRA.
El artículo 69.2 establece un régimen transitorio específico: los productos con elementos digitales introducidos en el mercado antes del 11 de diciembre de 2027 solo estarán sujetos a los requisitos del Reglamento cuando, a partir de esa fecha, sean objeto de una “modificación sustancial”.
Existe una excepción especialmente importante. Conforme al artículo 69.3, las obligaciones de notificación del artículo 14 se aplican también a los productos comprendidos en el CRA que hayan sido introducidos en el mercado antes del 11 de diciembre de 2027.
Por tanto, para conocer las obligaciones que corresponden a una aplicación será necesario determinar, entre otras cuestiones, cuándo fue introducida en el mercado y, respecto de los productos anteriores al 11 de diciembre de 2027, si posteriormente son objeto de una modificación sustancial.
¿Qué ocurre con las aplicaciones comercializadas antes del 11 de diciembre de 2027?
Una aplicación introducida en el mercado antes del 11 de diciembre de 2027 no queda sometida automáticamente a la totalidad de los requisitos del CRA por el mero transcurso de esa fecha.
Conforme al régimen transitorio del artículo 69.2, estos productos quedarán sometidos a los requisitos del Reglamento cuando, a partir de esa fecha, sean objeto de una modificación sustancial.
Esta cuestión tiene especial importancia en el ámbito del software, puesto que las aplicaciones reciben habitualmente actualizaciones, nuevas funcionalidades, correcciones y mejoras.
No toda actualización constituye, sin embargo, una modificación sustancial.
El CRA considera sustancial una modificación realizada después de la introducción del producto en el mercado que afecte al cumplimiento de los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, o que dé lugar a una modificación de la finalidad prevista para la que haya sido evaluado el producto.
El propio Reglamento proporciona criterios específicos para las actualizaciones de software. Una actualización de seguridad destinada a reducir el nivel de riesgo de ciberseguridad y que no modifique la finalidad prevista del producto no se considera una modificación sustancial. Tampoco deberían tener normalmente esta consideración determinadas modificaciones funcionales menores, como mejoras visuales o la incorporación de nuevos pictogramas o idiomas a la interfaz.
Por el contrario, una actualización que incorpore nuevas funcionalidades puede constituir una modificación sustancial cuando modifique las funciones previstas originalmente y concurra un cambio en la naturaleza del peligro o un incremento del nivel de riesgo de ciberseguridad. El propio considerando 39 utiliza como ejemplo la incorporación de un nuevo elemento de entrada a una aplicación que requiera medidas adecuadas de validación.
Por ello, las empresas que mantengan aplicaciones introducidas en el mercado antes del 11 de diciembre de 2027 deberían establecer un procedimiento que permita evaluar y documentar las modificaciones relevantes realizadas posteriormente, a fin de determinar si tienen la consideración de modificación sustancial.
En el caso del software distribuido mediante versiones y actualizaciones sucesivas, la aplicación de estos conceptos puede requerir un análisis individualizado. No debe asumirse que el mero hecho de haber publicado inicialmente una aplicación antes del 11 de diciembre de 2027 permite considerar todas sus versiones futuras excluidas de los requisitos generales del CRA.
Una obligación que ya está vigente: notificación de vulnerabilidades e incidentes
Existe una excepción especialmente relevante al régimen transitorio anterior.
Desde el 11 de septiembre de 2026 los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos con elementos digitales.
Estas obligaciones se aplican también a los productos comprendidos en el ámbito del CRA que hayan sido introducidos en el mercado antes del 11 de diciembre de 2027.
Por tanto, una pyme que actualmente comercialice una aplicación comprendida en el CRA puede estar ya sometida a las obligaciones de notificación del artículo 14, aunque esa aplicación todavía no esté sometida al conjunto de requisitos de conformidad que serán aplicables conforme al régimen general y transitorio del Reglamento.
El procedimiento de notificación se articula en distintas fases. El fabricante debe presentar una alerta temprana dentro de las 24 horas siguientes al momento en que tenga conocimiento de la vulnerabilidad explotada activamente o del incidente grave y, posteriormente, una notificación dentro de las 72 horas.
En el caso de una vulnerabilidad explotada activamente, el informe final debe presentarse, como máximo, 14 días después de que esté disponible una medida correctora o de mitigación. En el caso de un incidente grave, el informe final debe presentarse dentro del mes siguiente a la notificación efectuada dentro del plazo de 72 horas.
Las comunicaciones se realizan a través de la Plataforma Única de Notificación del CRA establecida por ENISA, que se encuentra operativa desde el 11 de septiembre de 2026.
En consecuencia, las empresas que actualmente comercialicen aplicaciones comprendidas en el CRA deberían disponer ya de un procedimiento interno que permita detectar estos supuestos, analizarlos, escalarlos y efectuar las correspondientes notificaciones dentro de los plazos establecidos.
¿Qué obligaciones deberán cumplir los fabricantes sujetos al CRA?
Cuando resulte aplicable el régimen general del CRA, el fabricante deberá garantizar que el producto cumple los requisitos de ciberseguridad establecidos por el Reglamento.
Estas obligaciones serán exigibles, con carácter general, respecto de los productos introducidos en el mercado a partir del 11 de diciembre de 2027. También deberán tenerse en cuenta respecto de productos anteriores que, a partir de dicha fecha, sean objeto de una modificación sustancial, conforme al régimen transitorio anteriormente explicado.
Por tanto, las obligaciones que se exponen a continuación no deben interpretarse como una exigencia automática de adaptación de todas las aplicaciones que ya estuvieran comercializándose antes del 11 de diciembre de 2027.
1. Evaluación de riesgos de ciberseguridad
El fabricante deberá realizar una evaluación de los riesgos de ciberseguridad asociados al producto y tener en cuenta su resultado durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento.
Esta evaluación deberá documentarse e incorporarse a la documentación técnica del producto.
La seguridad deja así de configurarse exclusivamente como una comprobación realizada al finalizar el desarrollo. El CRA exige que los riesgos de ciberseguridad sean considerados durante el ciclo de vida del producto.
2. Cumplimiento de los requisitos esenciales de ciberseguridad
La aplicación deberá diseñarse, desarrollarse y producirse conforme a los requisitos esenciales establecidos en la parte I del anexo I, teniendo en cuenta la evaluación de riesgos correspondiente.
En función de las características y riesgos del producto, estos requisitos afectan, entre otros aspectos, a la configuración segura por defecto, la protección frente a accesos no autorizados, la confidencialidad e integridad de los datos, la disponibilidad de las funciones esenciales, la reducción de las superficies de ataque y la posibilidad de corregir vulnerabilidades mediante actualizaciones de seguridad.
El CRA exige asimismo que los productos se comercialicen sin vulnerabilidades explotables conocidas.
3. Gestión de vulnerabilidades
La responsabilidad del fabricante no finaliza cuando la aplicación se introduce en el mercado.
Durante el período de soporte deberá disponer de procesos adecuados para identificar, analizar, documentar y corregir vulnerabilidades, realizar las pruebas necesarias y distribuir las correspondientes actualizaciones de seguridad.
Para una pyme resulta especialmente conveniente establecer un procedimiento interno que determine quién recibe las comunicaciones o alertas relativas a vulnerabilidades, cómo se analizan y clasifican, quién adopta las decisiones correspondientes, cómo se despliegan las medidas correctoras y qué evidencias deben conservarse.
4. Control de componentes, librerías y dependencias
La gestión de vulnerabilidades debe comprender también los componentes integrados en el producto.
En la práctica, las empresas deberán conocer las librerías, paquetes, frameworks, SDK y demás componentes de terceros incorporados a sus aplicaciones y disponer de mecanismos que permitan detectar vulnerabilidades que puedan afectar a dichos componentes.
El CRA contempla asimismo la elaboración de una lista de materiales de software o SBOM —Software Bill of Materials— en el marco de las obligaciones de gestión de vulnerabilidades.
5. Determinación del período de soporte
El fabricante deberá determinar un período de soporte durante el cual deberá garantizar que las vulnerabilidades del producto se gestionan eficazmente.
Durante este período deberán mantenerse los procesos necesarios de gestión de vulnerabilidades y proporcionarse las actualizaciones de seguridad correspondientes.
La duración del período de soporte deberá determinarse conforme a los criterios establecidos por el CRA y comunicarse al usuario en los términos previstos por el Reglamento.
6. Elaboración de la documentación técnica
Antes de introducir el producto en el mercado, el fabricante deberá elaborar la documentación técnica prevista en el artículo 31 y en el anexo VII.
Esta documentación deberá permitir acreditar la conformidad del producto con los requisitos aplicables.
En términos prácticos, resulta aconsejable que una pyme disponga de un expediente CRA para cada producto en el que se integren o referencien, entre otros elementos, la descripción y características de la aplicación, la evaluación de riesgos, la arquitectura relevante, los requisitos aplicables, las medidas de seguridad adoptadas, la gestión de vulnerabilidades y las pruebas realizadas.
7. Evaluación de conformidad
Antes de introducir el producto en el mercado deberá realizarse el procedimiento de evaluación de conformidad que resulte aplicable.
Este punto es especialmente relevante para las pymes porque no todos los productos requieren la intervención de un organismo notificado.
Para aquellos productos respecto de los cuales resulte admisible el procedimiento de control interno o módulo A, el propio fabricante puede realizar la evaluación de conformidad. En estos casos no resulta obligatorio obtener una certificación de un organismo notificado.
La autoevaluación no supone, sin embargo, una reducción de las obligaciones materiales. Es el fabricante quien asume la responsabilidad de comprobar y acreditar que el producto y sus procesos cumplen los requisitos aplicables.
Determinados productos clasificados por el CRA como «importantes» o «críticos» están sujetos a reglas específicas de evaluación de conformidad. En consecuencia, antes de optar por la autoevaluación deberá comprobarse la clasificación concreta del producto.
8. Declaración UE de conformidad y marcado CE
Una vez completado correctamente el procedimiento de evaluación de conformidad, el fabricante deberá elaborar la correspondiente Declaración UE de Conformidad y colocar el marcado CE en los términos previstos por el Reglamento.
Mediante la Declaración UE de Conformidad, el fabricante asume la responsabilidad sobre el cumplimiento de los requisitos aplicables al producto.
El marcado CE adquiere, por tanto, relevancia también para productos de software comprendidos en el ámbito del CRA.
9. Información e instrucciones para los usuarios
Los fabricantes deberán proporcionar la información e instrucciones exigidas por el anexo II.
Entre otras cuestiones, deberá facilitarse información que permita identificar al fabricante y al producto, conocer los aspectos relevantes para su ciberseguridad, instalarlo y utilizarlo de forma segura, conocer cómo se proporcionan las actualizaciones de seguridad y conocer el período de soporte.
La información deberá proporcionarse de forma clara, comprensible, inteligible y legible.
¿Qué deberían hacer ahora las pymes que comercializan aplicaciones?
La estrategia de adaptación debe partir de la situación concreta de cada producto. No todas las aplicaciones ni todas las empresas estarán sometidas a las mismas obligaciones en el mismo momento.
Como primer paso, debería determinarse qué aplicaciones de la empresa están comprendidas en el ámbito de aplicación del CRA y qué entidad tiene jurídicamente la condición de fabricante.
Respecto de las aplicaciones que ya se encuentran en el mercado, resulta conveniente identificar y documentar cuándo fueron introducidas, puesto que esta circunstancia será determinante para aplicar correctamente el régimen transitorio.
Las empresas que actualmente comercialicen productos comprendidos en el CRA deben prestar especial atención a las obligaciones de notificación del artículo 14, aplicables desde el 11 de septiembre de 2026 también a productos introducidos en el mercado antes del 11 de diciembre de 2027.
Respecto de las aplicaciones introducidas en el mercado antes del 11 de diciembre de 2027, resulta igualmente recomendable establecer un procedimiento para analizar las modificaciones relevantes que se produzcan posteriormente y determinar si tienen la consideración de modificación sustancial.
Finalmente, las nuevas aplicaciones que vayan a introducirse en el mercado a partir del 11 de diciembre de 2027 deberán abordarse desde su diseño teniendo en cuenta los requisitos del CRA. Esto exigirá, entre otras actuaciones, realizar la evaluación de riesgos, integrar los requisitos esenciales de ciberseguridad, establecer los procesos de gestión de vulnerabilidades, preparar la documentación técnica y realizar el procedimiento de evaluación de conformidad que corresponda antes de introducir el producto en el mercado.
Para una pyme con varias aplicaciones, puede resultar conveniente realizar una clasificación inicial de su cartera de productos que permita diferenciar, al menos, entre productos excluidos del CRA, aplicaciones ya introducidas en el mercado y nuevos productos cuya introducción esté prevista a partir del 11 de diciembre de 2027.
Conclusión
El Cyber Resilience Act supone un cambio relevante para las pymes que desarrollan y comercializan aplicaciones, al convertir determinadas exigencias de ciberseguridad del software en obligaciones legales cuyo cumplimiento deberá poder acreditar el fabricante.
No obstante, su aplicación requiere un análisis individualizado de cada producto.
En primer lugar, debe determinarse quién tiene la condición jurídica de fabricante. El mero hecho de desarrollar materialmente una aplicación no convierte necesariamente al desarrollador en fabricante a efectos del CRA.
En segundo lugar, resulta esencial distinguir entre aplicaciones ya existentes y nuevos productos. Las aplicaciones introducidas en el mercado antes del 11 de diciembre de 2027 no quedan automáticamente sometidas a todos los requisitos del CRA por la llegada de esa fecha. Conforme al régimen transitorio, esos productos quedarán sometidos a dichos requisitos cuando posteriormente sean objeto de una modificación sustancial.
Existe, sin embargo, una obligación que requiere atención inmediata: desde el 11 de septiembre de 2026 resultan aplicables las obligaciones de notificación del artículo 14, también respecto de productos comprendidos en el CRA que hubieran sido introducidos en el mercado antes del 11 de diciembre de 2027.
Por ello, las pymes que comercialicen aplicaciones deberían comenzar por determinar qué productos están comprendidos en el CRA, quién tiene la condición de fabricante, cuándo fue introducido cada producto en el mercado y qué obligaciones resultan actualmente aplicables.
A partir de ese análisis podrá establecerse una estrategia proporcionada de cumplimiento que permita anticipar las obligaciones del CRA sin imponer a los productos existentes requisitos que, conforme al régimen transitorio, todavía no resulten exigibles.
Articulo revisado por Gerard Espuga, abogado especialista en Derecho Digital y Protección de Datos
