REGULACIÓN
Cyber Resilience Act: obligaciones, plazos y qué cambia para la póliza cyber
Ficha actualizada al 1 de noviembre de 2026 sobre el Reglamento (UE) 2024/2847 (Cyber Resilience Act): qué productos abarca, notificación de vulnerabilidades explotadas en vigor desde el 11 de septiembre de 2026, requisitos de seguridad desde el 11 de diciembre de 2027, sanciones y efectos en las pólizas cyber, tech E&O y de responsabilidad civil de productos.
Ficha normativa · actualizada al 1 de noviembre de 2026 · por cybercoverinsurance
El Reglamento (UE) 2024/2847, el Cyber Resilience Act (CRA), fija requisitos de ciberseguridad para los productos con elementos digitales vendidos en Europa: hardware y software, del router a la app, del sensor industrial al programa de gestión (Hogan Lovells). NIS2 y DORA miran a quien usa la tecnología; el CRA mira a quien la fabrica.
Para quien asume el riesgo, el CRA importa porque traslada la seguridad aguas arriba en la cadena de suministro. Un fabricante de software o de dispositivos conectados tendrá que demostrar que ha diseñado productos seguros y que corrige sus vulnerabilidades durante años. Desde el 9 de diciembre de 2026, con la nueva Directiva sobre productos defectuosos, un producto que no cumpla los requisitos del CRA será también más fácil de considerar defectuoso.
En el texto, «artículo» indica una regla vinculante; «considerando» indica los párrafos introductorios que explican cómo leerla.
A quién se aplica
El CRA se aplica a fabricantes, importadores y distribuidores de productos con elementos digitales, es decir, hardware y software que se conectan, directa o indirectamente, a un dispositivo o a una red. Quedan fuera los productos ya cubiertos por normas sectoriales, como productos sanitarios, vehículos y aeronaves, y los servicios puramente en línea (SaaS), que pueden entrar en NIS2.
Las obligaciones principales son del fabricante, también cuando tiene su sede fuera de la Unión. El software libre desarrollado fuera de una actividad comercial no está cubierto; las organizaciones que apoyan de forma estable proyectos de código abierto usados comercialmente («administradores de código abierto») tienen obligaciones reducidas.
Las obligaciones principales
Notificación de vulnerabilidades e incidentes (desde el 11 de septiembre de 2026)
Desde el 11 de septiembre de 2026 el fabricante debe notificar toda vulnerabilidad explotada activamente y todo incidente grave que afecte a la seguridad del producto (artículo 14) (Comisión Europea):
- alerta temprana en un plazo de 24 horas desde que tiene conocimiento;
- notificación en un plazo de 72 horas;
- informe final en un plazo de 14 días desde que esté disponible una corrección, para las vulnerabilidades, o de un mes desde la notificación, para los incidentes graves.
Las notificaciones pasan por la plataforma única de ENISA, operativa desde el 11 de septiembre de 2026, que las remite al CSIRT nacional competente (ENISA). La obligación cubre también los productos ya comercializados antes de 2027, y el fabricante debe informar a los usuarios afectados (Hogan Lovells).
Requisitos de seguridad (desde el 11 de diciembre de 2027)
Desde el 11 de diciembre de 2027 los productos introducidos en el mercado deben cumplir requisitos esenciales de seguridad desde el diseño: ninguna vulnerabilidad explotable conocida en el momento de la venta, configuración segura por defecto, actualizaciones de seguridad durante todo el periodo de soporte y gestión de vulnerabilidades con una lista de materiales de software. El producto conforme lleva el marcado CE. Algunas categorías de productos importantes o críticos necesitan una evaluación de la conformidad por un organismo tercero.
Periodo de soporte
El fabricante debe indicar durante cuánto tiempo ofrecerá actualizaciones de seguridad. El periodo debe reflejar el uso previsto del producto y, por regla general, es de al menos cinco años.
Las sanciones
El artículo 64 prevé tres niveles: hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial por incumplir los requisitos esenciales y las obligaciones de notificación; hasta 10 millones o el 2 % por las demás obligaciones; hasta 5 millones o el 1 % por información inexacta a las autoridades. Las autoridades de vigilancia del mercado pueden además ordenar la retirada o la recuperación del producto.
Los plazos
- 10 de diciembre de 2024: entrada en vigor;
- 11 de junio de 2026: normas sobre los organismos de evaluación de la conformidad;
- 11 de septiembre de 2026: notificación de vulnerabilidades explotadas e incidentes graves;
- 11 de diciembre de 2027: aplicación plena, incluidos los requisitos esenciales y las obligaciones de los administradores de código abierto.
Qué cambia para la póliza cyber
Cadena de suministro. El CRA es la primera norma que obliga a los proveedores de tecnología a corregir vulnerabilidades y notificarlas en 24 horas. Para una cartera cyber reducirá con el tiempo el riesgo de componentes sin actualizar, pero solo para los productos nuevos: el parque instalado seguirá expuesto durante años.
Responsabilidad del fabricante. Un fabricante de software o dispositivos que no cumpla el CRA se expone a multas, retiradas del mercado y, con la Directiva sobre productos defectuosos, a reclamaciones de daños más fáciles de ganar para el perjudicado. El riesgo se desplaza a tech E&O y a la responsabilidad civil de productos, y los costes de retirada de un producto inseguro no están cubiertos por todas las pólizas.
Notificación. Las 24 horas de la alerta temprana se suman a las de NIS2 y, en el sector financiero, a las 4 horas de DORA. Un fabricante que es también entidad NIS2 puede tener dos notificaciones distintas para el mismo evento. El servicio de respuesta a incidentes de la póliza debe saber gestionar ambas.
Información para la suscripción. El CRA genera documentos útiles: lista de materiales de software, política de gestión de vulnerabilidades, periodo de soporte declarado, historial de notificaciones. Para asegurados que usan tecnología de terceros, saber si sus proveedores principales cumplen el CRA ayuda a valorar la acumulación en la cadena de suministro.
Impacto para las aseguradorasMedio
El CRA hace obligatoria la seguridad de los productos digitales y la notificación rápida de vulnerabilidades, pero los requisitos solo se aplican a los productos vendidos desde diciembre de 2027 y el efecto en los siniestros será gradual.