CRA · Reg. (UE) 2024/2847 · Cyber Resilience Act

Evaluación de Aplicabilidad
Cyber Resilience Act

Completa este cuestionario de autoevaluación para obtener un diagnóstico preliminar sobre si el Reglamento (UE) 2024/2847 aplica a tu producto y qué brechas de cumplimiento se detectan. Tiempo estimado: 5-7 minutos.

Ámbito y Exclusiones
Aplicabilidad del reglamento a tu producto
Clasificación
Tipo de operador y categoría de producto
Capacidades Actuales
Brechas de cumplimiento detectadas
Diagnóstico Preliminar
Resultado y recomendaciones por email

Cuestionario de autoevaluación de aplicabilidad CRA (UE) 2024/2847

Este cuestionario te dará un diagnóstico preliminar sobre si el Reglamento (UE) 2024/2847 (Cyber Resilience Act) aplica a tu producto y, en caso afirmativo, qué brechas de cumplimiento se detectan.

Tiempo estimado: 5-7 minutos. Tras enviarlo, nuestro equipo validará tus datos y te haremos llegar el cuadro de mandos del resultado por email.

¿Tu organización fabrica, desarrolla o importa un producto que incluye componentes digitales (software, firmware, hardware con conectividad o capacidad de procesamiento de datos)?

Ejemplos: apps, IoT, routers, cámaras, software empresarial, sistemas embebidos, dispositivos médicos con conectividad. Productos puramente analógicos sin software quedan fuera. (Art. 2.1, 3.1)

¿El producto se conecta directa o indirectamente a una red (internet, Bluetooth, Zigbee, USB, etc.) o a otro dispositivo?

Incluso conexión USB o Bluetooth ocasional cuenta. Solo quedan fuera los productos completamente aislados sin ningún tipo de interfaz de comunicación. (Art. 2.1, 3.1)

¿El producto se comercializa o se prevé comercializar en el mercado de la Unión Europea?

El CRA aplica a cualquier producto en el mercado europeo, independientemente de dónde esté fabricado o dónde tenga sede el fabricante. (Art. 2.1)

¿El producto está destinado EXCLUSIVAMENTE a aplicaciones militares, de defensa nacional o de seguridad nacional?

Exclusión explícita Art. 2.7. Si la respuesta es Sí, el CRA NO aplica. Si el producto tiene también uso civil, el CRA podría aplicar a esa variante.

¿El producto es EXCLUSIVAMENTE software de código abierto publicado sin ánimo comercial (sin soporte de pago, SaaS ni servicios comerciales asociados)?

La exención aplica si NO hay soporte comercial, servicios de pago ni SaaS asociados. Cualquier modelo de monetización activa el CRA. (Rec. 18, Art. 2.6)

¿Tu producto pertenece a alguna de estas categorías reguladas por normativa sectorial?

Productos sanitarios humanos y accesorios (Reg. 2017/745), productos sanitarios in vitro (Reg. 2017/746), vehículos categorías M, N, O y sus sistemas (Reg. 2019/2144), productos certificados bajo Reg. 2018/1139 (aviación civil), piezas de repuesto. (Art. 2.2 a 2.4)

¿En qué calidad introduce tu empresa el producto en el mercado europeo?

Fabricante, importador y distribuidor tienen obligaciones distintas. (Art. 13, 19, 20)

¿Tu producto pertenece a alguna de las categorías del Anexo III del CRA (Productos Importantes Clase I o II)?

Anexo III incluye, entre otros: gestores de identidad y accesos privilegiados, navegadores, gestores de contraseñas, antivirus, VPN, gestores de redes, SIEM, gestores de arranque, PKI, sistemas operativos, routers/módems/switches, microprocesadores y microcontroladores con funciones de seguridad, ASIC/FPGA con funciones de seguridad, asistentes virtuales para hogar inteligente, productos de seguridad para hogar (cámaras, cerraduras, alarmas), juguetes conectados con interacciones sociales, wearables médicos no cubiertos por Reg. 2017/745. Clase II añade: hipervisores, cortafuegos, IDS/IPS, microprocesadores y microcontroladores resistentes a manipulación.

¿Tu producto pertenece al Anexo IV del CRA (Productos Críticos)?

Anexo IV incluye: dispositivos informáticos con cajas de seguridad, pasarelas de contadores inteligentes y dispositivos con seguridad avanzada (incluyendo procesado criptográfico), tarjetas inteligentes y elementos similares (secure elements). Estos productos requieren evaluación obligatoria por organismo notificado externo, sin excepción.

¿Tu empresa tiene capacidad actual para publicar actualizaciones de seguridad del producto durante al menos 5 años desde su comercialización?

5 años es el mínimo orientativo para la mayoría de productos. La incapacidad de mantener este soporte es una brecha crítica de cumplimiento. (Art. 13.8)

¿Dispones de un proceso documentado para identificar, priorizar y notificar vulnerabilidades (incluyendo notificación a ENISA/CSIRT en 24 horas si son explotadas activamente)?

El Art. 14 exige notificación obligatoria en 24 horas. Este requisito entra en vigor anticipadamente el 11 de septiembre de 2026.

¿Tienes documentación técnica que incluya evaluación de riesgos de ciberseguridad, arquitectura del producto, SBOM y proceso de gestión de vulnerabilidades?

El Anexo VII exige documentación técnica completa. La ausencia de cualquiera de estos elementos constituye incumplimiento desde el 11 de diciembre de 2027.

¿Has redactado o tienes previsto redactar una Declaración de Conformidad UE (EU DoC) y aplicar el marcado CE al producto?

El marcado CE es obligatorio para todos los productos bajo el CRA. La DoC debe conservarse durante 10 años tras la comercialización. (Art. 28, Anexo V)

¿En qué fecha tienes previsto iniciar la implantación de los trabajos de adecuación al CRA?

En función de los requisitos que apliquen, dispones de más o menos margen para iniciar la implantación. Recomendamos planificar respecto al 11 de diciembre de 2027 (aplicación general).

Para enviarte el resultado de la evaluación necesitamos algunos datos de contacto corporativos. Tras la verificación, te haremos llegar por email un enlace al cuadro de mandos del diagnóstico.

Por favor, utiliza tu email corporativo. No utilices direcciones de proveedores gratuitos (Gmail, Outlook, Yahoo...).
Tus datos serán tratados por Internet Security Auditors con la única finalidad de hacerte llegar el resultado de la evaluación y, en su caso, contactar contigo comercialmente. Puedes ejercer tus derechos en cualquier momento.
Por favor, completa todos los campos obligatorios (*) y acepta la política de privacidad.
✅
Evaluación enviada correctamente
Nuestro equipo revisará tus respuestas y te hará llegar por email el cuadro de mandos con el diagnóstico preliminar de aplicabilidad del CRA (UE) 2024/2847 a tu producto.

Si tienes alguna duda mientras tanto, no dudes en contactarnos en info@isecauditors.com.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88