CRA · Reglamento (UE) 2024/2847

Evaluación y Soporte al Cumplimiento CRA

Impulsa la confianza digital con el nuevo Cyber Resilience Act. Seguridad desde el diseño, protección durante toda la vida útil.

Fase I, Establecimiento del Alcance y Análisis Gap

Clasificación de productos y plan de acción

Fase II, Soporte a la Implementación

Evaluación, integración y auditoría

El reglamento

¿Qué es el Cyber Resilience Act?

El Cyber Resilience Act (CRA) es el Reglamento de la Unión Europea (Reglamento (UE) 2024/2847) que entró en vigor el 10 de diciembre de 2024, cuyo objetivo es reforzar la ciberseguridad de los productos con elementos digitales comercializados en la Unión Europea. Esta normativa busca asegurar que los productos con elementos digitales comercializados (ya sea software o hardware) en el mercado europeo mantengan altos estándares de ciberseguridad desde su desarrollo y a lo largo de toda su vida útil, reduciendo la presencia de vulnerabilidades.

Se entiende por producto con elementos digitales a aquellos que:

Se conecte directa o indirectamente a una red o a otro dispositivo.

Procese datos digitales.

Incorpore software o firmware.

El reglamento CRA es de aplicación parcial desde el 11 de septiembre de 2026, con la notificación obligatoria de vulnerabilidades explotadas activamente e incidentes de seguridad graves, y será de obligado cumplimiento en su totalidad el 11 de diciembre de 2027.

Aplicabilidad

¿A quién afecta CRA?

Fabricantes de productos digitales

Tanto empresas establecidas en la Unión Europea como fuera de ella, siempre que los productos se introduzcan o se comercialicen en el mercado europeo.

Desarrolladores de software

Responsables de diseñar y mantener las aplicaciones para que cumplan con los requisitos de ciberseguridad establecidos en la normativa.

Importadores y distribuidores

Intermediarios en la cadena de suministro de los productos y, por tanto, deben asegurarse de que los productos distribuidos o comercializados cumplen con la normativa.

Otros operadores

Revendedores o cualquier otra entidad involucrada en la comercialización de los productos dentro del entorno de la UE.

¿Sabes si tu producto está afectado por el CRA?

Fabricantes, desarrolladores, importadores y distribuidores deben determinar si sus productos digitales entran dentro del alcance del Reglamento. Una evaluación de aplicabilidad es el primer paso para anticiparte a las exigencias del 2026 y 2027.

Te contactaremos para analizar tu caso sin compromiso.

Acceder al formulario de autoevaluación

Nuestros servicios

Cómo trabajamos

El objetivo de este servicio es el de llevar a cabo un proceso de implementación del Reglamento de Ciberresiliencia (UE) 2024/2847 (Cyber Resilience Act) del 23 de octubre de 2024 estructurado por fases con objetivos claros para alcanzar el cumplimiento de los requisitos horizontales de ciberseguridad para los productos con elementos digitales afectados por el reglamento.

01Establecimiento del alcance y análisis Gap

Etapa I: Alcance, Clasificación y Gap

Se analizan todos los productos a los que les sea de aplicabilidad CRA.
Se determina la categoría a la que pertenecen en base a la clasificación definida por CRA.
Se realiza un análisis de brechas (gap) respecto a los artículos del reglamento y el cumplimiento de los requisitos esenciales de ciberseguridad (Anexo I) y se prepara un plan de acción para alcanzar el cumplimiento del reglamento antes del 11 de diciembre de 2027.

Etapa II: Notificación de vulnerabilidades e incidentes graves

Se realiza un análisis de las Políticas, Procedimientos y Procesos actuales de gestión y notificación de vulnerabilidades e incidentes de seguridad.
Se realiza la definición o modificación de las Políticas o Procedimientos afectados por el proceso de notificación de vulnerabilidades e incidentes graves alineados a CRA con el objetivo de alcanzar el cumplimiento del artículo 14, de aplicación desde el 11 de septiembre de 2026.

02Soporte a la implementación

Etapa I: Evaluación de riesgos
Objetivos: En base al enfoque basado en riesgos, modular las acciones de cumplimiento en función del tipo de producto, la criticidad del producto, el uso previsto de este y el impacto potencial dentro del entorno digital.

Actividades:

Definición clara de activos en alcance
Modelado de amenazas
Identificación de riesgos y mecanismos de tratamiento

Resultados:

Matriz de Riesgos y Mapeado de Controles CRA
Informe de tratamiento de los Riesgos
Procedimiento de actualización periódica del AARR

Etapa II: Evaluación técnica de requisitos CRA
Objetivos: Revisión de hardware, firmware, comunicaciones y aplicaciones asociadas con el objetivo de detectar vulnerabilidades, debilidades y comportamientos anómalos.

Metodología:

Reconocimiento: Identificación de interfaces, documentación y entorno.
Análisis: Revisión de software, hardware y pruebas básicas de seguridad. Revisión de configuraciones (hardening).
Pruebas de conectividad: Comprobación de apps, APIs y comunicaciones locales.

Resultados: Informe y recomendaciones.

Etapa III: Implementar e Integrar CRA en el ciclo de vida de los productos afectados
Objetivos:

Estandarizar el proceso de cumplimiento con CRA.
Integrar el proceso de cumplimiento con CRA en las áreas afectadas de la organización.

Actividades:

Soporte a la implementación del plan de alineamiento con CRA definido en la Fase I y en base a los riesgos identificados anteriormente.
Definición o Actualización de Políticas, Procedimientos y/o Metodologías afectadas por CRA para su alineamiento al reglamento.

Resultados:

Informes de recomendaciones en el cumplimiento de los artículos y Anexo I y II del reglamento.
Políticas, procedimientos y metodologías alineadas con CRA

Etapa IV: Evaluación de cumplimiento CRA
Objetivos: Validación del Cumplimiento con artículos del reglamento, Anexo I – parte I y parte II y Anexo II como paso previo a la evaluación de la conformidad mediante control interno o a través de un tercero (organismo notificado).

Actividades: Auditoría interna que evalúa el cumplimiento de las medidas indicadas en el reglamento CRA.

Resultados: Informe con el estado de cumplimiento.

Servicios Relacionados

Implementación del Reglamento NIS2 Implementación del ENS Implementación SGIA ISO 42001 Adecuación y Certificación PCI DSS Sistemas de Gestión ISO 27001 Estrategia & CISOaaS Continuidad & Resiliencia

Alcance del servicio

Qué engloba este servicio

Clasificación de productos

Análisis y categorización de todos los productos con elementos digitales según la clasificación definida por el CRA.

Análisis gap de cumplimiento

Evaluación de brechas respecto a los artículos del reglamento y requisitos esenciales de ciberseguridad del Anexo I.

Notificación de vulnerabilidades

Definición de políticas y procedimientos de gestión y notificación de vulnerabilidades e incidentes graves según el artículo 14.

Evaluación de riesgos

Modelado de amenazas, identificación de riesgos, matriz de controles CRA y procedimiento de actualización periódica.

Evaluación técnica

Revisión de seguridad de hardware, firmware, comunicaciones, APIs y aplicaciones asociadas a los productos.

Hardening y configuración

Revisión de configuraciones de seguridad y detección de vulnerabilidades, debilidades y comportamientos anómalos.

Integración en el ciclo de vida

Estandarización e integración del proceso de cumplimiento CRA en todas las áreas afectadas de la organización.

Políticas y procedimientos

Definición o actualización de políticas, procedimientos y metodologías alineadas con los requisitos del CRA.

Auditoría de cumplimiento

Auditoría interna de validación previa a la evaluación de conformidad mediante control interno u organismo notificado.

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis

Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO

RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares

Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía

Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón

Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada

CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza

CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca

CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta

Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen

Director de Ciberseguridad · Grupo AR

Preguntas frecuentes

Resolvemos tus dudas

¿Qué es el Cyber Resilience Act (CRA)?

El CRA es el Reglamento (UE) 2024/2847, en vigor desde diciembre de 2024, que establece requisitos horizontales de ciberseguridad para todos los productos con elementos digitales comercializados en el mercado de la Unión Europea. Aplica a cualquier producto que se conecte a una red, procese datos digitales o incorpore software o firmware.

¿Cuáles son los plazos clave del CRA?

El CRA tiene dos fechas clave: el 11 de septiembre de 2026 entra en vigor la obligación de notificación de vulnerabilidades explotadas activamente e incidentes de seguridad graves, y el 11 de diciembre de 2027 será de obligado cumplimiento en su totalidad.

¿A quién aplica el CRA?

El CRA aplica a fabricantes de productos digitales (dentro o fuera de la UE si comercializan en el mercado europeo), desarrolladores de software, importadores y distribuidores que actúan como intermediarios en la cadena de suministro, y otros operadores como revendedores involucrados en la comercialización de productos en la UE.

¿Qué es un producto con elementos digitales según el CRA?

Es cualquier producto de software o hardware que se conecte directa o indirectamente a una red o a otro dispositivo, procese datos digitales, o incorpore software o firmware. Esto abarca desde dispositivos IoT hasta aplicaciones de software comercial.

¿Se puede integrar el cumplimiento CRA con otras normativas?

Sí. El CRA comparte objetivos con otras regulaciones como NIS2, ISO 27001 o el ENS. Una organización que ya disponga de sistemas de gestión de seguridad puede aprovechar parte del trabajo realizado. Internet Security Auditors tiene experiencia en la integración de múltiples marcos normativos.

Contacto

¿Necesitas evaluar el cumplimiento del CRA?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Teléfono

+34 93 305 13 18

Correo

info@isecauditors.com

Oficinas

Barcelona · Madrid · Bogotá

Ricardo Andrés Cárdenas

Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

Andrés Mejía

Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Victoria Villarreal Palazón

Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

Miguel Acosta

Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Sergio Sainz de la Maza

Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Soy una persona

Nombre

Apellidos

Teléfono de contacto

Correo corporativo

Empresa

País

Servicio de interés

Cuéntanos qué necesitas

He leído y acepto la política de privacidad. Deseo recibir información sobre servicios y publicaciones de Internet Security Auditors. Nos pondremos en contacto contigo lo antes posible.

Presencia Global