Preguntas frecuentes sobre la ley CRA
La segunda fase del reglamento entrará en vigor el 11 de septiembre de 2026 y las empresas deben preparse para modificar su forma de actuar en base a los requisitos que marca la ley para este periodo. A partir de esta fecha comenzará a aplicarse la obligación crítica de que los fabricantes notifiquen las vulnerabilidades activamente explotadas y los incidentes graves.
El 11 de diciembre de 2027 será la aplicación plena del reglamento. A partir de esta fecha, todos los productos con elementos digitales comercializados en la UE deberán cumplir con todos los requisitos de ciberseguridad (incluyendo el marcado CE).
Ley europea de Ciberresilencia: Para unos productos digitales más seguros y protegidos
Esta sección pretende recoger las dudas más habituales entre fabricantes de productos conectados, en su mayoría, vinculadas a los artículos 13, 14, 32 y 69 de la normativa.
Duda sobre diseño
Los productos diseñados antes de la aplicación del CRA que no cumplan con la normativa, ¿habría que rediseñarlos?
No siempre. Un producto diseñado antes del CRA puede seguir en el mercado sin rediseño, pero solo si el fabricante puede demostrar con la evaluación de riesgos y la documentación técnica que alcanza un nivel adecuado de ciberseguridad (que cumple los requisitos esenciales aplicables).
Duda sobre notificación de vulnerabilidades
¿Habría que notificar a ENISA y a los clientes las vulnerabilidades encontradas en una librería integrada?
Sí, si la vulnerabilidad está presente y es explotable en tu producto.
No hace falta esperar a que ya se haya explotado en una máquina del cliente.
Duda sobre stock
El stock puesto en el mercado antes del 11/12/2027, ¿se puede seguir vendiendo si incumple la ley?
Sí, pero solo hasta agotar stock. El stock ya puesto en el mercado antes del 11/12/2027 puede agotarse en 2028, pero las nuevas unidades fabricadas después de esa fecha sí deben cumplir con la CRA antes de venderse.
Programa de Aceleración ZIUR para la implantación del CRA
Como ya sabes, hemos puesto en marcha un programa especial de apoyo a las empresas en este ámbito, denominado Programa de Aceleración ZIUR. Este programa pretende ayudar a la empresa a implantar el CRA, facilitando el proceso de evaluación de los productos, entre otros aspectos. Para ello, trabajamos con la colaboración de diferentes empresas del ecosistema de ciberseguridad de Euskadi, que participan tanto en la difusión de los servicios disponibles bajo esta iniciativa, como en los procesos de evaluación relacionados con la implementación de esta ley.
Consulta nuestra agenda para conocer qué formaciones y jornadas tenemos en marcha sobre la implantación del CRA y no dudes en escribirnos al buzón de correo cra@ziur.eus para resolver dudas de cualquier tipo.
