El Reglamento (UE) 2024/2847 —Cyber Resilience Act (CRA)— ya está publicado. Lo que cambia ahora no es si hay que prepararse, sino cuándo conviene abordar cada bloque de trabajo. Muchos fabricantes siguen asociando el CRA a una única fecha final, como si bastara con “tener el expediente listo en 2027”. En la práctica, el reglamento entra en vigor por fases: algunas obligaciones llegan antes que la aplicación general, y esa secuencia debería condicionar por completo la prioridad del plan de cumplimiento.
Las tres fechas que marcan el calendario
El 11 de junio de 2026 empiezan a aplicarse las disposiciones del Capítulo IV sobre notificación de organismos de evaluación de la conformidad. No es todavía la fecha en la que todos los productos deban cumplir el reglamento, pero sí el momento a partir del cual el ecosistema de evaluación debería empezar a estar disponible de forma operativa. Si tu producto puede requerir la intervención de un tercero, esta fecha importa para planificar interlocución, disponibilidad y márgenes temporales. Dejarlo todo para el último trimestre suele traducirse en cuellos de botella, no en ahorro.
El 11 de septiembre de 2026 es, probablemente, la fecha más subestimada del calendario. Desde entonces se aplica el Artículo 14, relativo a las obligaciones de notificación de vulnerabilidades activamente explotadas e incidentes graves. Aquí no basta con “pensar” en un proceso de vulnerabilidades: hace falta un canal de reporte visible, roles claros, criterios de triaje, capacidad real de analizar el impacto sobre versiones y componentes, y una forma ordenada de comunicar cuando corresponda. Para muchos fabricantes, este hito debería ir por delante del resto del expediente técnico, porque depende más de organización y operación que de redactar un anexo.
La fecha que todo el mundo recuerda es el 11 de diciembre de 2027, la de aplicación general. A partir de entonces, los productos con elementos digitales puestos en el mercado de la UE deberán cumplir los requisitos aplicables del CRA, salvo las exclusiones y transitorios previstos. Los productos ya comercializados antes de esa fecha solo quedan sujetos a determinadas obligaciones si, a partir de entonces, sufren modificaciones sustanciales en el sentido del reglamento. Llegar a 2027 sin haber resuelto antes los procesos de 2026 es una de las formas más caras de “cumplir tarde”.
Qué priorizar, y por qué ese orden
Una planificación realista suele empezar por lo que tiene fecha más cercana y más dependencia organizativa. Lo primero suele ser montar o madurar los procesos de vulnerabilidades e incidentes: canal, triaje, análisis, remediación y comunicación. Sin eso, el resto del expediente describe un producto que no se puede mantener de forma defendible.
Inmediatamente después conviene cerrar el alcance del producto y la evaluación de riesgos. Sin una línea base clara —qué es el producto, qué versiones entran, qué interfaces y dependencias importan—, las evidencias se fragmentan y cada documento cuenta una historia distinta. Sobre esa base tiene sentido trabajar el inventario de componentes y el mantenimiento del producto, porque son la herramienta operativa para analizar impacto y demostrar control del ciclo de vida.
Solo cuando ese núcleo funciona resulta eficiente profundizar en las propiedades de seguridad del producto, la documentación técnica y la declaración de conformidad. Y, en paralelo o un poco más adelante, definir la ruta de evaluación de la conformidad: anticipar si hará falta apoyo de terceros y con qué margen, en lugar de descubrirlo cuando el calendario ya no perdona.
Errores que se repiten
El error más habitual es tratar el CRA como un proyecto de documentación para finales de 2027. El segundo es empezar por la declaración de conformidad sin haber cerrado alcance, riesgos y procesos: el papel puede quedar bonito, pero no sostiene una evaluación seria. También es frecuente asumir que cumplir otro marco —por ejemplo, los requisitos de ciberseguridad de RED— equivale a cumplir el CRA. Sirve como base; no cierra el expediente. Y dejar el canal de vulnerabilidades “para cuando exista un organismo notificado” suele llegar tarde: esa obligación no espera a que el resto del mercado esté perfectamente engrasado.
Cómo puede ayudar Digital Cubes
Digital Cubes acompaña a fabricantes como consultora independiente en la preparación del cumplimiento CRA. No actuamos como organismo notificado ni como laboratorio de ensayos.
Si quieres priorizar tu plan frente a 2026–2027 o encargar una evaluación inicial, consulta nuestra consultoría Cyber Resilience Act (CRA) o contáctanos.
