01
Catálogo PDE
Productos, versiones, mercados y fecha de comercialización. Se ve qué cubre el CRA.
Cyber Resilience Act
Mapa de productos
Riesgo
SBOM
Documentación
On-premise
Ayudamos a los fabricantes a gestionar la ciberseguridad del producto según el CRA.
Mapa de productos, evaluación de riesgo, SBOM, documentación y tratamiento de vulnerabilidades. Un sistema, antes de que el producto llegue al mercado de la Unión.
Alcance
El CRA no es un escáner de vulnerabilidades
Las vulnerabilidades y el reloj del artículo 14 son un módulo. El sistema lleva el mapa de productos, el riesgo, el SBOM, el expediente técnico y la vía CE.
02
Anexo I
Requisitos esenciales anclados al producto, con evaluación de riesgo y lagunas.
03
SBOM y componentes
Ingredientes, origen, licencias y vulnerabilidades conocidas.
04
Vulnerabilidades
Tratamiento durante el periodo de soporte declarado, con reloj de 24h / 72h.
05
Documentación
Expediente técnico listo si lo pide la vigilancia del mercado.
06
Vía CE
Evaluación de la conformidad, declaración UE y marcado, antes de que el producto salga del almacén.
Cómo es la primera semana tras la instalación
- 1
Catálogo
Entran los productos: nombre, versión, tipo (dispositivo / software / componente), mercados, fecha de comercialización, fin de soporte.
- 2
Alcance
En cada PDE marca si aplica el CRA, quién es el fabricante y si hubo una modificación sustancial.
- 3
Riesgo y anexo I
La evaluación de riesgo está ligada a los requisitos esenciales. Una laguna no vive en una hoja aparte.
- 4
SBOM
Componentes desde CI o importación, ligados a CVE. La diligencia sobre el proveedor se queda en el componente.
- 5
Artículo 14 y CE
Cola de vulnerabilidades con reloj 24h/72h. Expediente técnico, declaración UE, marcado - antes de que el producto salga del almacén.
Para quién es Crado AI
- Un fabricante de hardware o software que comercializa un producto en el mercado de la Unión bajo su nombre.
- Un importador que comercializa un producto de fuera de la UE y asume deberes de fabricante.
- Quality / Product Security / un CTO que necesita un expediente técnico, no una diapositiva.
- Una empresa de 20–250 personas con catálogo PDE, sin un departamento de conformidad de 15 personas.
Qué no hay aquí
- Una nube SaaS. El despliegue es solo on-premise.
- Una lista de precios pública ni un botón de compra.
- Un organismo notificado ni un dictamen de un bufete.
- Un módulo NIS2, AI Act o DORA. Este sistema es para el CRA.
Solo on-premise
El SBOM, la evaluación de riesgo y el expediente técnico se quedan en su red. No hay nube de producto y no pedimos subir el expediente fuera.
- Aplicación y base en su infraestructura (VM o Kubernetes).
- Identidad contra su IdP (OIDC / SAML).
- Copias y red se quedan en su estándar.
- Sin tenant en nuestra nube y sin plan SaaS.
Sectores
La misma regulación, otro producto
Software
El software vendido en la UE es un PDE.
No hace falta enviar un dispositivo para caer bajo el CRA. Una aplicación, una biblioteca o un sistema embebido vendido por separado es un producto con elementos digitales si lo comercializa bajo su nombre.
IoT
El dispositivo sale de fábrica con un deber de soporte.
El CRA quiere que no haya una vulnerabilidad explotable conocida en el lanzamiento, defaults seguros y actualizaciones durante un periodo declarado. Eso duele más en firmware que en SaaS.
Industrial
Una máquina con controlador también es un producto con elementos digitales.
Una línea, un PLC, un HMI, una pasarela: si lo comercializa en el mercado de la Unión como producto, el CRA pregunta por diseño, componentes y mantenimiento. El comprador industrial no quiere ese expediente en la nube de otro.
Electrónica
Un marcado CE tras el CRA es más que CEM y baja tensión.
La ciberseguridad pasa a ser una propiedad del producto junto a las directivas anteriores. El fabricante necesita evaluación de riesgo, lista de materiales y periodo de soporte antes de comercializar.
Calendario
Las fechas que marcan el ritmo
- 01
10 de diciembre de 2024
Entrada en vigor
El reglamento está en vigor. La aplicación plena de los requisitos esenciales llega después.
- 02
11 de junio de 2026
Organismos de evaluación de la conformidad
Empiezan a aplicarse las normas sobre la notificación de organismos de evaluación de la conformidad.
- 03
11 de septiembre de 2026
Notificaciones del artículo 14
Los fabricantes notifican vulnerabilidades explotadas de forma activa e incidentes graves: alerta temprana en 24 horas, notificación completa en 72 horas y luego un informe final.
- 04
11 de diciembre de 2027
Requisitos esenciales y CE
Un producto comercializado debe cumplir el anexo I, completar la evaluación de la conformidad y llevar declaración UE y marcado CE. La evaluación de riesgo, la documentación, el SBOM y el periodo de soporte deben estar en marcha.
Base de conocimiento
Recursos CRA
Atajos a las partes clave del reglamento y herramientas que vamos añadiendo.
Blog CRA
Mapa de productos, riesgo, documentación y fechas del reglamento.
Fechas CRA
10.2024 entrada en vigor, 09.2026 art. 14, 12.2027 marcado CE.
Anexo I en breve
Requisitos esenciales: propiedades del producto y tratamiento de vulnerabilidades.
Roles en la cadena
Fabricante, importador, distribuidor, representante autorizado.
El reloj del artículo 14
Alerta temprana 24h, notificación completa 72h, informe final.
Lista del anexo I
ProntoLista de requisitos esenciales para el expediente técnico.
Calculadora de periodo de soporte
ProntoCalcule el fin de soporte y la fecha EOL de un producto.
Preguntas que van a salir igual
¿Crado AI es un escáner de vulnerabilidades?
No. Las vulnerabilidades y el reloj del artículo 14 son un módulo. El sistema lleva el mapa de productos (PDE), la evaluación de riesgo y el anexo I, el SBOM, el expediente técnico y la vía CE.
¿El software autónomo cae bajo el CRA?
Sí, si lo comercializa en el mercado de la Unión bajo su nombre o marca. Un PDE no es solo una caja de electrónica.
¿Qué pasa el 11 de septiembre de 2026?
Se aplica el artículo 14: vulnerabilidades explotadas de forma activa e incidentes graves. Alerta temprana en 24 horas, notificación completa en 72 horas, luego informe final. Por la plataforma única al CSIRT del establecimiento principal y a ENISA.
¿Y el 11 de diciembre de 2027?
Requisitos esenciales del anexo I, evaluación de la conformidad, declaración UE y marcado CE al comercializar. La evaluación de riesgo, el SBOM, la documentación y el periodo de soporte ya deben estar en marcha.
¿Es una nube?
No. Instala Crado AI en su sede. El SBOM y el expediente técnico no llegan a nuestro servidor.
¿Sustituyen a un organismo notificado?
No. El sistema reúne pruebas y lleva el proceso. La evaluación de la conformidad sigue siendo suya.
¿Cuántos productos puede cubrir?
Desde unos pocos SKU hasta un catálogo de cientos. En la llamada cuenta el número de PDE y si ya sale un SBOM del pipeline.
¿De dónde salen los datos de los mockups?
Un catálogo ficticio (Gate-240, Lens OS). Muestra la densidad de la interfaz, no datos de un cliente.
¿Adónde va el formulario?
A hello@crado.eu. Respondemos a la dirección que indique.