Blog
Qué empiezan de verdad el 11 de septiembre de 2026 y el 11 de diciembre de 2027
Foto: ThisisEngineering / Unsplash
Dos fechas dominan cada conversación sobre el Cyber Resilience Act: 11 de septiembre de 2026 y 11 de diciembre de 2027. No son el mismo deber. Ninguna cae la mañana del plazo. El Reglamento (UE) 2024/2847 ya está en vigor. Las fechas de abajo abren obligaciones concretas para el fabricante que comercializa un producto con elementos digitales en el mercado de la Unión.
Si trata ambas fechas como «entonces empieza el CRA», perderá el primer reloj operativo y llegará al marcado CE con el expediente técnico vacío.
El calendario tiene cuatro fechas, no dos
| Fecha | Qué empieza de verdad |
|---|---|
| 10 de diciembre de 2024 | El reglamento entró en vigor. El texto legal aplica. La aplicación plena de los requisitos esenciales llega después. |
| 11 de junio de 2026 | Normas sobre notificación de organismos de evaluación de la conformidad. Importa si su clase de producto necesitará un organismo notificado. |
| 11 de septiembre de 2026 | Artículo 14: vulnerabilidades explotadas de forma activa e incidentes graves. Alerta temprana 24 h, notificación 72 h, luego informe final. |
| 11 de diciembre de 2027 | Requisitos esenciales del anexo I, evaluación de la conformidad, declaración UE y marcado CE al comercializar el producto. |
La mayoría de las diapositivas omiten junio de 2026 y aplastan septiembre de 2026 a «algo de incidentes». Así los equipos planifican un proyecto CE para 2027 y en agosto de 2026 descubren que en veinticuatro horas no saben nombrar el producto, el dueño ni el CSIRT.
Lo que esas mañanas no arrancan
Nada en el reglamento crea un SBOM listo, una evaluación de riesgo o el expediente técnico el día en que nace la obligación. La vigilancia del mercado puede pedir el expediente después del 11 de diciembre de 2027. El artículo 14 puede dispararse el 12 de septiembre de 2026 a las 02:00. El sistema que responde a ambas preguntas tiene que existir antes.
Las fechas tampoco arrancan un «programa de privacidad» al estilo del RGPD. El CRA es una norma de seguridad del producto. El destinatario es el fabricante de un producto concreto, no «la empresa» una vez. Una modificación sustancial es una nueva comercialización.
No arrancan una suscripción de escáner. El CRA no es un escáner. Escanear es una entrada al anexo I parte II y a la cola del artículo 14.
11 de septiembre de 2026 - el artículo 14 es un reloj operativo
Es la primera fecha que cambia el trabajo de un fabricante un viernes por la noche. Desde el 11 de septiembre de 2026 notifica vulnerabilidades explotadas de forma activa e incidentes graves del producto.
Los relojes del texto son cortos a propósito:
- alerta temprana en 24 horas desde que lo sabe,
- notificación completa en 72 horas,
- informe final: 14 días después de la corrección en una vulnerabilidad, o un mes después del aviso de 72 h en un incidente.
Un canal: plataforma única, al CSIRT del establecimiento principal y a ENISA. No invente un buzón paralelo. No espere al standup del lunes.
Qué significa «lo sabe»
El reloj de 24 h arranca cuando el fabricante tiene conocimiento, no cuando el ticket está limpio. Si el conocimiento vive en un correo de un investigador, un ticket de cliente y un hilo de Slack, las horas ya se fueron antes de que existiera la cola. La pregunta operativa: quién puede decir «lo sabemos» y a qué versión del producto se engancha.
Sin catálogo de productos no responde qué SKU, qué versión, qué mercado ni qué fin de soporte. Sin un SBOM de la versión enviada no dice qué componente arde. Sin dueño nombrado, la ventana de 24 h es un recordatorio de calendario, no un proceso.
Qué notifica y qué no
El artículo 14 no es «cada CVE del backlog». Son vulnerabilidades explotadas de forma activa e incidentes graves. Aun así necesita una cola que sepa distinguir: un número CVSS en el escáner no es lo mismo que explotación activa, y un portátil caído en la oficina no es un incidente de producto.
La notificación debe apuntar a un producto comercializado. Si el mismo firmware viaja bajo tres marcas, el expediente tiene que saberlo. Si el proveedor del componente revela primero, la diligencia debida sobre ese componente sigue siendo suya.
Qué debe funcionar ya en agosto de 2026
- Catálogo PDE con nombre, versión, tipo, mercados y fin de soporte (mes y año).
- SBOM del pipeline, anclado a la versión que realmente envía.
- Cola de vulnerabilidades con reloj 24 h / 72 h y dueño nombrado por producto.
- Ruta escrita a la plataforma única y al CSIRT del establecimiento principal.
- Expediente técnico que abra sin sacar datos de la red.
Si alguno de esos es «lo montamos en septiembre», la primera vulnerabilidad explotada será arqueología de correo.
11 de diciembre de 2027 - requisitos esenciales y CE
Desde esa fecha un producto comercializado en el mercado de la Unión debe cumplir el anexo I, completar la evaluación de la conformidad, llevar declaración UE y marcado CE. También debe mantener la evaluación de riesgo, la documentación, el SBOM y el periodo de soporte declarado en la compra con mes y año.
No es «activar el CE en diciembre de 2027». El expediente tiene que existir antes de que el producto salga del almacén. Una autoridad puede pedirlo después. Un SBOM que falta o una fila de riesgo que no apunta al anexo I no es un problema de formato. La vía de conformidad no está cerrada.
El módulo A sigue siendo prueba
La mayoría de los productos de clase por defecto se quedan en el módulo A (control interno de la producción). No es un pase libre. Sigue necesitando evaluación de riesgo, pruebas del anexo I, SBOM, periodo de soporte, instrucciones, declaración y marcado. Un organismo notificado es otra clase de producto, no un sustituto del expediente.
El 11 de junio de 2026 importa aquí: empiezan a aplicarse las normas sobre notificación de organismos. Si su producto necesitará un organismo notificado, descubrir esa cola a finales de 2027 es una segunda fecha perdida.
La comercialización es el gatillo
El CRA aplica cuando comercializa el producto en la Unión bajo su nombre o marca. Los productos ya puestos a disposición antes del 11 de diciembre de 2027 no son un cheque en blanco. Una modificación sustancial se trata como una nueva comercialización. Una versión mayor nueva, una función digital que cambia el riesgo, un rebrand que le convierte en el fabricante en los papeles: son eventos del expediente, no de marketing.
El periodo de soporte declarado en la compra (mes y año) forma parte de la identidad del producto. No es un eslogan en la web. Tiene que cuadrar con el catálogo, la ventana de mantenimiento del SBOM y el deber de tratar vulnerabilidades del anexo I parte II.
Qué hay de verdad en el expediente de 2027
No un PDF de vulnerabilidades. Es la identidad del producto, la evaluación de riesgo del artículo 13 a lo largo del ciclo de vida, las pruebas frente al anexo I parte I (propiedades del producto) y parte II (tratamiento de vulnerabilidades), el SBOM, el periodo de soporte, las instrucciones, la declaración UE y el marcado CE. Si falta uno, la vía no está cerrada.
Lecturas habituales de las fechas, y malas
«Tenemos hasta 2027.» El artículo 14 es catorce meses antes. El reloj de 24 h no lee su plan de proyecto CE.
«Septiembre de 2026 es solo incidentes.» Son vulnerabilidades explotadas de forma activa e incidentes graves. Lo primero necesita SBOM y mapa de productos tanto como lo segundo.
«Compraremos un escáner en 2026.» Un escáner no le da identidad de fabricante, fechas de soporte, lagunas del anexo I ni declaración. Alimenta una cola. No sustituye la cola.
«El software va después.» El software autónomo comercializado en la Unión es un producto con elementos digitales. Las fechas son las mismas.
«El CE es cosa del organismo notificado.» Para la mayoría de los productos es cosa suya. El organismo, si hace falta, evalúa. Las pruebas las tiene usted.
Qué debe funcionar antes del primer plazo
Cuente hacia atrás desde el 11 de septiembre de 2026, no hacia delante desde una diapositiva de 2027.
- Catalogue cada PDE: versión, mercado, fecha de comercialización, fin de soporte con mes y año.
- Ate la evaluación de riesgo del artículo 13 al anexo I. Una laguna en una hoja aparte no es una evaluación.
- Produzca el SBOM desde el pipeline y bloquéelo a la versión enviada.
- Monte la cola 24 h / 72 h con dueño nombrado y ruta al CSIRT y a ENISA.
- Tenga el expediente técnico on-premise, exportable sin sacar el SBOM de la red.
Crado AI es el sistema on-premise para ese bucle: catálogo, riesgo, SBOM, artículo 14, expediente técnico y CE. Las fechas no se mueven. El expediente no aparece la mañana del 11 de septiembre.