Qué cuenta como producto con elementos digitales en el CRA

El Cyber Resilience Act no empieza por un escáner, un formato SBOM ni un taller CE. Empieza por una definición. El Reglamento (UE) 2024/2847 aplica a un producto con elementos digitales (PDE) comercializado en el mercado de la Unión. Si no puede listar esos productos, cada artefacto posterior cuelga del objeto equivocado.

Un PDE no es solo una caja de electrónica. El software autónomo vendido bajo su nombre es un PDE. Un componente vendido por separado es un PDE. Las fechas - 11 de septiembre de 2026 y 11 de diciembre de 2027 - son las mismas.

A quién habla el reglamento

El destinatario principal es el fabricante: quien comercializa el producto en la Unión bajo su nombre o marca. Es un rol jurídico, no un cargo en LinkedIn. Si pone su marca en un dispositivo que montó otro, usted es el fabricante para el CRA. Si importa un producto de fuera de la UE y lo comercializa, asume deberes de fabricante.

Importadores y distribuidores tienen sus propias comprobaciones. No sustituyen el expediente del fabricante. Un representante autorizado no le escribe la evaluación de riesgo.

La unidad del deber es el producto, no la persona jurídica una vez. Dos SKU son dos expedientes aunque compartan el árbol de firmware. Una modificación sustancial es una nueva comercialización: el catálogo gana otra fila, el SBOM otro bloqueo, la declaración otra fecha.

Dispositivo, software, componente

El texto es horizontal a propósito. El hardware con elementos digitales entra. El software que pone a disposición en la Unión bajo su nombre entra, incluido el software embebido vendido por separado. Una biblioteca, un SDK, un runtime industrial, una app móvil que comercializa como producto: si el nombre del listing es el suyo, parta de que es un PDE y documente por qué no, si cree que no.

«Solo vendemos software» no es una exención. «Corre en la nube» es otra conversación sobre qué comercializa realmente como producto. «Es un componente dentro de la máquina de otro» sigue importando si vende ese componente por separado bajo su marca.

En cada fila necesita cosas aburridas y concretas:

• nombre y versión,
• tipo (dispositivo / software autónomo / componente),
• mercados en los que lo pone a disposición,
• fecha de comercialización o de puesta a disposición,
• fin de soporte con mes y año, declarado en la compra,
• quién es el fabricante de esa fila,
• si hubo modificación sustancial.

Sin esos campos no engancha un SBOM, una laguna del anexo I ni una notificación del artículo 14 a nada que una autoridad reconozca.

El alcance es una decisión por producto

El CRA no es una insignia de empresa que se gana en 2027. En cada PDE marca si aplica el reglamento, quién es el fabricante y si el último cambio fue sustancial. Esa decisión pertenece al catálogo, junto a las pruebas, no a una diapositiva «estamos en alcance».

Los productos ya puestos a disposición antes del 11 de diciembre de 2027 no quedan fuera de la historia. Una nueva comercialización después de esa fecha necesita anexo I, evaluación de la conformidad, declaración UE y marcado CE. Una modificación sustancial de un producto antiguo se trata como nueva comercialización. Planear «solo productos nuevos» sin definir modificación sustancial es cómo un SKU de 2024 se convierte en un problema de 2028.

Por qué el catálogo tiene que existir antes del artículo 14

El 11 de septiembre de 2026 el fabricante notifica vulnerabilidades explotadas de forma activa e incidentes graves. La notificación apunta a un producto. Si el producto vive en un hilo de correo, gastará la ventana de 24 h buscando la cadena de versión.

El mismo catálogo alimenta el expediente del 11 de diciembre de 2027: identidad, riesgo, anexo I, SBOM, periodo de soporte, instrucciones, declaración, marcado. Un escáner no crea esa identidad. La consume.

Qué poner en la primera semana

1. Liste cada nombre que comercializa en la Unión, incluido software y componentes vendidos por separado.
2. Dé a cada uno versión, tipo, mercados y fin de soporte con mes y año.
3. Marque el fabricante en los papeles y cualquier modificación sustancial.
4. Ate el SBOM y la fila de riesgo del anexo I a esa identidad, no a la empresa.
5. Tenga el catálogo on-premise. Es el índice del expediente técnico.

Crado AI está construido como ese índice: primero el catálogo PDE, luego riesgo, SBOM, artículo 14 y CE. Si la fila no existe, el resto del CRA no tiene dónde sentarse.