Un dispositivo con firmware
Modelo y revisión son la identidad del PDE. El mismo chip de radio bajo tres SKU son tres filas o una base común documentada.
IoT
El dispositivo sale de fábrica con un deber de soporte.
El CRA quiere que no haya una vulnerabilidad explotable conocida en el lanzamiento, defaults seguros y actualizaciones durante un periodo declarado. Eso duele más en firmware que en SaaS.
Reservar una llamada
Un dispositivo conectado sale de fábrica con un deber que no se “enciende en 2027”. El CRA quiere ninguna vulnerabilidad explotable conocida al comercializar, defaults seguros y actualizaciones durante un periodo de soporte declarado.
Primero decide qué es el producto: placa, firmware, app, nube acompañante. Un PDE o varios. Sin esa decisión no sabe qué SBOM, qué CSIRT ni qué fecha de soporte va en el paquete.
El 11 de septiembre de 2026 el artículo 14 no espera a que el OTA “caiga solo”. Una vulnerabilidad explotada de forma activa en la pila de comunicaciones son veinticuatro horas. Crado AI guarda el catálogo de modelos, el SBOM de firmware y la cola on-premise.
Qué cuenta como producto en IoT
La app acompañante
Si la app se comercializa bajo su marca, no se esconde detrás de la caja.
Actualizaciones OTA
El anexo I pide actualizaciones, incluidas las automáticas con opt-out claro. Canal, clave y rollback son prueba.
Periodo de soporte en la compra
Mes y año, visibles en la venta. “Damos soporte al dispositivo” sin fecha no cierra el expediente.
Fricción habitual
- Firmware, radio, nube acompañante y app como un producto o varios.
- Actualizaciones automáticas con un opt-out claro.
- La fecha de fin de soporte visible en la compra.
Qué guarda Crado AI
- Un catálogo de modelos de hardware y revisiones.
- Un SBOM de firmware más componentes de comunicaciones.
- Una cola de vulnerabilidades con el reloj del artículo 14.
Lo que suele doler al IoT
- Firmware, radio, app y nube acompañante: ¿un producto o cuatro?
- OTA con auto-update por defecto y un opt-out lícito.
- Fin de soporte impreso en la venta, no en el PDF del abogado.
Cómo cae el CRA sobre el dispositivo conectado
- Catálogo de modelos, revisiones y mercados, con fecha y fin de soporte.
- SBOM de firmware más la pila de comunicaciones, alineado con el build del dispositivo.
- Defaults seguros: contraseñas, puertos abiertos, diagnóstico remoto apagado o muy justificado.
- Cola del artículo 14 sobre firmware ya en campo, no solo el siguiente release.
- Expediente y CE antes de que el lote salga de la línea, con instrucciones de actualización.
Qué debe funcionar en fábrica y después del envío
-
01
El mapa de modelo
SKU, revisión, firmware, mercados, fecha de soporte.
-
02
El SBOM de la versión flasheada
Lo que entra en el programador comparte digest con el expediente.
-
03
Configuración por defecto
Una fila del anexo I sobre contraseñas, interfaces y superficie de ataque.
-
04
Un reloj en campo
Un dueño que en 24 h sepa qué series están afectadas.
Preguntas de un fabricante IoT
¿La nube acompañante está en el CRA?
El CRA aplica a un producto con elementos digitales. Un servicio en la nube es otra evaluación. Si una app o software acompañante se comercializa bajo su marca, no asuma exención sin una fila en el catálogo.
¿Y los dispositivos ya en cliente antes de 2027?
Una nueva comercialización después del 11 de diciembre de 2027 necesita anexo I, evaluación, declaración y CE. Una modificación sustancial de un modelo antiguo se trata como nueva comercialización. El artículo 14 desde septiembre de 2026 cubre productos que usted aún soporta como fabricante.
¿El auto-update es obligatorio?
El anexo I habla de actualizaciones, incluidas las automáticas cuando tiene sentido, con opt-out claro. Sin canal de actualización en el periodo de soporte hay una laguna en el expediente.
¿Por qué no SaaS para IoT?
El SBOM de firmware y el mapa de series describen el dispositivo en campo. Esa composición no debe ir al tenant de otro.
Otros sectores
Software
Apps, bibliotecas y sistemas embebidos vendidos por separado.
Industrial
Máquinas, controladores y automatización con elementos digitales.
Electrónica
Electrónica y hardware: expediente técnico y marcado CE.
Hablemos de modelos y revisiones
Cuántos SKU, si ya hay OTA, si el SBOM de firmware sale del build.
Reservar una llamadaInstalado en su sede
En la infraestructura del cliente. Copias, identidad y red se quedan en su estándar. No hay plan SaaS.
Producto