Software

El software vendido en la UE es un PDE.

No hace falta enviar un dispositivo para caer bajo el CRA. Una aplicación, una biblioteca o un sistema embebido vendido por separado es un producto con elementos digitales si lo comercializa bajo su nombre.

Reservar una llamada

El Reglamento (UE) 2024/2847 no pregunta si envía una caja. Pregunta si comercializa un producto con elementos digitales en la Unión bajo su nombre o marca. Aplicación, biblioteca, SDK, software embebido vendido por separado: eso es un PDE. Las fechas son las mismas que en hardware: artículo 14 desde el 11 de septiembre de 2026, requisitos esenciales y CE desde el 11 de diciembre de 2027.

Un escáner de repositorio no sustituye el catálogo de versiones, la evaluación de riesgo del anexo I ni la declaración UE. El CRA se aplica al producto que comercializa, no una vez al backlog de la empresa. Una modificación sustancial es una nueva comercialización.

El expediente tiene que armarse sin sacar el código de la red. Crado AI está on-premise por eso: SBOM, cola de CVE y vía CE se quedan con usted.

Qué cuenta como producto con elementos digitales en software

Una aplicación bajo su marca

Escritorio, móvil, herramienta de ingeniería, cliente on-prem. Si el nombre del listing es el suyo, parta de que es un PDE.

Biblioteca, SDK o runtime

Un componente vendido por separado es un producto propio. La diligencia sobre dependencias sigue siendo suya.

Software embebido vendido solo

Firmware o un stack sin placa no sale del alcance solo porque “no es un dispositivo”.

Una herramienta interna no es exención automática

El alcance se decide al comercializar. Si el mismo software va al cliente bajo su marca, el catálogo necesita una fila.

Fricción habitual

Un SBOM desde la CI, no desde una hoja después del lanzamiento.
Un periodo de soporte que ventas nunca prometió y el reglamento ahora exige.
Notificar una vulnerabilidad explotada de forma activa en 24 horas.

Qué guarda Crado AI

Versiones de producto ligadas a SBOM y CVE.
Anexo I sobre propiedades del software: actualizaciones, configuración por defecto, sin exploits conocidos al comercializar.
Documentación y vía CE sin sacar el código de su red.

Lo que suele doler a una software house

La versión de la tienda y la del SBOM se desalinean en dos sprints.
Un soporte prometido “mientras paguen la suscripción” no tiene mes y año en el paquete.
Un CVE en una dependencia de producción cae el viernes, y el artículo 14 no espera al lunes.

Cómo cae el CRA sobre el software

Catálogo de versiones con fecha de puesta a disposición y fin de soporte con mes y año, no “mientras dure la suscripción”.
SBOM del pipeline, bloqueado a la versión de la tienda, no un volcado del monorepo desde main.
Anexo I parte I: defaults seguros, actualizaciones con opt-out claro, ninguna vulnerabilidad explotable conocida al comercializar.
Anexo I parte II y artículo 14: cola, dueño, reloj 24 h / 72 h al CSIRT y a ENISA.
Expediente técnico y declaración UE antes de que la versión salga del canal de distribución.

Qué debe funcionar antes del artículo 14

01

Versiones como PDE

Cada release en el mercado de la Unión tiene una fila: nombre, versión, mercados, fecha, fin de soporte.
02

SBOM desde la CI

Un build que no coincide con el SBOM no se envía. Las líneas de terceros llevan proveedor y versión.
03

Riesgo en el anexo I

Una laguna no vive al lado en Jira. Apunta al requisito que no cumple.
04

La cola de 24 h

Dueño nombrado, ruta a la plataforma única, un drill sobre una dependencia de producción.

Preguntas de una software house

¿El SaaS cae bajo el CRA?

El CRA aplica a un producto con elementos digitales comercializado. Un servicio puro en la nube es otra conversación. Cliente on-prem, instalador, biblioteca o app bajo su marca: empiece por un PDE.

¿El open source nos saca?

No de la diligencia debida si comercializa un producto bajo su nombre y hay componentes de terceros dentro.

¿Cada parche es una nueva comercialización?

No. Una modificación sustancial sí. Una versión mayor o una función que cambia el riesgo recibe una fila nueva y un SBOM nuevo.

¿Por qué on-premise para software?

El SBOM y el expediente describen la composición de su código. No tienen que aterrizar en el servidor del proveedor CRA.

El software vendido en la UE es un PDE ->

Otros sectores

IoT

Dispositivos conectados, firmware y periodo de soporte.

Industrial

Máquinas, controladores y automatización con elementos digitales.

Electrónica

Electrónica y hardware: expediente técnico y marcado CE.

Hablemos del catálogo de versiones

Veinte minutos. Cuántos productos en la Unión, si el SBOM sale de la CI, quién es el fabricante en el contrato.