Cyber Resilience Act (CRA)
Organismos interesados en solicitar su notificación como Organismo de Evaluación de la Conformidad (OEC) para el Cyber Resilience Act (CRA)
El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA), establece un marco común de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea. Su ámbito de aplicación abarca productos de software, hardware y soluciones de tratamiento de datos a distancia, incluidos los componentes comercializados por separado.
El principal objetivo del CRA es reforzar de manera significativa el nivel de seguridad de estos productos mediante el establecimiento de obligaciones directamente aplicables a los operadores económicos.
El cumplimiento del CRA se demuestra a través de un proceso de evaluación de la conformidad del producto, cuyo resultado se materializa, entre otros elementos, en el marcado Comisión Europea, que refleja el cumplimiento de los requisitos específicos de ciberseguridad establecidos en el Reglamento.
Para determinadas categorías de productos, en particular los productos importantes de Clase II y los productos críticos, el CRA exige la intervención de un Organismo de Evaluación de la Conformidad (OEC) notificado, que actúa como tercero independiente para verificar el cumplimiento de los requisitos de ciberseguridad establecidos en el Reglamento.
Los OEC desempeñan un papel esencial para garantizar una aplicación homogénea, fiable y técnicamente sólida del CRA en todo el mercado interior. Una vez notificados por un Estado miembro, pueden prestar sus servicios en el conjunto de la Unión Europea conforme al principio de reconocimiento mutuo.
Calendario de aplicación del CRA
El Cyber Resilience Act se aplica de forma progresiva, conforme al calendario previsto en el Reglamento:
- 20 de noviembre de 2024 – Publicación en el Diario Oficial de la Unión Europea. El Cyber Resilience Act es publicado oficialmente en el DOUE, iniciándose el cómputo para su entrada en vigor (DOUE L, Reglamento (UE) 2024/2847).
- 10 de diciembre de 2024 – Entrada en vigor del Reglamento El CRA entra formalmente en vigor como Reglamento de la UE, pasando a formar parte del ordenamiento jurídico, aunque sin que resulten aún aplicables la mayoría de las obligaciones materiales (artículo 71, apartado 1).
- 11 de junio de 2026 – A partir de esta fecha comienzan a aplicarse las disposiciones del CRA relativas a la designación de autoridades notificantes y a la notificación de los Organismos de Evaluación de la Conformidad (OEC) (Capítulo IV; artículo 71, apartado 2, letra b del Reglamento (UE) 2024/2847).
- 11 de septiembre de 2026 – Inicio de las obligaciones de notificación de vulnerabilidades e incidentes. Los fabricantes quedan obligados a notificar vulnerabilidades activamente explotadas y determinados incidentes de ciberseguridad, también en relación con productos ya comercializados (artículo 14; artículo 71, apartado 2, letra a).
- 11 de diciembre de 2026 — Los Estados se esforzarán por garantizar, a más tardar el 11 de diciembre de 2026, que haya un número suficiente de organismos notificados en la Unión para llevar a cabo evaluaciones de la conformidad, con objeto de evitar cuellos de botella y obstáculos para el acceso al mercado.
- 11 de diciembre de 2027 – Aplicación plena del Cyber Resilience Act Todas las obligaciones sustantivas del CRA resultan plenamente aplicables a los productos con elementos digitales que se pongan en el mercado de la Unión, incluida la evaluación de la conformidad y el marcado CE (artículo 71, apartado 2, letra c).
Procedimiento transitorio de notificación
Mientras la Comisión Europea completa el desarrollo y la adopción de las normas armonizadas y demás estándares necesarios para la plena aplicación del CRA, la Autoridad Notificante ha desarrollado un procedimiento para tramitar la notificación de un Organismo de Evaluación de la Conformidad (OEC), que consta de los siguientes pasos:
1.
Antes de iniciar el procedimiento de notificación, la entidad solicitante deberá obtener de ENAC una acreditación conforme a los requisitos establecidos en el procedimiento transitorio. Esta acreditación, que constituirá una ampliación del alcance de la acreditación concedida conforme a la norma ISO/IEC 17065, servirá de base técnica y jurídica para que la Autoridad Notificante lleve a cabo la designación y la posterior notificación del organismo.
2.
La entidad solicitante presentará ante la Autoridad Notificante una solicitud de notificación que incluirá:
- Información legal y administrativa
- Información organizativa
- Información técnica
- Información sobre personal
- Información sobre subcontratación
- acreditación para el procedimiento transitorio para la CRA emitida por ENAC
3.
4.
La notificación surtirá efectos desde su publicación en el sistema NANDO. Únicamente a partir de dicho momento el organismo podrá ejercer como Organismo Notificado CRA dentro del alcance autorizado.
Organismos elegibles para el procedimiento Fast-Track
Podrán optar al procedimiento Fast-Track definido por la Comisión Europea aquellos organismos que cumplan al menos uno de los siguientes criterios:
- los organismos notificados conforme a la Directiva 2014/53/UE (RED) que estén acreditados conforme a ISO/IEC 17065, y cuya competencia técnica en ciberseguridad haya sido evaluada;
- los organismos de certificación acreditados conforme a ISO/IEC 17065 que operan en el esquema EUCC y desean ampliar su alcance para incluir actividades CRA.
Quedan excluidos de este mecanismo acelerado los laboratorios (ITSEF) acreditados bajo ISO/IEC 17025, que únicamente podrán participar mediante subcontratación o convenio, bajo la responsabilidad de un organismo de certificación.
Documentación y contacto
Con el fin de facilitar la preparación de los organismos interesados, la Autoridad Notificante pone a disposición la documentación correspondiente al procedimiento Fast Track v1.
Para cualquier consulta relacionada con el proceso de notificación o con el procedimiento transitorio, puede contactarse con la Autoridad Notificante a través del siguiente correo electrónico: 
