--- title: "Cyber Resilience Act (CRA): qué es y su relación con el ciberseguro para pymes" description: "Cyber Resilience Act y ciberseguro para pymes | Trebia. El Cyber Resilience Act y ciberseguro son dos piezas del mismo tablero: el CRA es el reglamento europeo que obliga a los fabricantes de producto..." url: https://riesgociberseguro.com/cyber-resilience-act-y-ciberseguro-para-pymes/ date: 2026-09-14 modified: 2026-09-14 author: "admin" image: https://riesgociberseguro.com/wp-content/uploads/2026/09/pexels-sommarts-35754364-scaled.jpg categories: ["Uncategorized"] type: post lang: es --- # Cyber Resilience Act (CRA): qué es y su relación con el ciberseguro para pymes Cyber Resilience Act y ciberseguro para pymes | Trebia El **Cyber Resilience Act y ciberseguro** son dos piezas del mismo tablero: el CRA es el reglamento europeo que obliga a los fabricantes de productos con elementos digitales a incorporar la ciberseguridad desde el diseño, mientras que el ciberseguro traslada a una aseguradora las consecuencias económicas de un incidente. El primero fija el deber legal; el segundo cubre el riesgo que queda cuando ese deber falla. Para una pyme, entender cómo encajan evita tanto la sanción como el sobrecoste de un ataque. Cyber Resilience Act (CRA) | Norma | Reglamento (UE) 2024/2847 | | --- | --- | | Nombre | Cyber Resilience Act (Ley de Ciberresiliencia) | | Ámbito | Productos con elementos digitales (hardware y software) en el mercado de la UE | | Obligados | Fabricantes, importadores y distribuidores | | En vigor | 10 de diciembre de 2024 | | Notificación de vulnerabilidades | Desde el 11 de septiembre de 2026 (plataforma de ENISA) | | Aplicación general | 11 de diciembre de 2027 | | Supervisión | Autoridades nacionales de vigilancia del mercado; ENISA | La ciberseguridad ha dejado de ser una recomendación técnica para convertirse en una obligación regulada. El CRA es la norma que cierra el círculo por el lado del producto: no basta con que la empresa proteja sus sistemas, ahora los propios dispositivos y programas que llegan al mercado deben ser seguros de fábrica. A continuación te explicamos qué es el Cyber Resilience Act, a quién obliga, qué plazos maneja y por qué el cumplimiento normativo y el ciberseguro se refuerzan entre sí. ## Qué es el Cyber Resilience Act El Cyber Resilience Act (CRA) es el Reglamento (UE) 2024/2847, la primera norma europea que impone requisitos de ciberseguridad a los productos con elementos digitales durante todo su ciclo de vida. Obliga a que hardware y software se diseñen de forma segura, se actualicen frente a vulnerabilidades y lleven el marcado CE que acredita su cumplimiento. Está en vigor desde el 10 de diciembre de 2024 y sus obligaciones se despliegan por fases hasta 2027. El CRA parte de una constatación sencilla: buena parte de los ciberataques explota fallos en productos que se vendieron sin las defensas adecuadas o que dejaron de recibir actualizaciones. Hasta ahora, un fabricante podía comercializar un dispositivo conectado o una aplicación sin ningún requisito común de seguridad. El reglamento pone fin a esa laguna con reglas iguales para todo el mercado europeo. La lógica es la de la seguridad desde el diseño y por defecto. El fabricante debe evaluar los riesgos de ciberseguridad del producto, corregir las vulnerabilidades que se detecten y ofrecer soporte durante un periodo determinado. El cumplimiento se acredita con el marcado CE, el mismo distintivo que ya identifica a otros productos que cumplen la normativa de la Unión Europea[[1]](#fuente-1). ## A quién obliga el CRA El CRA obliga principalmente a los fabricantes de productos con elementos digitales que se comercializan en la Unión Europea, e incluye también a importadores y distribuidores. Un producto con elementos digitales es cualquier hardware o software cuya finalidad implique una conexión de datos, directa o indirecta, con un dispositivo o una red. Quedan fuera del reglamento los productos ya cubiertos por normativas específicas, como los dispositivos médicos o la aviación. La figura central es el fabricante, sobre quien recae el grueso de las obligaciones. Pero la responsabilidad se reparte por la cadena de comercialización, de modo que quien importa o distribuye un producto también debe comprobar que cumple antes de ponerlo a la venta. | Actor | Qué debe garantizar | | --- | --- | | Fabricante | Diseñar el producto de forma segura, gestionar vulnerabilidades, dar soporte y aplicar el marcado CE. | | Importador | Verificar que el fabricante cumplió antes de introducir el producto en el mercado de la UE. | | Distribuidor | Comprobar que el producto lleva el marcado CE y la documentación exigida. | Para una pyme, la pregunta clave no siempre es «¿fabrico yo un producto digital?». Muchas pequeñas empresas desarrollan software a medida, comercializan dispositivos conectados o integran componentes de terceros, y en esos casos pueden quedar dentro del alcance del reglamento. Aunque no fabriquen, casi todas dependen de proveedores que sí están obligados, lo que traslada la exigencia por la cadena de suministro. ## Plazos de aplicación del CRA El CRA está en vigor desde el 10 de diciembre de 2024, pero sus obligaciones se aplican por fases. Desde el 11 de septiembre de 2026 rige el deber de notificar las vulnerabilidades explotadas activamente y los incidentes graves a través de la plataforma única de ENISA. El grueso de los requisitos, incluido el marcado CE, será exigible a partir del 11 de diciembre de 2027. Ese calendario escalonado da margen a los fabricantes para adaptarse. Conocer las fechas importa porque la obligación de notificar llega antes que el resto del reglamento. Una empresa puede estar sujeta al deber de comunicar vulnerabilidades meses antes de que le sea exigible el marcado CE de sus productos. | Fecha | Qué entra en juego | | --- | --- | | 20 de noviembre de 2024 | Publicación del reglamento en el Diario Oficial de la Unión Europea. | | 10 de diciembre de 2024 | Entrada en vigor del CRA. | | 11 de septiembre de 2026 | Obligación de notificar vulnerabilidades explotadas activamente e incidentes graves (plataforma de ENISA). | | 11 de diciembre de 2027 | Aplicación general: requisitos esenciales de ciberseguridad y marcado CE. | La notificación no es un trámite menor. A partir de septiembre de 2026, el fabricante debe alertar de una vulnerabilidad que se esté explotando en la práctica en un plazo muy corto, a través de la plataforma que gestiona la Agencia de la Unión Europea para la Ciberseguridad ([ENISA](https://www.enisa.europa.eu/))[[2]](#fuente-2). Ese deber de comunicación acerca el CRA a la lógica de otras normas de ciberseguridad, que también giran en torno a la notificación rápida de incidentes. ## Qué relación tiene el CRA con el ciberseguro El CRA y el ciberseguro se complementan: el reglamento fija el nivel de seguridad que un producto debe cumplir, y el seguro cubre el daño económico cuando, pese al cumplimiento, se produce un incidente. Una empresa que cumple el CRA reduce su exposición y llega en mejores condiciones al cuestionario de la aseguradora, mientras que la póliza responde de los costes que la norma no evita: interrupción del negocio, reclamaciones de terceros o gastos de gestión de la crisis. Cumplir la normativa y contratar un seguro responden a dos preguntas distintas. El CRA responde a «¿es seguro lo que pongo en el mercado?»; el ciberseguro, a «¿quién paga si algo sale mal de todos modos?». Ninguna de las dos sustituye a la otra. La conexión práctica es doble. Por un lado, el cumplimiento del reglamento mejora el perfil de riesgo de la empresa: unas medidas de seguridad documentadas y un proceso de gestión de vulnerabilidades son justo lo que valora una aseguradora al tarificar una póliza de ciberriesgo. Por otro, el seguro cubre el terreno que la norma no alcanza, porque ninguna regulación elimina el riesgo por completo. Este equilibrio entre prevención y transferencia del riesgo es el mismo que explicamos en nuestra guía sobre el [ciberseguro para empresas](https://riesgociberseguro.com/blog/ciberseguro-para-empresas/). Conviene además tener presente un matiz: si un incidente se origina en una vulnerabilidad conocida y no corregida, o en un incumplimiento normativo evidente, la indemnización puede quedar condicionada. Por eso el cumplimiento del CRA no solo evita sanciones, también apuntala la validez de la propia cobertura. ## CRA, NIS2 y DORA: el marco europeo de ciberseguridad El CRA se integra en un marco europeo más amplio junto a la Directiva NIS2 y el Reglamento DORA. El CRA regula la seguridad de los productos; NIS2 impone obligaciones de gestión de riesgos y notificación a empresas de sectores considerados esenciales o importantes; y DORA hace lo propio con el sector financiero. Las tres normas comparten una misma exigencia de fondo: gestionar el riesgo y notificar los incidentes con rapidez. Para una pyme, la foto completa es más relevante que cada norma por separado. El CRA le llega por el producto, NIS2 por el sector o por la cadena de suministro, y DORA si presta servicios al ámbito financiero. En la práctica, casi ninguna empresa digitalizada queda del todo al margen. La Directiva NIS2, el Reglamento (UE) 2022/2555, amplía los sectores obligados a gestionar riesgos de ciberseguridad y prevé multas de al menos 10 millones de euros o el 2 % de la facturación anual para las entidades esenciales que incumplan[[3]](#fuente-3). Entre sus obligaciones figura la notificación de los incidentes significativos, con una primera alerta temprana en un plazo de 24 horas. **NIS2 en España: transposición pendiente.** En el momento de escribir este artículo, España todavía no ha aprobado la ley que transpone la Directiva NIS2. El anteproyecto está en tramitación y la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea (TJUE) por el retraso. Aun sin ley nacional publicada, muchas empresas ya aplican de facto sus exigencias a través de la cadena de suministro, del Esquema Nacional de Seguridad (ENS) y del Reglamento DORA. Esa presión combinada explica por qué el cumplimiento se ha convertido en un asunto de gestión y no solo de tecnología. Si tu empresa vende o presta servicios a una entidad sujeta a NIS2 o DORA, es probable que te traslade por contrato sus requisitos de seguridad, con independencia de que la norma te obligue de forma directa. Puedes ver cómo se traduce esto en la práctica en nuestro artículo sobre [qué empresas necesitan un ciberseguro](https://riesgociberseguro.com/blog/empresas-que-necesitan-ciberseguro/). ## Qué debe hacer una pyme ahora Una pyme debería empezar por identificar si fabrica, importa o distribuye productos con elementos digitales, o si sus proveedores están sujetos al CRA. A partir de ahí, conviene documentar las medidas de seguridad, establecer un procedimiento de gestión de vulnerabilidades y anotar en el calendario la fecha del 11 de septiembre de 2026 para la notificación. En paralelo, revisar el ciberseguro permite cubrir el riesgo que el cumplimiento no elimina. No hace falta abordarlo todo de golpe. Para una pyme, tratar el Cyber Resilience Act y ciberseguro como un mismo proyecto de gestión del riesgo ahorra tiempo y dinero. El calendario escalonado del CRA da margen, pero la planificación temprana evita las prisas de última hora, que casi siempre encarecen la adaptación. - **Mapea tu situación**: comprueba si quedas dentro del alcance del CRA como fabricante, importador o distribuidor, o a través de tus proveedores. - **Documenta la seguridad**: copias de seguridad, autenticación reforzada y un plan de respuesta a incidentes son la base común a casi toda la normativa. - **Prepara la notificación**: familiarízate con la plataforma de ENISA de cara al 11 de septiembre de 2026. - **Revisa tu ciberseguro**: ajusta las coberturas al riesgo real y al perfil que exigirá el cumplimiento normativo. El orden lógico es primero reforzar la seguridad y después asegurar el riesgo residual. Hacerlo al revés suele salir caro: la aseguradora penaliza en la prima la falta de controles básicos y puede condicionar algunas garantías. **¿Quieres saber cómo afecta el CRA a tu empresa y a tu póliza?** En Trebia Seguros analizamos tu exposición al ciberriesgo y comparamos la oferta de más de 25 aseguradoras antes de recomendarte nada. Solicita una valoración sin compromiso en [riesgociberseguro.com](https://riesgociberseguro.com/). ## Preguntas frecuentes sobre el Cyber Resilience Act y el ciberseguro ### ¿Qué es el Cyber Resilience Act? Es el Reglamento (UE) 2024/2847, la norma europea que obliga a que los productos con elementos digitales, hardware y software, cumplan requisitos de ciberseguridad durante todo su ciclo de vida. Su cumplimiento se acredita con el marcado CE. ### ¿A quién obliga el CRA? Principalmente a los fabricantes de productos con elementos digitales que se comercializan en la Unión Europea, y también a importadores y distribuidores. Los productos ya regulados por normativas específicas, como los dispositivos médicos, quedan fuera de su ámbito de aplicación. ### ¿Desde cuándo se aplica el Cyber Resilience Act? Está en vigor desde el 10 de diciembre de 2024. La obligación de notificar vulnerabilidades explotadas activamente e incidentes graves se aplica desde el 11 de septiembre de 2026, y el grueso de los requisitos, incluido el marcado CE, desde el 11 de diciembre de 2027. ### ¿El CRA obliga a contratar un ciberseguro? No. El CRA impone requisitos de seguridad a los productos, no obliga a suscribir ninguna póliza. El ciberseguro es voluntario y cubre las consecuencias económicas de un incidente, un terreno que la normativa no protege. ### ¿En qué se diferencia el CRA de la Directiva NIS2? El CRA regula la seguridad de los productos con elementos digitales, mientras que NIS2 impone obligaciones de gestión de riesgos y notificación a empresas de sectores esenciales o importantes. Son normas complementarias dentro del mismo marco europeo. ### ¿Afecta el CRA a una pyme que no fabrica productos digitales? Puede afectarle de forma indirecta. Si sus proveedores están sujetos al CRA o distribuye productos de terceros, la exigencia le llega por la cadena de suministro, aunque no sea fabricante. ### ¿Qué relación hay entre cumplir el CRA y el precio del ciberseguro? Cumplir el reglamento mejora el perfil de riesgo de la empresa. Unas medidas de seguridad documentadas y un proceso de gestión de vulnerabilidades son justo lo que valora una aseguradora, lo que suele traducirse en mejores condiciones de la póliza. ## Fuentes 1. Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo (Cyber Resilience Act), sobre requisitos de ciberseguridad para productos con elementos digitales. EUR-Lex. [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R2847). 2. ENISA — Agencia de la Unión Europea para la Ciberseguridad. Plataforma única de notificación y coordinación de vulnerabilidades. [enisa.europa.eu](https://www.enisa.europa.eu/). 3. Directiva (UE) 2022/2555 (NIS2), medidas de gestión de riesgos de ciberseguridad y régimen sancionador. EUR-Lex. [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2555). 4. Reglamento (UE) 2022/2554 (DORA), resiliencia operativa digital del sector financiero. EUR-Lex. [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022R2554). 5. INCIBE — Instituto Nacional de Ciberseguridad de España. Recomendaciones de ciberseguridad para empresas. [incibe.es](https://www.incibe.es/). **Sobre Trebia Seguros** — Trebia Seguros es una correduría de seguros independiente con sede en Madrid, inscrita en la DGSFP con la clave J2795 y especializada en ciberriesgo para empresas. Forma parte del Grupo Trebia, que integra también asesoramiento jurídico, y compara la oferta de más de 25 aseguradoras con departamento de siniestros propio. Contenido con fines informativos; no constituye asesoramiento contractual ni jurídico. Revisado en septiembre de 2026.