El Cyber Resilience Act y ciberseguro son dos piezas del mismo tablero: el CRA es el reglamento europeo que obliga a los fabricantes de productos con elementos digitales a incorporar la ciberseguridad desde el diseño, mientras que el ciberseguro traslada a una aseguradora las consecuencias económicas de un incidente. El primero fija el deber legal; el segundo cubre el riesgo que queda cuando ese deber falla. Para una pyme, entender cómo encajan evita tanto la sanción como el sobrecoste de un ataque.
La ciberseguridad ha dejado de ser una recomendación técnica para convertirse en una obligación regulada. El CRA es la norma que cierra el círculo por el lado del producto: no basta con que la empresa proteja sus sistemas, ahora los propios dispositivos y programas que llegan al mercado deben ser seguros de fábrica. A continuación te explicamos qué es el Cyber Resilience Act, a quién obliga, qué plazos maneja y por qué el cumplimiento normativo y el ciberseguro se refuerzan entre sí.
Qué es el Cyber Resilience Act
El CRA parte de una constatación sencilla: buena parte de los ciberataques explota fallos en productos que se vendieron sin las defensas adecuadas o que dejaron de recibir actualizaciones. Hasta ahora, un fabricante podía comercializar un dispositivo conectado o una aplicación sin ningún requisito común de seguridad. El reglamento pone fin a esa laguna con reglas iguales para todo el mercado europeo.
La lógica es la de la seguridad desde el diseño y por defecto. El fabricante debe evaluar los riesgos de ciberseguridad del producto, corregir las vulnerabilidades que se detecten y ofrecer soporte durante un periodo determinado. El cumplimiento se acredita con el marcado CE, el mismo distintivo que ya identifica a otros productos que cumplen la normativa de la Unión Europea[1].
A quién obliga el CRA
La figura central es el fabricante, sobre quien recae el grueso de las obligaciones. Pero la responsabilidad se reparte por la cadena de comercialización, de modo que quien importa o distribuye un producto también debe comprobar que cumple antes de ponerlo a la venta.
| Actor | Qué debe garantizar |
|---|---|
| Fabricante | Diseñar el producto de forma segura, gestionar vulnerabilidades, dar soporte y aplicar el marcado CE. |
| Importador | Verificar que el fabricante cumplió antes de introducir el producto en el mercado de la UE. |
| Distribuidor | Comprobar que el producto lleva el marcado CE y la documentación exigida. |
Para una pyme, la pregunta clave no siempre es «¿fabrico yo un producto digital?». Muchas pequeñas empresas desarrollan software a medida, comercializan dispositivos conectados o integran componentes de terceros, y en esos casos pueden quedar dentro del alcance del reglamento. Aunque no fabriquen, casi todas dependen de proveedores que sí están obligados, lo que traslada la exigencia por la cadena de suministro.
Plazos de aplicación del CRA
Conocer las fechas importa porque la obligación de notificar llega antes que el resto del reglamento. Una empresa puede estar sujeta al deber de comunicar vulnerabilidades meses antes de que le sea exigible el marcado CE de sus productos.
| Fecha | Qué entra en juego |
|---|---|
| 20 de noviembre de 2024 | Publicación del reglamento en el Diario Oficial de la Unión Europea. |
| 10 de diciembre de 2024 | Entrada en vigor del CRA. |
| 11 de septiembre de 2026 | Obligación de notificar vulnerabilidades explotadas activamente e incidentes graves (plataforma de ENISA). |
| 11 de diciembre de 2027 | Aplicación general: requisitos esenciales de ciberseguridad y marcado CE. |
La notificación no es un trámite menor. A partir de septiembre de 2026, el fabricante debe alertar de una vulnerabilidad que se esté explotando en la práctica en un plazo muy corto, a través de la plataforma que gestiona la Agencia de la Unión Europea para la Ciberseguridad (ENISA)[2]. Ese deber de comunicación acerca el CRA a la lógica de otras normas de ciberseguridad, que también giran en torno a la notificación rápida de incidentes.
Qué relación tiene el CRA con el ciberseguro
Cumplir la normativa y contratar un seguro responden a dos preguntas distintas. El CRA responde a «¿es seguro lo que pongo en el mercado?»; el ciberseguro, a «¿quién paga si algo sale mal de todos modos?». Ninguna de las dos sustituye a la otra.
La conexión práctica es doble. Por un lado, el cumplimiento del reglamento mejora el perfil de riesgo de la empresa: unas medidas de seguridad documentadas y un proceso de gestión de vulnerabilidades son justo lo que valora una aseguradora al tarificar una póliza de ciberriesgo. Por otro, el seguro cubre el terreno que la norma no alcanza, porque ninguna regulación elimina el riesgo por completo. Este equilibrio entre prevención y transferencia del riesgo es el mismo que explicamos en nuestra guía sobre el ciberseguro para empresas.
Conviene además tener presente un matiz: si un incidente se origina en una vulnerabilidad conocida y no corregida, o en un incumplimiento normativo evidente, la indemnización puede quedar condicionada. Por eso el cumplimiento del CRA no solo evita sanciones, también apuntala la validez de la propia cobertura.
CRA, NIS2 y DORA: el marco europeo de ciberseguridad
Para una pyme, la foto completa es más relevante que cada norma por separado. El CRA le llega por el producto, NIS2 por el sector o por la cadena de suministro, y DORA si presta servicios al ámbito financiero. En la práctica, casi ninguna empresa digitalizada queda del todo al margen.
La Directiva NIS2, el Reglamento (UE) 2022/2555, amplía los sectores obligados a gestionar riesgos de ciberseguridad y prevé multas de al menos 10 millones de euros o el 2 % de la facturación anual para las entidades esenciales que incumplan[3]. Entre sus obligaciones figura la notificación de los incidentes significativos, con una primera alerta temprana en un plazo de 24 horas.
Esa presión combinada explica por qué el cumplimiento se ha convertido en un asunto de gestión y no solo de tecnología. Si tu empresa vende o presta servicios a una entidad sujeta a NIS2 o DORA, es probable que te traslade por contrato sus requisitos de seguridad, con independencia de que la norma te obligue de forma directa. Puedes ver cómo se traduce esto en la práctica en nuestro artículo sobre qué empresas necesitan un ciberseguro.
Qué debe hacer una pyme ahora
No hace falta abordarlo todo de golpe. Para una pyme, tratar el Cyber Resilience Act y ciberseguro como un mismo proyecto de gestión del riesgo ahorra tiempo y dinero. El calendario escalonado del CRA da margen, pero la planificación temprana evita las prisas de última hora, que casi siempre encarecen la adaptación.
- Mapea tu situación: comprueba si quedas dentro del alcance del CRA como fabricante, importador o distribuidor, o a través de tus proveedores.
- Documenta la seguridad: copias de seguridad, autenticación reforzada y un plan de respuesta a incidentes son la base común a casi toda la normativa.
- Prepara la notificación: familiarízate con la plataforma de ENISA de cara al 11 de septiembre de 2026.
- Revisa tu ciberseguro: ajusta las coberturas al riesgo real y al perfil que exigirá el cumplimiento normativo.
El orden lógico es primero reforzar la seguridad y después asegurar el riesgo residual. Hacerlo al revés suele salir caro: la aseguradora penaliza en la prima la falta de controles básicos y puede condicionar algunas garantías.
En Trebia Seguros analizamos tu exposición al ciberriesgo y comparamos la oferta de más de 25 aseguradoras antes de recomendarte nada. Solicita una valoración sin compromiso en riesgociberseguro.com.
Preguntas frecuentes sobre el Cyber Resilience Act y el ciberseguro
¿Qué es el Cyber Resilience Act?
Es el Reglamento (UE) 2024/2847, la norma europea que obliga a que los productos con elementos digitales, hardware y software, cumplan requisitos de ciberseguridad durante todo su ciclo de vida. Su cumplimiento se acredita con el marcado CE.
¿A quién obliga el CRA?
Principalmente a los fabricantes de productos con elementos digitales que se comercializan en la Unión Europea, y también a importadores y distribuidores. Los productos ya regulados por normativas específicas, como los dispositivos médicos, quedan fuera de su ámbito de aplicación.
¿Desde cuándo se aplica el Cyber Resilience Act?
Está en vigor desde el 10 de diciembre de 2024. La obligación de notificar vulnerabilidades explotadas activamente e incidentes graves se aplica desde el 11 de septiembre de 2026, y el grueso de los requisitos, incluido el marcado CE, desde el 11 de diciembre de 2027.
¿El CRA obliga a contratar un ciberseguro?
No. El CRA impone requisitos de seguridad a los productos, no obliga a suscribir ninguna póliza. El ciberseguro es voluntario y cubre las consecuencias económicas de un incidente, un terreno que la normativa no protege.
¿En qué se diferencia el CRA de la Directiva NIS2?
El CRA regula la seguridad de los productos con elementos digitales, mientras que NIS2 impone obligaciones de gestión de riesgos y notificación a empresas de sectores esenciales o importantes. Son normas complementarias dentro del mismo marco europeo.
¿Afecta el CRA a una pyme que no fabrica productos digitales?
Puede afectarle de forma indirecta. Si sus proveedores están sujetos al CRA o distribuye productos de terceros, la exigencia le llega por la cadena de suministro, aunque no sea fabricante.
¿Qué relación hay entre cumplir el CRA y el precio del ciberseguro?
Cumplir el reglamento mejora el perfil de riesgo de la empresa. Unas medidas de seguridad documentadas y un proceso de gestión de vulnerabilidades son justo lo que valora una aseguradora, lo que suele traducirse en mejores condiciones de la póliza.
Fuentes
- Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo (Cyber Resilience Act), sobre requisitos de ciberseguridad para productos con elementos digitales. EUR-Lex. eur-lex.europa.eu.
- ENISA — Agencia de la Unión Europea para la Ciberseguridad. Plataforma única de notificación y coordinación de vulnerabilidades. enisa.europa.eu.
- Directiva (UE) 2022/2555 (NIS2), medidas de gestión de riesgos de ciberseguridad y régimen sancionador. EUR-Lex. eur-lex.europa.eu.
- Reglamento (UE) 2022/2554 (DORA), resiliencia operativa digital del sector financiero. EUR-Lex. eur-lex.europa.eu.
- INCIBE — Instituto Nacional de Ciberseguridad de España. Recomendaciones de ciberseguridad para empresas. incibe.es.