CRA AppSoftware para el Cyber Resilience Act (Reglamento (UE) 2024/2847)
Cyber Resilience Act · Notificación obligatoria desde el 11/09/2026
Clasificar. Preparar. Notificar.
Desde el 11 de septiembre de 2026, los fabricantes que comercializan en la UE productos con elementos digitales deben notificar en 24 horas las vulnerabilidades explotadas activamente y los incidentes graves, y a partir del 11 de diciembre de 2027 el CRA será plenamente aplicable. CRA App determina, producto a producto, las obligaciones aplicables y la documentación que debe estar preparada.
Por referencia
alcance, rol, categoría, vía de evaluación, soporte y prioridad de cada producto
Árbol de decisión inteligente
los 14 pasos del CRA aplicados con un criterio único a todo el portfolio
24 y 72 horas
plazos del artículo 14, con cálculo de fechas y alcance del incidente por capa
App web
accesible 7x24 desde cualquier navegador, con importación y exportación a Excel
La conformidad con el CRA se demuestra producto a producto
Cada producto que se introduce en el mercado requiere su análisis de riesgos, su expediente técnico, su declaración UE de conformidad y su marcado CE. La obligación de notificación está en vigor desde el 11/09/2026.
Plazos en vigor
La notificación del artículo 14 se aplica desde el 11/09/2026, incluidos los productos comercializados con anterioridad. Los requisitos esenciales y el marcado CE serán exigibles desde el 11/12/2027.
Portfolios con componentes compartidos
Software, comunicaciones, ciberseguridad y servicios en la nube compartidos por numerosos productos. Sin un mapa de dependencias, el esfuerzo se duplica entre expedientes y aumenta el riesgo de omisiones.
La categoría determina la vía de evaluación
Producto por defecto, importante de clase I o II, o crítico. De la categoría depende que baste la autoevaluación o se requiera la intervención de un organismo notificado.
Régimen sancionador exigente
Multas de hasta 15 M€ o el 2,5% del volumen de negocios mundial anual por incumplir los requisitos esenciales o la obligación de notificación.
Lo que fija el reglamento
24 horas
alerta temprana de una vulnerabilidad explotada o de un incidente grave
72 horas
notificación de la vulnerabilidad o del incidente; en incidentes, con evaluación inicial
5 años
periodo de soporte mínimo con actualizaciones de seguridad, salvo vida útil menor
11/12/2027
aplicación completa del reglamento
Fuente: Reglamento (UE) 2024/2847, artículos 13, 14, 64 y 71.
Un criterio único para todo el portfolio
CRA App traduce el catálogo de productos en decisiones de cumplimiento. Cada resultado procede de una regla explícita y auditable, y cada dato de entrada puede ajustarse.
Clasificación por referencia
Alcance, rol (fabricante, importador, distribuidor), unidad de conformidad, categoría, vía de evaluación, normas aplicables, soporte y prioridad.
Dependencias y herencia
Qué capas de la plataforma común utiliza cada producto, si la dependencia es esencial u opcional, y qué controles del Anexo I hereda, comparte o resuelve por sí mismo.
Notificación del artículo 14
Cálculo de los plazos de 24 horas, 72 horas e informe final, y alcance de un incidente: referencias y Estados miembros afectados.
Requisitos del Anexo I
Matriz de requisitos esenciales por referencia, que distingue lo que aporta la plataforma de lo que corresponde a cada producto.
Riesgos y coherencia
Alertas automáticas sobre datos incompletos, categorías pendientes de confirmar, dependencias esenciales con un periodo de soporte inferior y proveedores sin cláusula de notificación.
Hoja de ruta
Obligaciones por rol, con su estado y su calendario hasta el 11/12/2027, producto a producto.
Del inventario de producto a la declaración UE de conformidad
Un proceso continuo sobre una única base de datos. Cada fase reutiliza lo obtenido en la anterior y la documentación oficial se elabora a partir de datos ya verificados.
- 01
Inventario y perímetro
Carga del árbol de producto y de las capas comunes: software, comunicaciones, ciberseguridad y servicios en la nube.
Perímetro CRA definido
- 02
Clasificación
Árbol de decisión de 14 pasos por referencia: alcance, rol, categoría de los Anexos III y IV y vía de evaluación.
Ficha por referencia
- 03
Riesgos y requisitos
Análisis de riesgos y aplicación de los requisitos esenciales del Anexo I, con la herencia de controles entre capas.
Matriz de requisitos
- 04IA
Generador avanzado de IA
Redacción de la documentación oficial a partir de los datos de las fases anteriores, con referencia a la evidencia que sustenta cada apartado.
Borradores trazables
- 05
Revisión y firma
Sus equipos técnico y jurídico revisan, completan y aprueban. El fabricante firma la declaración UE de conformidad y aplica el marcado CE.
Expediente aprobado
- 06
Notificación y mantenimiento
Procedimiento del artículo 14, gestión de vulnerabilidades durante el periodo de soporte y actualización documental ante cada cambio.
Conformidad sostenida
Documentación preparada para su presentación oficial, elaborada sobre sus datos
El generador redacta cada documento con la estructura que exige el Reglamento (UE) 2024/2847 y lo alimenta con la clasificación, el análisis de riesgos y las evidencias registradas en CRA App. No parte de plantillas genéricas: cada apartado remite al dato y a la evidencia de origen.
Cómo trabaja
- Trazabilidad: cada afirmación enlaza con el requisito, el dato y la evidencia que la sustentan.
- Coherencia: el contenido común se redacta una sola vez y se hereda en cada expediente.
- Detección de lagunas: señala los apartados sin evidencia suficiente antes de la revisión.
- Control de versiones: cada cambio en un producto o en una capa común identifica los documentos que deben actualizarse.
- Redacción en español y en inglés, con exportación en formatos editables.
Documentos que elabora
- Documentación técnicaAnexo VII
- Declaración UE de conformidadAnexo V
- Declaración UE de conformidad simplificadaAnexo VI
- Información e instrucciones para el usuarioAnexo II
- Evaluación de riesgos de ciberseguridadArt. 13
- Política de divulgación coordinada de vulnerabilidadesAnexo I, parte II
- Alerta temprana, notificación e informe finalArt. 14
El generador prepara la documentación; la revisión, la aprobación y la firma corresponden al fabricante, que es el responsable de la declaración UE de conformidad conforme al artículo 28 del reglamento.
De su catálogo a la hoja de ruta CRA, en cinco semanas
Un proyecto de arranque dirigido por BeAI sobre la propia aplicación, con un único interlocutor por parte de su organización.
Portfolio y perímetro
Semanas 1 y 2Cargamos su árbol de producto, actual y objetivo, delimitamos qué queda dentro del ámbito del CRA y dejamos operativo el procedimiento de notificación del artículo 14.
Clasificación y brechas
Semana 3Clasificamos cada referencia: rol, categoría, vía de evaluación, dependencias y herencia de controles. Entregamos un informe de brechas por capa y por producto.
Hoja de ruta
Semanas 4 y 5Definimos las actuaciones hasta el 11/12/2027 por producto y por capa, y entregamos la plantilla de expediente técnico, el procedimiento de notificación completo y la regla de gestión de cambios de la plataforma común.
5 semanas
del catálogo a la hoja de ruta
2 semanas
para dejar operativo el procedimiento de notificación
500
referencias de capacidad en la hoja, sin modificar fórmulas
1
interlocutor único en su organización
Aborde una sola vez lo que comparten todos sus productos
Los elementos comunes se documentan una sola vez y cada producto los reutiliza en su expediente. CRA App identifica qué hereda cada referencia.
Base documental común
Gestión de vulnerabilidades, divulgación coordinada, SBOM, actualizaciones, desarrollo seguro y procedimiento de notificación se documentan una sola vez para todo el portfolio.
Expedientes incrementales
Cada producto remite a la base común y documenta únicamente sus elementos propios: análisis de riesgos, SBOM, pruebas, soporte e instrucciones.
Cambios bajo control
Cada cambio en una capa común identifica los productos y los expedientes afectados.
Obligación vigente, también para productos ya comercializados
Desde el 11/09/2026, el fabricante notifica a través de la plataforma única de ENISA las vulnerabilidades explotadas activamente y los incidentes graves de sus productos, incluidos los comercializados antes del CRA.
24 horas
alerta temprana
72 horas
notificación
Informe final
14 días tras disponer de una medida correctora o de mitigación (vulnerabilidad) o 1 mes tras la notificación (incidente)
Cálculo de plazos
La aplicación calcula las fechas de alerta temprana (24 horas), notificación (72 horas) e informe final a partir del momento en que se tiene conocimiento del hecho.
Alcance del incidente
Cuando el fallo afecta a una capa común, la aplicación identifica las referencias que dependen de ella y los Estados miembros en los que se comercializan.
Preparación por producto
La aplicación verifica por referencia el punto de contacto, el CSIRT coordinador, los Estados miembros y el canal de información a usuarios, y señala las que aún no están preparadas.
CRA App prepara y documenta la notificación, que se presenta a través de la plataforma única de notificación de ENISA.
De la lectura del reglamento a una decisión por producto
Frente a una lista genérica de requisitos, una decisión fundamentada para cada producto.
| Hoja de cálculo propia o checklist | CRA App | |
|---|---|---|
| Regla de clasificación | Se interpreta producto a producto | Árbol de 14 pasos con un criterio único para todo el portfolio |
| Plataforma común | Cada expediente vuelve a documentarla | Herencia de controles por referencia y por capa |
| Dependencias | Visibilidad limitada | Grafo de primer y segundo nivel, esencial u opcional |
| Artículo 14 | Procedimiento documental, sin cálculo de plazos | Calculadora de plazos y alcance del incidente |
| Coherencia | Sin verificación sistemática | Alertas de datos incompletos y de categorías pendientes de confirmar |
| Formatos | Un único formato | Web y Excel con el mismo motor |
| Acompañamiento | Por cuenta propia | Proyecto de arranque de cinco semanas con BeAI |
Fundamentado en el reglamento en vigor
CRA App se basa en el Reglamento (UE) 2024/2847 y en sus actos de ejecución, con fecha de revisión explícita.
| Norma | Qué fija | Estado en CRA App |
|---|---|---|
| Reglamento (UE) 2024/2847 (CRA) | Requisitos esenciales (Anexo I), obligaciones por rol, categorías, evaluación de la conformidad, notificación, sanciones | Aplicado |
| Artículo 14 del CRA | Notificación de vulnerabilidades explotadas e incidentes graves desde el 11/09/2026 | Aplicado: calculadora y procedimiento |
| Anexos III y IV del CRA y Reglamento de Ejecución (UE) 2025/2392 | Productos importantes (clases I y II) y críticos, con su descripción técnica | Aplicado en el árbol de decisión |
| Normas armonizadas del CRA (CEN, CENELEC y ETSI) | Presunción de conformidad. Ninguna citada en el Diario Oficial a la fecha de revisión. Mientras tanto: IEC 62443-4-1 y 4-2 y EN 18031 como referencia | En elaboración |
| Reglamento (UE) 2023/1230 de Máquinas | Requisitos de ciberseguridad de la maquinaria | Identificado por referencia |
| Directiva (UE) 2022/2555 (NIS2) | Obligaciones de los clientes que son entidades esenciales o importantes | Contexto del cliente |
CRA App es una herramienta de clasificación y de preparación. No sustituye el asesoramiento jurídico ni la intervención del organismo notificado, y la declaración UE de conformidad corresponde al fabricante.
Para quien fabrica, importa o distribuye productos con elementos digitales
Desde fabricantes con cientos de referencias hasta importadores con un único producto.
Fabricantes de equipos industriales y OT
Automatización, accionamientos, electrificación y sistemas de control con software y conectividad.
Fabricantes de dispositivos y software
Dispositivos IoT, pasarelas, aplicaciones móviles y software que se vende como producto.
Fabricantes de maquinaria
Máquinas conectadas sujetas simultáneamente al CRA y al nuevo Reglamento de Máquinas.
Importadores y distribuidores
Deben verificar el cumplimiento del fabricante antes de introducir el producto en el mercado o de comercializarlo.
CRA App es adecuado si su organización
- Comercializa en la UE productos con software o conectividad.
- Gestiona un portfolio amplio, o productos que comparten software, comunicaciones o servicios en la nube.
- Necesita determinar qué productos admiten autoevaluación y cuáles requieren organismo notificado.
- No dispone todavía de un procedimiento operativo de notificación en 24 horas.
- Requiere un plan por producto hasta el 11/12/2027.
¿Su caso presenta otras particularidades? Contacte con nosotros
Funcionalidades de CRA App
Todas las funcionalidades están disponibles y pueden verse en una demostración. La importación de SBOM y el envío a ENISA por API se habilitan bajo consulta con BeAI.
| Funcionalidad | Estado |
|---|---|
| Clasificación por referencia, dependencias, herencia del Anexo I, riesgos, acciones, hoja de ruta | Disponible |
| Notificación del artículo 14: calculadora de plazos y alcance del incidente | Disponible |
| Grafo de capas y recorrido de una referencia en 2D y 3D | Disponible |
| Exportación e importación Excel con el mismo motor | Disponible |
| Interfaz en español y en inglés | Disponible |
| Multiusuario con base de datos permanente y control de acceso | Disponible |
| Generador avanzado de IA del expediente técnico y de la declaración UE de conformidad | Disponible |
| Importación de SBOM y cruce con avisos de vulnerabilidades | Consultar a BeAI |
| Envío a la plataforma única de notificación de ENISA por API | Consultar a BeAI |
Preguntas frecuentes
¿El CRA ya es de aplicación?
Sí. La notificación de vulnerabilidades explotadas activamente e incidentes graves se aplica desde el 11 de septiembre de 2026, también a productos comercializados con anterioridad. El resto del reglamento, incluidos los requisitos esenciales y el marcado CE, se aplica desde el 11 de diciembre de 2027.
¿Qué ocurre con los productos ya instalados?
No es necesario adecuarlos ni aplicarles el marcado CE, pero sí notificar sus vulnerabilidades explotadas activamente y sus incidentes graves. Los productos que se sigan comercializando a partir del 11/12/2027, aunque se trate de modelos anteriores, y los que se modifiquen de forma sustancial deben cumplir íntegramente el CRA.
¿Puede certificarse una plataforma común para todos los productos?
La conformidad se declara para cada producto que se introduce en el mercado. Los elementos comunes se abordan una sola vez: procesos, controles y evidencias que después reutiliza cada expediente técnico. CRA App identifica qué hereda cada producto.
¿Es necesario un organismo notificado?
Depende de la categoría. Los productos por defecto pueden acogerse a la autoevaluación (módulo A). Los importantes de clase I también, siempre que apliquen íntegramente normas armonizadas, especificaciones comunes o una certificación europea; en caso contrario, y en todo caso en la clase II, interviene un organismo notificado o se recurre a un esquema europeo de certificación. Los productos críticos pueden estar obligados a certificarse. CRA App aplica esta regla a cada referencia.
¿Sustituye al asesor legal o al organismo notificado?
No. CRA App es una herramienta de clasificación y de preparación del cumplimiento. La declaración UE de conformidad corresponde al fabricante y, cuando el CRA lo exige, interviene un organismo notificado.
¿Dónde se almacenan los datos?
En una base de datos de la propia aplicación, con acceso multiusuario y control de permisos, que puede desplegarse en su infraestructura.
¿Es compatible con Excel?
Sí. La aplicación importa y exporta la misma hoja de clasificación, y su motor se ha validado celda a celda contra ella.