Calendario
Las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026. El resto del reglamento, desde el 11 de diciembre de 2027.
Reglamento (UE) 2024/2847 · CRA
Prepara el Cyber Resilience Act según tu rol y la clase de tu producto.
Indica si fabricas, importas, distribuyes o administras software libre, y en qué clase está tu producto. Audexa te muestra solo los controles que te tocan: requisitos esenciales, gestión de vulnerabilidades, SBOM, notificación a ENISA, documentación técnica y marcado CE, con un plan de acción para cerrar cada brecha.
- 67 controles en 10 secciones
- Perfil por rol y clase de producto
- Correspondencias con ISO 27001 y NIS2
Autoevaluación CRAFabricante · Importante clase I
47%
Grado de preparaciónDatos de ejemplo
- Requisitos esenciales (Anexo I, parte I)58%
- Gestión de vulnerabilidades (Anexo I, parte II)44%
- SBOM y periodo de soporte36%
- Notificación a ENISA y CSIRT52%
- Documentación técnica y conformidad39%
67 controles con cómo evaluarlos y cómo cumplirlos
10 secciones: del ámbito del producto a la vigilancia del mercado
57 correspondencias con ISO/IEC 27001:2022
44 correspondencias con NIS2 para reutilizar lo que ya tienes
Qué exige el CRA
La ciberseguridad pasa a ser un requisito para vender el producto en la UE.
El Cyber Resilience Act fija requisitos de ciberseguridad para los productos con elementos digitales, del diseño al final del periodo de soporte. Las obligaciones cambian según el papel de cada operador y la clase del producto.
Requisitos esenciales
El Anexo I fija requisitos para el producto (seguridad por defecto, protección de datos, actualizaciones) y para la gestión de vulnerabilidades durante el periodo de soporte.
Notificación
El fabricante notifica las vulnerabilidades explotadas activamente y los incidentes graves a través de la plataforma única de notificación, con alerta temprana en 24 horas y notificación en 72 horas.
Clase del producto
Los productos importantes de clase I y II y los críticos tienen vías de evaluación de la conformidad más exigentes que los productos por defecto.
Documentación y marcado CE
Documentación técnica, declaración UE de conformidad y marcado CE antes de comercializar el producto.
Importadores y distribuidores
Deben comprobar que el producto cumple, que lleva el marcado CE y la documentación, y actuar si detectan un riesgo.
Fuentes: Reglamento (UE) 2024/2847 (EUR-Lex)
Cómo te ayuda Audexa
Del perfil del producto al plan de acción.
El mismo flujo que el resto de auditorías de Audexa, adaptado a quien pone productos digitales en el mercado europeo.
Delimitar
Solo lo que aplica a tu caso.
Perfil previo
Eliges uno o varios roles y la clase del producto, y ves cuántas preguntas tendrá tu cuestionario.
Aplicabilidad con motivo
Marca qué controles aplican, cuáles no y cuáles quedan fuera de alcance, y deja escrito por qué.
Lo que ya tienes
Al crear la auditoría ves cuánto te cubren ya tus auditorías de ISO 27001 o NIS2.
Evaluar y actuar
Cada brecha con su siguiente paso.
Cuestionario guiado
Sí, Parcial, No o No aplica en cada control, con una guía de cómo evaluarlo.
Cómo cumplir cada control
Pasos concretos, evidencias esperadas, responsable sugerido, criterio de cierre y cuándo revisarlo.
Plan de tareas
Hallazgos convertidos en tareas con subtareas, responsable y fechas.
Demostrar
Las pruebas, en un solo sitio.
Caja de evidencias
SBOM, informes de pruebas, procedimientos de notificación o documentación técnica con revisión y caducidad.
Políticas
Biblioteca de 67 plantillas. 6 están vinculadas al CRA: «Política de Seguridad del Producto y Divulgación Coordinada de Vulnerabilidades», «Procedimiento de Conformidad del Producto y Marcado CE (CRA)», «Política de Desarrollo Seguro», «Política de Gestión de Vulnerabilidades y Parches», «Procedimiento de Notificación de Incidentes a Autoridades» y «Procedimiento de Atención a Requerimientos de Autoridades y Divulgación de Datos». Son un punto de partida para adaptar y aprobar.
Informes y reauditoría
Puntuación, hallazgos e informe en PDF y Excel. Vuelve a evaluar y compara la evolución.
La disponibilidad de algunas funciones depende del plan contratado y de los módulos activos.
Perfil previo
Un fabricante y un distribuidor no responden lo mismo.
Antes del cuestionario indicas tu papel, y puedes marcar varios porque es habitual fabricar unos productos e importar o distribuir otros. Después eliges la clase del producto principal, que determina la vía de evaluación de la conformidad. Si no la conoces, empiezas con el producto sin clasificar y la cambias después.
- Roles: fabricante, importador, distribuidor, administrador de software libre
- Clases: sin clasificar (por defecto), importante clase I, importante clase II o crítico
- Una sección para clasificar el producto si aún no lo has hecho
- Número de preguntas visible antes de empezar
Perfil del productoCRA
- FabricanteSeleccionado
- ImportadorSeleccionado
- DistribuidorNo
- Clase del productoImportante clase I
Notificación
Vulnerabilidades e incidentes, con plazos claros.
Una sección evalúa si sabes detectar una vulnerabilidad explotada activamente o un incidente grave y notificarlo a través de la plataforma única de notificación al CSIRT coordinador y a ENISA. Otra revisa la gestión de vulnerabilidades: SBOM, divulgación coordinada, actualizaciones de seguridad y periodo de soporte.
- Alerta temprana, notificación e informe final
- Información a los usuarios afectados
- SBOM y periodo de soporte declarado
- Correspondencias con NIS2 para reutilizar tu procedimiento de incidentes
Notificación CRAArt. 14
- Alerta temprana24 h
- Notificación72 h
- Informe final14 días tras la corrección
- Procedimiento aprobadoEvidencia vigente
Cómo funciona
Tres pasos para preparar el CRA.
Define el perfil
Elige tus roles y la clase del producto, y mira cuánto te cubre lo que ya tienes.
Responde con guía
Evalúa los controles que aplican y revisa las respuestas propuestas desde ISO 27001 o NIS2.
Ejecuta y reaudita
Trabaja el plan de tareas, reúne evidencias y vuelve a evaluar antes de cada hito.
Planes
Disponible desde el plan Premium.
El Cyber Resilience Act está incluido en Premium y Diamond. No está en Free ni en Core. Te damos una propuesta cerrada en la demo.
Premium
RecomendadoPara el equipo de producto y seguridad que quiere el ciclo completo.
- CRA y el resto de frameworks nuevos
- 10 auditorías al mes y 3 usuarios
- 200 activos por sección
- Políticas, evidencias, riesgos, tareas y asistente Aude
Diamond
Para fabricantes con muchos productos o equipos grandes.
- Auditorías y usuarios ilimitados
- Todo lo de Premium
Preguntas frecuentes
Lo que suelen preguntarnos sobre Cyber Resilience Act.
¿Desde cuándo se aplica el Cyber Resilience Act?
El reglamento entró en vigor en diciembre de 2024. Las obligaciones de notificación de vulnerabilidades explotadas e incidentes graves se aplican desde el 11 de septiembre de 2026, y el resto, incluidos los requisitos esenciales y el marcado CE, desde el 11 de diciembre de 2027.
Soy importador o distribuidor, no fabricante. ¿Me afecta?
Sí, con obligaciones distintas. En el perfil previo marcas tu papel y el cuestionario incluye la sección de importadores y distribuidores. Si modificas un producto de forma sustancial o lo comercializas con tu marca, puedes pasar a tener obligaciones de fabricante: hay un control para revisarlo.
¿Audexa hace la evaluación de la conformidad o el marcado CE?
No. Audexa te ayuda a prepararte: autoevaluación, plan de acción y evidencias. La evaluación de la conformidad la haces tú o un organismo notificado, según la clase del producto, y el marcado CE es responsabilidad del fabricante. El resultado de Audexa es orientativo y no es asesoramiento jurídico.
¿Qué cambia según la clase del producto?
La clase determina la vía de evaluación de la conformidad. Por eso el perfil previo te pide la clase del producto principal y una sección del cuestionario revisa la evaluación que corresponde. Si aún no sabes la clase, empiezas con el producto sin clasificar y la cambias después.
Ya trabajamos con ISO 27001 y NIS2. ¿Sirve de algo?
Sí. Hay 57 correspondencias con ISO 27001:2022 y 44 con NIS2. Las respuestas con cobertura alta llegan propuestas como «Revísalo» y una persona las confirma. No son equivalencias legales.
¿En qué idiomas está?
En español, inglés, francés, italiano y alemán, igual que el resto de frameworks de Audexa.
Solicitar demo
Te enseñamos cómo preparar el CRA en Audexa.
En 30 minutos recorremos el perfil por rol y clase, el cuestionario, el plan de tareas y las evidencias.
- Revisamos tu papel y la clase de tu producto.
- Te mostramos los controles, los hallazgos y las tareas.
- Te explicamos qué plan encaja con tu equipo.