Desde el 20 de enero de 2027, el reglamento de máquinas se aplica a las máquinas. Para las máquinas que son también productos con elementos digitales, se añaden las obligaciones del reglamento de ciberresiliencia — las obligaciones de notificación desde el 11 de septiembre de 2026, las demás obligaciones principales desde el 11 de diciembre de 2027. Uno no sustituye al otro.
Datos en la UE · Documentos con SHA-256 · Exportación en cualquier momento · Sin dependencia
¿Ya trabaja con software CE o con un consultor? normakte los complementa, no los sustituye. Cómo encajan.
Las tres herramientas gratuitas, sin registro. Sus datos no salen del navegador.
Y con el plazo durante el cual debe conservarlo. Donde se aplican ambos reglamentos, rige el plazo más largo.
| Documento | Base jurídica | Conservación |
|---|---|---|
| Documentación técnica | Art. 10 § 2 · Anexo IV A | al menos 10 años |
| Evaluación de riesgos | Art. 8 · Anexo III | con el expediente |
| Código fuente del software relevante para la seguridad | Anexo IV A m | a petición motivada |
| Instrucciones de uso, digital admitido | Art. 10 § 7 | en línea al menos 10 años, papel a petición en 1 mes |
| Declaración UE de incorporación, cuasi máquina | Art. 22 · Anexo V B | al menos 10 años |
| Instrucciones de montaje | Art. 11 § 7 · Anexo XI | en línea al menos 10 años |
| Documentación técnica (CRA) | Art. 31 · Anexo VII | 10 años o periodo de soporte, el mayor |
| Evaluación del riesgo de ciberseguridad | Art. 13 § 2–4 | actualizada de forma continua |
| Lista de materiales de software (SBOM) | Anexo I II(1) | no público; en el expediente a petición motivada |
| Periodo de soporte y su justificación | Art. 13 § 8 y 19 | al menos 5 años, más en instalaciones |
| Archivo de las actualizaciones de seguridad | Art. 13 § 9 | al menos 10 años desde la publicación |
| Notificación: 24 h / 72 h / 14 días | Art. 14 | Registro de incidentes |
| Una declaración UE de conformidad para todos los actos | Art. 21 § 3 · Art. 28 § 3 | en línea al menos 10 años |
| Marcado CE, acumulativo | Art. 24 · Art. 30 § 5 | — |
El orden no es libre: la evaluación de riesgos precede a las medidas de protección, las medidas de protección preceden a las instrucciones de uso, y la declaración solo llega tras la evaluación de la conformidad. Una evaluación de riesgos elaborada a posteriori no cumple los requisitos.
Con la introducción en el mercado no termina el trabajo de conformidad — también tras el reglamento de máquinas subsisten obligaciones, por ejemplo sobre la conformidad de serie y las medidas correctivas. El reglamento de ciberresiliencia añade, sin embargo, un proceso expresamente continuo: las vulnerabilidades se tratan durante todo el periodo de soporte, y la documentación técnica debe mantenerse actualizada al menos ese tiempo. Por regla general al menos cinco años – menos solo si la vida útil prevista es más corta; más en la construcción de máquinas e instalaciones.
Es precisamente este ciclo la diferencia entre un expediente que se crea una vez y uno que se mantiene.
El reglamento de máquinas cita la ciberseguridad en dos puntos. El reglamento de ciberresiliencia, en su considerando 53, cita exactamente esos mismos dos puntos.
La máquina debe estar diseñada y fabricada de modo que la conexión de otro equipo — por una función del propio equipo conectado o mediante un dispositivo de acceso remoto que se comunica con la máquina — no dé lugar a una situación peligrosa. Quien disponga de una certificación de ciberseguridad conforme al reglamento (UE) 2019/881 se presume conforme con este punto.
Los sistemas de mando deben resistir a las influencias externas intencionadas y no intencionadas, incluidos los intentos malintencionados de terceros razonablemente previsibles. Las versiones del software de seguridad deben mantenerse trazables cinco años; en los sistemas autoevolutivos se añaden los datos de decisión, durante un año.
La sinergia entre los dos reglamentos no surge por sí sola. Debe ser demostrada por el fabricante — mediante una evaluación de riesgos que cubra también los riesgos de ciberseguridad.
Considerando 53 del reglamento (UE) 2024/2847
Sin cuenta, sin correo electrónico, sin periodo de prueba. Calcula en el navegador y se lleva el resultado.
Una declaración que cita ambos reglamentos — con las referencias de su publicación, como exige el artículo.
Primero la pregunta anterior al plazo: ¿vulnerabilidad explotada activamente o incidente grave? Los plazos corren de forma distinta.
Suba su declaración actual: en segundos verá qué deja de encajar a partir del 20 de enero de 2027.
Sin demo, sin conversación comercial, sin permanencia mínima.
Las tres herramientas son de uso gratuito, el expediente de conformidad de pago está disponible desde ya. Suscríbase si desea recibir información sobre los cambios en los dos reglamentos.
Herramientas — disponibles desde hoy
0 €
Las tres herramientas, gratuitas de forma permanente.
Expediente
49 € / mes
Un expediente de producto, mantenido vivo. Un registro, dos reglamentos.
Expediente ampliado
119 € / mes
Hasta cinco productos.
Para volúmenes mayores: Team (hasta 10 productos) 199 € / mes, Professional (hasta 20 productos) 299 € / mes — contratable en la cuenta.
Pago anual 20 % más barato. Las microempresas y pequeñas empresas pueden presentar la documentación técnica de forma simplificada según el art. 33 §5 CRA; el expediente admite ambos formatos.
Todas las referencias a artículos y anexos de esta página proceden de las versiones publicadas en el Diario Oficial: Reglamento (UE) 2023/1230, DO L 165 de 29.6.2023, y Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024.
Los anexos de ambos reglamentos se verifican con las versiones publicadas en el Diario Oficial. Las indicaciones de estas páginas están reformuladas y abreviadas; prevalece el texto oficial.
normakte es una ayuda a la redacción y al cálculo. No sustituye la evaluación de la conformidad, ni un organismo notificado, ni el asesoramiento jurídico.