normakte / Evaluación de riesgos CRA
La evaluación de riesgos es la base de todas las obligaciones del CRA: de ella depende qué requisitos del anexo I se aplican y cómo, y se mantiene actualizada durante todo el periodo de soporte.
| Paso | Contenido |
|---|---|
| 1. Finalidad y entorno | uso previsto y razonablemente previsible, entorno operativo, usuarios |
| 2. Activos | funciones, datos, interfaces |
| 3. Amenazas y superficie de ataque | quién podría atacar y por qué vías |
| 4. Estimación del riesgo | probabilidad e impacto |
| 5. Medidas | vinculación con los requisitos del anexo I, justificación cuando no proceda |
| 6. Riesgo residual y actualización | riesgos restantes, actualización ante cambios y nuevas vulnerabilidades |
El fabricante evalúa los riesgos de ciberseguridad de su producto y tiene en cuenta el resultado en la planificación, el diseño, el desarrollo, la producción, la entrega y el mantenimiento. La evaluación indica si y cómo son aplicables y se aplican los requisitos del anexo I; se documenta, se actualiza durante el periodo de soporte y forma parte de la documentación técnica.
Las normas armonizadas para el CRA están en elaboración. Mientras tanto sirven de referencia normas existentes, como la EN 18031 para equipos radioeléctricos, la IEC 62443-4-1 y 4-2 para componentes industriales y la ETSI EN 303 645 para el IoT de consumo.
En las máquinas con elementos digitales ambas evaluaciones van juntas: el Reglamento de máquinas exige protección contra la corrupción y sistemas de mando seguros, el CRA la ciberseguridad del producto. Una evaluación conjunta evita duplicar trabajo y muestra las sinergias que exige el considerando 53 del CRA.
Registro, clasificación, SBOM, notificaciones con plazos y página para los usuarios: un expediente de prueba gratis hasta el 20.01.2027.
Fuente. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.