normakte / Cyber Resilience Act y máquinas
Una máquina con software de control, mantenimiento remoto o conexión de red es, por regla general, un producto con elementos digitales. En ese caso, además del Reglamento de máquinas, se aplica el Reglamento de ciberresiliencia (UE) 2024/2847, con obligaciones de notificación que ya están en vigor.
| Fecha | Qué se aplica | Base |
|---|---|---|
| 10.12.2024 | Entrada en vigor | Art. 71 CRA |
| 11.09.2026 | Obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves | Art. 14 CRA |
| 20.01.2027 | Se aplica el Reglamento de máquinas, con requisitos propios de ciberseguridad | Anexo III puntos 1.1.9, 1.2.1 |
| 11.12.2027 | El CRA se aplica plenamente | Art. 71 CRA |
El CRA abarca los productos con elementos digitales cuyo uso previsto o razonablemente previsible incluye una conexión de datos, directa o indirecta, a un dispositivo o a una red. Una máquina con autómata y Ethernet, puerto USB o acceso de mantenimiento remoto entra normalmente en su ámbito. Una máquina puramente mecánica, sin software, no.
| Obligación | En la práctica | Base |
|---|---|---|
| Evaluación de riesgos de ciberseguridad | Documentada, parte de la documentación técnica y actualizada durante el periodo de soporte | Art. 13 CRA |
| Requisitos esenciales | Configuración segura por defecto, protección de accesos y datos, registro de eventos, actualizaciones seguras | Anexo I parte I |
| Gestión de vulnerabilidades | Inventariar los componentes (SBOM en formato legible por máquina), corregir vulnerabilidades y ofrecer actualizaciones de seguridad | Anexo I parte II |
| Periodo de soporte | Por regla general al menos cinco años; la fecha final debe ser visible para el comprador | Art. 13 CRA |
| Notificaciones | Alerta temprana en 24 horas, notificación en 72 horas, informe final; informar a los usuarios afectados | Art. 14 CRA |
| Declaración y CE | Declaración UE de conformidad según el anexo V del CRA, junto con el Reglamento de máquinas en una única declaración | Art. 28 CRA Art. 21, apdo. 3 |
El CRA no sustituye al Reglamento de máquinas: se suma a él. Quien los documenta por separado escribe muchas cosas dos veces.
Considerando 53 CRA · anexo III puntos 1.1.9, 1.2.1 Reglamento (UE) 2023/1230
El Reglamento de máquinas exige protección contra la corrupción y sistemas de control que resistan intentos maliciosos previsibles. El considerando 53 del CRA señala que cumplir sus requisitos puede facilitar la demostración de esos requisitos de máquinas, pero la sinergia debe documentarla el fabricante. En la práctica: una prueba, dos reglamentos, bien vinculados.
Los incumplimientos de los requisitos esenciales y de las obligaciones del fabricante pueden sancionarse con multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial.
Líneas de requisitos con referencia al artículo para ambos reglamentos, SBOM con exportación CycloneDX, registro de riesgos cibernéticos y cálculo de plazos de notificación.
Fuentes. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024; Reglamento (UE) 2023/1230, DO L 165 de 29.6.2023. Resumido y abreviado; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.