$ cra --check
Reglamento (UE) 2024/2847 de Ciberresiliencia. Desde el 11 de septiembre de 2026 obliga a notificar vulnerabilidades explotadas. El 11 de diciembre de 2027 se aplica entero. Te decimos si te afecta y qué hacer.
Primera consulta: gratuita · Después: 60 €/h + IVA · Presupuesto cerrado antes de empezar
// 01 — calendario
10/12/2024
Hecho
Publicado en el DOUE. Comienza el periodo transitorio.
11/06/2026
Hecho
Se aplican las normas sobre organismos de evaluación de la conformidad.
11/09/2026
En vigor
Vulnerabilidades explotadas activamente e incidentes graves: aviso en 24 h, notificación en 72 h e informe final.
11/12/2027
Pendiente
Requisitos esenciales de ciberseguridad, documentación técnica, evaluación de la conformidad y marcado CE.
// 02 — roles
El CRA no trata igual a quien escribe software libre que a quien lo vende. Primero, ubicarte.
FUERA
Desarrolladores y contribuidores.
El software libre desarrollado o publicado sin actividad comercial queda fuera. Contribuir a un proyecto ajeno tampoco te convierte en fabricante. Las donaciones no son monetización.
FABRICANTE
Empresas, SaaS con componente instalable, hardware, apps.
Si vendes un producto con elementos digitales en la UE, o monetizas software libre, eres fabricante. Respondes también de los componentes open source que integras.
ADMINISTRADOR
Fundaciones y entidades de soporte.
Apoyas de forma sostenida software libre destinado a uso comercial. Régimen ligero: política de ciberseguridad, cooperación con las autoridades y notificación. Sin multas administrativas.
// 03 — fabricantes
01
Diseño seguro por defecto, sin vulnerabilidades explotables conocidas, con actualizaciones de seguridad (anexo I).
02
Durante todo el periodo de soporte: mínimo cinco años, salvo que el uso previsto del producto sea más corto.
03
Lista de componentes en formato legible por máquina, al menos de las dependencias de primer nivel.
04
Debes vigilar los componentes libres que integras y avisar a sus mantenedores de las vulnerabilidades que encuentres (art. 13).
05
Vulnerabilidades explotadas e incidentes graves al CSIRT coordinador y a ENISA, por la plataforma única de notificación (art. 14). Ya aplicable.
06
Documentación técnica, declaración UE de conformidad y, para productos importantes o críticos, evaluación por terceros.
// 04 — sanciones
15 M€ o 2,5 %
Requisitos esenciales y obligaciones de los arts. 13 y 14. La cuantía mayor, sobre facturación mundial anual.
10 M€ o 2 %
Resto de obligaciones de fabricantes, importadores y distribuidores.
5 M€ o 1 %
Información incorrecta, incompleta o engañosa a las autoridades.
Exentos
Administradores de software libre, de todas las multas. Micro y pequeñas empresas, de las del plazo de 24 h.
// 05 — servicio
01
Si tu software entra en el ámbito, en qué rol y en qué categoría de producto.
02
Qué debes tener listo y cuándo. Priorizado por riesgo y por fecha.
03
Quién detecta, quién decide y quién notifica en 24 h, 72 h y 14 días. Plantillas incluidas.
04
El documento que exige el art. 24 a fundaciones y entidades de soporte.
05
Cláusulas de soporte, actualizaciones, notificación y reparto de responsabilidad.
// 06 — faq
No, si lo haces sin actividad comercial. Cobrar por el software, cobrar soporte con ánimo de lucro o usarlo para monetizar otros servicios puede convertirlo en actividad comercial. Recibir donaciones, no.
No. El fabricante es quien comercializa el producto final. Esa empresa responde de tu librería dentro de su producto y debe avisarte si encuentra una vulnerabilidad en ella.
Las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto. Alerta temprana en 24 h, notificación en 72 h e informe final: a los 14 días de disponer de la corrección (vulnerabilidades) o al mes (incidentes).
Las obligaciones de notificación sí, desde el 11/09/2026. Los requisitos esenciales, a los productos que se introduzcan en el mercado desde el 11/12/2027 o que se modifiquen sustancialmente después.
La Directiva (UE) 2024/2853 considera producto al software. Excluye el software libre desarrollado o suministrado fuera de una actividad comercial. Los Estados deben transponerla antes del 9 de diciembre de 2026.
$ ./reservar
Revisa hoy si te aplica. Consulta gratuita y, si hace falta, plan de cumplimiento con presupuesto cerrado.