Normas armonizadas del CRA: cuáles aplican a tu producto electrónico

La vía de evaluación de la conformidad depende de dos factores: la clasificación del producto y si el fabricante aplica una norma armonizada citada en el DOUE.

Productos default: la vía estándar de evaluación de la conformidad es la autoevaluación mediante control interno (Módulo A). El fabricante también puede elegir voluntariamente una vía más exigente con evaluación por tercera parte, pero el Módulo A es la vía de referencia.

Productos Important Class I: aplicar una norma armonizada citada en el DOUE permite al fabricante utilizar la autoevaluación. Sin ella, el fabricante debe recurrir a un Organismo Notificado o demostrar la conformidad a través de un esquema europeo de certificación de ciberseguridad. La diferencia de coste y plazos entre estas vías es sustancial.

Productos Important Class II y Critical: la evaluación de conformidad de tercera parte es obligatoria independientemente de si se aplican normas armonizadas.

Para los productos electrónicos conectados que caen en las categorías default o Important Class I, que representan una proporción muy significativa de la electrónica conectada comercializada en el mercado de la UE, seguir la norma armonizada pertinente es la vía más directa para demostrar el cumplimiento.

Si las normas no están armonizadas cuando el CRA sea plenamente aplicable el 11 de diciembre de 2027, los fabricantes de productos Important Class I tendrían que recurrir a la evaluación por tercera parte hasta que la armonización se produzca. Es un riesgo de calendario que los fabricantes deben incorporar a su planificación de cumplimiento.

El Mandato de Normalización M/606 de la Comisión organiza las normas del CRA en normas horizontales y normas verticales. Las primeras aplican a cualquier producto con elementos digitales independientemente de su categoría, mientras que las segundas establecen los requisitos para categorías específicas.

La serie horizontal EN 40000, desarrollada por CEN-CLC JTC 13 Working Group 9, consta de cuatro partes que funcionan de forma coordinada.

Para fabricantes cuyo portfolio abarca múltiples categorías, esta arquitectura significa que el marco horizontal es el mismo para todos los productos. La variación reside en la capa vertical, donde los requisitos específicos de producto se calibran al perfil de riesgo de cada categoría.

Esta sección mapea las normas verticales a las categorías de producto que cubren. Cada norma aborda uno o más tipos de producto listados en los Anexos III o IV del CRA.

Las normas verticales no siguen todas el mismo enfoque técnico. El panorama normativo se divide en dos familias metodológicas diferenciadas, y entender cuál aplica condiciona cómo debe prepararse el fabricante.

La mayoría de las verticales, desarrolladas por ETSI TC CYBER, cubren categorías de producto como routers, dispositivos smart home, wearables y firewalls. Estas normas se basan en la metodología de security controls de la EN 18031: los requisitos de seguridad se estructuran como controles seleccionables mapeados desde amenazas y objetivos de seguridad, con la aplicabilidad determinada por el risk assessment del producto. Los fabricantes con experiencia en RED Artículo 3.3 reconocerán este enfoque.

Un grupo más reducido de verticales, desarrolladas principalmente por CEN TC 224 y CENELEC TC 47X, cubre productos donde la seguridad a nivel de hardware es la característica definitoria: secure elements, smartcards, hardware security modules y componentes tamper-resistant. Estas normas utilizan ISO/IEC 15408 (Common Criteria) como marco de requisitos y evaluación. Los requisitos de seguridad se estructuran como Security Functional Requirements (SFRs) y se evalúan mediante una metodología Common Criteria, con el perfil de riesgo determinando el nivel de aseguramiento aplicable.

La distinción importa por dos razones prácticas. En primer lugar, determina qué evidencia de cumplimiento previa es reutilizable: la evidencia de EN 18031 se mapea directamente a las verticales basadas en ETSI, mientras que las certificaciones y evaluaciones Common Criteria se mapean a las verticales CEN/CENELEC para hardware de seguridad. En segundo lugar, la metodología de evaluación y el tipo de evidencia requerida difieren entre ambas familias, lo que afecta a cómo debe estructurar el fabricante su evaluación de la conformidad.

Si tu producto no tiene la funcionalidad principal de ninguna categoría listada en los Anexos III o IV, es un producto default. Los productos default siguen la serie horizontal EN 40000: EN 40000-1-2 para el proceso de desarrollo, EN 40000-1-4 para los requisitos de security controls, y EN 40000-1-3 para el vulnerability handling. No se requiere norma vertical, y las normas horizontales son la vía de cumplimiento.

Los fabricantes que ya han trabajado con la serie de normas EN 18031 para el cumplimiento de ciberseguridad del Artículo 3.3 de la RED están en una posición más fuerte de lo que pueden imaginar.

EN 18031 se desarrolló utilizando IEC 62443-4-2 y ETSI EN 303 645 como sus inputs principales. Las normas del CRA, particularmente la horizontal EN 40000-1-4 y las verticales de ETSI, utilizan EN 18031 como base de partida. El Mandato de Normalización M/606 reconoce explícitamente esta línea de herencia.

En la práctica, esto significa que los controles de seguridad, el enfoque basado en riesgos para determinar la aplicabilidad, y gran parte de la metodología técnica que los fabricantes aplicaron bajo EN 18031 se trasladan al marco de normas del CRA. Un fabricante que ha construido un producto contra EN 18031-1 (para equipos radio conectados a internet) encontrará que la estructura de controles de seguridad y la metodología son territorio familiar, ampliados para cubrir el alcance más amplio del CRA.

Lo que cambia es el alcance (el CRA cubre todos los productos con elementos digitales, no solo equipos radio), los requisitos de ciclo de vida (gestión continua de vulnerabilidades bajo EN 40000-1-3, que no tiene equivalente directo en el modelo de cumplimiento RED) y la estructura de evaluación de la conformidad (el CRA introduce su propia clasificación de productos y rutas de evaluación). Pero los requisitos técnicos de seguridad fundamentales son una evolución, no una revolución, para fabricantes que ya trabajan con EN 18031.

Para fabricantes que aún no han trabajado con EN 18031 o que abordan el cumplimiento del CRA sin experiencia previa en RED 3.3, la ETSI EN 303 645 (ciberseguridad para IoT de consumo) puede servir también como punto de referencia útil. Aunque su alcance es más reducido que el de las normas CRA, cubre muchos de los mismos principios de seguridad y fue uno de los inputs fundacionales tanto para EN 18031 como para las normas horizontales del CRA.

*Para conocer cómo la evaluación de riesgos de ciberseguridad del CRA difiere de la evaluación de riesgos regulatoria del expediente técnico de marcado CE, consulta la Evaluación de riesgos regulatoria vs. ciberseguridad

Si EN 18031 es el puente hacia el CRA para los fabricantes de equipos radio, la serie EN IEC 62443 desempeña un papel equivalente para los fabricantes de electrónica industrial, tecnología operacional y componentes de sistemas de control.

La serie IEC 62443 está ampliamente adoptada en entornos industriales y sectores de infraestructura crítica. Para fabricantes que ya trabajan dentro de este marco, la conexión con el CRA es directa: varias normas verticales del CRA están siendo desarrolladas por CENELEC sobre la base de IEC 2443, y las partes fundamentales de la serie mapean bien contra los erquisitos esenciales del CRA.

Tres partes de la serie son directamente relevantes:

Tanto EN IEC 62443-4-1 como EN IEC 62443-4-2 están recibiendo enmiendas europeas (A11:2026) específicamente para cerrar los gaps identificados entre el contenido existente de las normas y los requisitos esenciales del CRA. Estas enmiendas aseguran que la vía basada en IEC 62443 se alinee con lo que el CRA requiere, sin obligar a los fabricantes a abandonar un marco que ya utilizan.

CENELEC está desarrollando normas verticales del CRA basadas en la serie IEC 62443 para varias categorías de producto que se solapan con la serie ETSI EN 304 6xx pero están específicamente orientadas a uso industrial:

Productos VPN, sistemas de gestión de red, sistemas SIEM, interfaces de red físicas y virtuales, routers, módems y switches, y firewalls y sistemas de detección/prevención de intrusiones destinados a uso industrial.

Para fabricantes cuyos productos caen en estas categorías y están principalmente destinados a entornos industriales o de tecnología operacional, las verticales basadas en IEC 62443 de CENELEC pueden ser la opción más natural frente a las equivalentes de ETSI, porque se construyen sobre la misma arquitectura de seguridad y terminología que el fabricante ya utiliza.

La serie IEC 62443 también incluye EN IEC TS 62443-1-5, que define un esquema de perfiles de seguridad: subconjuntos de requisitos IEC 62443 mapeados a dominios de aplicación, tipos de producto o entornos operativos específicos. Este mecanismo permite el desarrollo de perfiles específicos por producto o sector que pueden servir como base para normas verticales del CRA sin reescribir todo el marco para cada categoría de producto.

Los fabricantes que ya han certificado productos o procesos bajo IEC 62443 (a través del IECEE CB Scheme, por ejemplo) han acumulado evidencia que es directamente relevante para el cumplimiento del CRA. Los controles de seguridad documentados bajo IEC 62443-4-2, la evidencia del ciclo de vida de desarrollo de IEC 62443-4-1 y la arquitectura de seguridad a nivel de sistema de IEC 62443-3-3 pueden mapearse contra los requisitos esenciales del CRA.

Esto no significa que la certificación IEC 62443 equivalga al cumplimiento del CRA. El CRA tiene su propia estructura de evaluación de conformidad, su propia clasificación de productos, y requisitos específicos (como la obligación de SBOM y la obligación de erporte de vulnerabilidades bajo el Artículo 14) que IEC 62443 no cubre. Pero la evidencia técnica de seguridad y la madurez de procesos construida bajo IEC 62443 proporcionan una ventaja sustancial, particularmente para los requisitos del Anexo I Parte I.

✅ Identifica primero la clasificación de tu producto. Antes de determinar qué normas seguir, establece si tu producto cae en la categoría default, Important Class I, Important Class II o Critical. El Reglamento de Ejecución del CRA (UE) 2025/2392 establece las descripciones técnicas de las categorías. Esta clasificación determina tanto la ruta de evaluación de conformidad como si aplica una norma vertical a tu producto.

✅ El marco horizontal aplica a todos. Independientemente de la clasificación, la serie EN 40000 proporciona la base. EN 40000-1-2 (proceso de desarrollo) y EN 40000-1-3 (gestión de vulnerabilidades) aplican a todos los productos. Para productos default, EN 40000-1-4 proporciona los requisitos de controles de seguridad. Para productos con norma vertical, la vertical sustituye a EN 40000-1-4 con requisitos específicos del producto.

✅ No todas las normas horizontales están diseñadas para ser armonizadas. La EN 40000-1-2 (proceso de desarrollo seguro) y la EN 40000-1-4 (requisitos genéricos de seguridad) no están concebidas para armonizarse frente al CRA. Esto significa que aplicarlas no generará presunción de conformidad con los requisitos esenciales que cubren. Sin embargo, representan el estado del arte en sus respectivas áreas: la EN 40000-1-2 para las prácticas de desarrollo seguro de producto y la EN 40000-1-4 para el mapeo entre requisitos esenciales del CRA y security controls implementables. Para los fabricantes, esto tiene una consecuencia práctica: estas normas siguen siendo la referencia técnica más sólida para demostrar el cumplimiento con los requisitos de proceso de desarrollo y de seguridad de producto, aunque el atajo legal de la presunción de conformidad no aplique. La documentación técnica del fabricante debe explicar cómo se logra el cumplimiento, y basar esa explicación en la metodología y los controles definidos en estas normas es un enfoque técnicamente riguroso.

✅ Monitoriza los plazos de entrega de la normalización. El Mandato de Normalización M/606 establece plazos de entrega para los ESOs: EN 40000-1-2 y EN 40000-1-3 para el 30 de agosto de 2026, las normas verticales para el 30 de octubre de 2026, y EN 40000-1-4 para el 30 de octubre de 2027. Son fechas de entrega a la Comisión, no fechas de publicación en el DOUE. Tras la entrega, las normas pasan por adopción formal, publicación y citación en el Diario Oficial antes de poder generar presunción de conformidad. Este proceso ha requerido históricamente meses adicionales. Para productos Important Class I, la disponibilidad de una norma vertical armonizada en el DOUE antes del 11 de diciembre de 2027 determina si la autoevaluación es una opción desde el primer día.

✅ Empieza a trabajar con los borradores ahora. Los borradores de las normas verticales ETSI de la serie EN 304 6xx están disponibles en la web de ETSI de forma gratuita. Son borradores de trabajo, no normas finales publicadas, y su contenido puede cambiar antes de la publicación. Los borradores CEN-CENELEC son accesibles a través del proceso de encuesta pública de los organismos nacionales de normalización. Pese al estado de borrador, el contenido técnico tiene la madurez suficiente para diseñar contra él, y esperar a la publicación final antes de abordar los requisitos genera una presión de calendario innecesaria.

✅ Las normas son voluntarias, pero la alternativa es más cara. Los fabricantes no están obligados a seguir normas armonizadas. Pueden demostrar la conformidad con los requisitos esenciales a través de otros medios técnicos. Sin embargo, para productos Important Class I, no seguir una norma armonizada implica evaluación obligatoria de tercera parte en lugar de autoevaluación, con las implicaciones de coste y plazos asociadas.

✅ La aplicación parcial proporciona presunción parcial. Si un fabricante aplica una norma armonizada pero no en su totalidad, la presunción de conformidad aplica solo a los requisitos esenciales cubiertos por las partes aplicadas. El fabricante debe demostrar la conformidad con los requisitos restantes por otros medios y documentar el enfoque en la documentación técnica. En el caso de productos Important Class I, si la norma armonizada no se ha aplicado ens u totalidad, la intervención de un tercero independiente es obligatoria.