Regulaciones europeas aplicables a tu producto electrónico
Qué exige cada regulación, a quién afecta y qué implica para tu evaluación de la conformidad. Entender dónde aplican y cómo interactúan entre sí es el primer paso hacia una entrada al mercado sin obstáculos.
Todo producto electrónico comercializado en el mercado de la UE debe cumplir con uno o varios marcos regulatorios. El reto no está en saber qué regulaciones existen, sino en entender cuáles aplican a tu producto concreto, cómo interactúan entre sí y qué requiere realmente el cumplimiento en la práctica.
Esta página cubre los cinco marcos regulatorios más relevantes para fabricantes de electrónica. Cada sección explica el alcance, las obligaciones principales, las opciones de evaluación de la conformidad y los plazos clave que necesitas conocer.
01
Cyber Resilience Act (CRA)
02
Directiva RED
03
Directiva EMC
04
Directiva LVD
05
Directiva ROHS
¿Buscas información sobre regulación de drones y UAS?
El Reglamento (UE) 2019/945, la definición de clases, las normas EN 4709 y los servicios de cumplimiento específicos para UAS se tratan en su página dedicada.
cra - cyber resilience act
Cyber Resilience Act (CRA): qué implica para los fabricantes de hardware
El Cyber Resilience Act, o Ley de Ciberresiliencia (Reglamento (UE) 2024/2847), es la primera legislación europea que impone requisitos horizontales de ciberseguridad a todos los productos con elementos digitales comercializados en el mercado europeo. Entró en vigor el 10 de diciembre de 2024 y sus obligaciones se están implantando de forma progresiva hasta diciembre de 2027.
La mayor parte del debate público sobre el CRA se ha centrado en el software. Pero el reglamento se aplica igualmente a cualquier producto que incluya software o firmware y pueda establecer una conexión de datos con un dispositivo o una red. Esa definición abarca la gran mayoría de los productos electrónicos actuales: sensores conectados, controladores industriales, dispositivos IoT, equipos de red, productos de domótica, wearables y sistemas embebidos de todo tipo.
Alcance: ¿aplica el CRA a tu producto?
El CRA utiliza el término "producto con elementos digitales" para definir qué queda dentro de su ámbito. Se refiere a cualquier producto de software o hardware cuyo uso previsto o razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, con un dispositivo o una red.
En términos prácticos, esto abarca cualquier producto con firmware que se comunique mediante cualquier protocolo. También incluye productos que no se conectan directamente a internet pero se comunican con otro dispositivo, así como productos de hardware que dependen de software complementario, servicios en la nube o procesamiento remoto de datos como parte de su función prevista.
Obligaciones principales para los fabricantes
El CRA introduce obligaciones que abarcan todo el ciclo de vida del producto, desde el diseño hasta el fin del soporte. No todas las obligaciones del CRA se aplican al mismo tiempo. Entender el calendario es tan importante como entender los requisitos en sí.
Desde el 11 de septiembre de 2026, los fabricantes deben notificar las vulnerabilidades activamente explotadas y los incidentes graves de seguridad a través de la Single Reporting Platform. La alerta temprana debe enviarse en un plazo de 24 horas desde que se tenga conocimiento, seguida de una notificación más detallada en 72 horas. Para vulnerabilidades, el informe final debe presentarse en los 14 días siguientes a la disponibilidad de una medida correctiva. Para incidentes graves, el plazo del informe final es de un mes tras la notificación de las 72 horas. Esta obligación se aplica a todos los productos con elementos digitales dentro del ámbito del CRA.
Aplicable a partir del 11 de diciembre de 2027:
Ciberseguridad por diseño
Los productos deben diseñarse, desarrollarse y fabricarse garantizando un nivel adecuado de ciberseguridad basado en una evaluación de riesgos. El CRA no prescribe una metodología específica, pero los fabricantes deben demostrar que identificaron las amenazas relevantes, evaluaron los riesgos e implementaron medidas de seguridad proporcionadas. Los requisitos esenciales de ciberseguridad se recogen en el Anexo I del reglamento y cubren áreas como el control de acceso, la protección de datos, la configuración segura por defecto y la reducción de la superficie de ataque.
Gestión de vulnerabilidades durante el período de soporte
Los fabricantes deben establecer y mantener procesos para identificar, documentar y corregir vulnerabilidades en sus productos durante todo el tiempo que se prevea que el producto estará en uso. Esto incluye proporcionar actualizaciones de seguridad a los usuarios sin coste adicional dentro del período de soporte.
Documentación técnica y SBOM
La documentación técnica debe incluir la evaluación de riesgos de ciberseguridad, una descripción de cómo se han abordado los requisitos esenciales y las especificaciones de los procesos de gestión de vulnerabilidades, entre otras cosas. Los fabricantes también deben identificar y documentar los componentes de sus productos (incluidas las dependencias de terceros y de código abierto) en un Software Bill of Materials. El SBOM forma parte de la documentación técnica disponible para las autoridades de vigilancia del mercado, pero no existe obligación de hacerlo público.
Categorías y procedimientos de evaluación
CRA clasifica los productos en tres categorías según su perfil de riesgo de ciberseguridad. Cada categoría determina la ruta de evaluación de la conformidad y si se requiere la intervención de un Organismo Notificado.
Categoría default
Autoevaluación siempre disponible.
La mayoría de los productos electrónicos: sensores conectados, dispositivos IoT…
El fabricante realiza la evaluación de riesgos de ciberseguridad, aplica los requisitos esenciales, prepara la documentación técnica y firma la Declaración de Conformidad UE.
Productos importantes Clase I
Autoevaluación condicionada
Routers, juguetes conectados, sistemas operativos…
Autoevaluación disponible si el fabricante ha aplicado una norma armonizada que cubra los requisitos pertinentes. En caso contrario, se requiere un Organismo Notificado.
Importante Clase II
Organismo Notificado requerido
Cortafuegos, hipervisores…
El Organismo Notificado debe examinar el diseño del producto y una muestra representativa antes de emitir un certificado de examen de tipo UE.
Crítico
Certificación obligatoria por terceros
Productos con el perfil de riesgo de ciberseguridad más alto: pasarelas de contadores inteligentes, tarjetas inteligentes…
Se espera que la Comisión Europea adopte el EUCC (European Union Common Criteria-based Cybersecurity Certification Scheme) como medio de cumplimiento para los productos críticos. Mientras tanto, se podrá utilizar un Organismo Notificado y aplicar uno de los siguientes procedimientos: Módulo B+C o Módulo H.
El CRA no exige que los fabricantes utilicen laboratorios acreditados para las pruebas. Los ensayos pueden realizarse en las propias instalaciones del fabricante o en laboratorios externos. Sin embargo, la responsabilidad legal del resultado de la evaluación de la conformidad recae siempre en el fabricante.
¿No tienes claro si el CRA aplica a tu producto?
Un diagnóstico de cumplimiento te da una respuesta clara y una hoja de ruta práctica.
red - directiva de equipos radioeléctricos
Directiva de Equipos Radioeléctricos (RED) — el marco regulatorio para todo lo que transmite o recibe
La Directiva de Equipos Radioeléctricos 2014/53/UE se aplica a cualquier producto que transmita o reciba intencionadamente ondas de radio con fines de comunicación o determinación. Si tu producto utiliza Bluetooth, Wi-Fi, NFC, Zigbee, LoRa, comunicación celular, UWB, RFID, GNSS, radar o cualquier otra tecnología de radio, la RED es tu marco regulatorio principal.
Una consecuencia que los fabricantes a veces pasan por alto: los productos que entran en el ámbito de la RED quedan explícitamente excluidos tanto de la Directiva de Baja Tensión (LVD) como de la Directiva EMC. La RED absorbe sus requisitos esenciales y los aplica sin los límites de tensión de la LVD.
Requisitos esenciales de la RED
Artículo 3.1(a) — Seguridad y salud
Todos los equipos radioeléctricos deben proteger la salud y seguridad de las personas, los animales domésticos y los bienes. Este requisito hace referencia a los objetivos de seguridad de la Directiva de Baja Tensión pero se aplica sin ninguna limitación de tensión. En la práctica, la evaluación cubre la seguridad eléctrica, la seguridad mecánica, la seguridad térmica y los límites de exposición humana a campos electromagnéticos. Para dispositivos de uso cercano al cuerpo, esto incluye la evaluación SAR (Tasa de Absorción Específica).
Artículo 3.1(b) — Compatibilidad electromagnética
Todos los equipos radioeléctricos deben cumplir los objetivos de compatibilidad electromagnética de la Directiva EMC: no deben causar interferencias que impidan el correcto funcionamiento de otros equipos, y deben tolerar el entorno electromagnético en el que está previsto que operen. El alcance de los ensayos cubre emisiones (conducidas y radiadas) e inmunidad (ESD, campos RF, transitorios, sobretensiones, huecos de tensión).
Artículo 3.2 — Uso eficaz del espectro radioeléctrico
Este es el requisito específico de radio. Los equipos deben operar dentro de las bandas de frecuencia autorizadas, respetar los límites de potencia, utilizar métodos de modulación y acceso al canal apropiados, y alcanzar un rendimiento del receptor adecuado para evitar una ocupación innecesaria del espectro. A diferencia de los Artículos 3.1(a) y 3.1(b), donde pueden aplicarse normas genéricas de seguridad o EMC, el Artículo 3.2 se basa en normas armonizadas específicas por tecnología. La norma aplicable depende enteramente de la tecnología de radio y la banda de frecuencia del producto.
Artículo 3.3(d) — Protección de la red
Se aplica a cualquier equipo radioeléctrico conectado a internet. El equipo no debe dañar la red ni su funcionamiento, ni utilizar indebidamente los recursos de la red de manera que cause una degradación inaceptable del servicio.
Artículo 3.3(e) — Protección de datos personales y privacidad
Se aplica a equipos radioeléctricos conectados a internet, equipos destinados al cuidado infantil, juguetes con funcionalidad de radio y equipos radioeléctricos wearables, siempre que el equipo procese datos personales, datos de tráfico o datos de localización. Un dispositivo no necesita estar conectado a internet para entrar en el ámbito del 3.3(e): un dispositivo de monitorización infantil con radio que procesa datos personales pero solo se comunica localmente sigue estando en el alcance.
Artículo 3.3(f) — Prevención del fraude
Se aplica a equipos radioeléctricos conectados a internet que permitan la transferencia de dinero, valor monetario o moneda virtual.
Estos requisitos 3.3(d)(e)(f) de ciberseguridad de la RED son transitorios. La Comisión derogará el Reglamento Delegado el 11 de diciembre de 2027, cuando el CRA sea plenamente aplicable. Los productos comercializados entre el 1 de agosto de 2025 y el 10 de diciembre de 2027 deben cumplir bajo estos artículos de la RED. Los productos comercializados a partir del 11 de diciembre de 2027 cumplen bajo el CRA. No existe período de doble obligación.
Artículo 3.3(g) — Acceso a servicios de emergencia
Activado mediante varios actos delegados para categorías específicas de equipos: radio marítima GMDSS, balizas de avalancha, transpondedores AIS y balizas Cospas-Sarsat. Si tu producto pertenece a alguna de estas categorías, el Artículo 3.3(g) impone requisitos adicionales sobre la fiabilidad de la señal de emergencia. Estas obligaciones llevan largo tiempo en vigor y no se ven afectadas por la transición al CRA.
Artículo 3.4 — Cargador común
Añadido a la RED por la Directiva (UE) 2022/2380, este requisito obliga a determinadas categorías de equipos radioeléctricos a utilizar USB-C como receptáculo de carga con cable. El requisito se aplica desde el 28 de diciembre de 2024 para teléfonos móviles, tabletas, cámaras digitales, auriculares, cascos, videoconsolas portátiles, altavoces portátiles, lectores de libros electrónicos, teclados, ratones, sistemas de navegación portátiles y auriculares internos. Para los ordenadores portátiles, la fecha de aplicación fue el 28 de abril de 2026. Los productos que cargan por encima de 15W deben además soportar el protocolo USB Power Delivery (USB PD). Los fabricantes también deben cumplir requisitos de etiquetado específicos: un pictograma que indique si se incluye un cargador en el embalaje, y una etiqueta con las especificaciones de carga del producto y los dispositivos de carga compatibles.
Evaluación de la conformidad bajo RED
La vía de evaluación de la conformidad depende de qué requisitos esenciales aplican a tu producto y de si las normas armonizadas proporcionan cobertura completa.
Para los Artículos 3.1 (seguridad y EMC) y 3.4 (cargador común)
El fabricante siempre puede elegir entre la autodeclaración, el examen UE de tipo o el aseguramiento de calidad total con un Organismo Notificado. La autodeclaración está disponible independientemente de que se hayan aplicado normas armonizadas. La mayoría de los fabricantes optan por esta vía: realizan o encargan los ensayos pertinentes, preparan la documentación técnica y firman la Declaración UE de Conformidad.
Para los Artículos 3.2 (espectro) y 3.3 (requisitos delegados)
El panorama cambia. Cuando el fabricante ha aplicado normas armonizadas cuyas referencias se han publicado en el Diario Oficial, las tres opciones siguen disponibles, incluida la autodeclaración. Cuando las normas armonizadas no se han aplicado o, se han aplicado solo parcialmente, o no existen, la autodeclaración deja de ser una opción. El fabricante debe recurrir a un Organismo Notificado.
La distinción entre norma armonizada "aplicada" y "parcialmente aplicada" tiene importancia en la práctica. Las normas armonizadas pueden publicarse en el Diario Oficial con restricciones, lo que significa que determinadas cláusulas no proporcionan presunción de conformidad. Un fabricante que aplica una norma así solo ha cubierto parcialmente el requisito esencial. Esta es la situación actual con la serie EN 18031 que respalda los artículos de ciberseguridad 3.3(d), (e) y (f), las normas existen y pueden aplicarse, pero se publicaron con restricciones, por lo que la certificación por un Organismo Notificado sigue siendo necesaria si el producto se ve afectado por dichas restricciones.
¿Necesitas saber qué requisitos de la RED aplican a tu producto?
directiva emc
Compatibilidad electromagnética para productos electrónicos sin radio
La Directiva EMC (2014/30/UE) se aplica a cualquier aparato que pueda generar perturbaciones electromagnéticas o cuyo rendimiento pueda verse afectado por perturbaciones electromagnéticas. Para los fabricantes de electrónica, esto abarca prácticamente todo producto electrónico que no entre en el ámbito de la RED.
La distinción es importante: si tu producto incluye funcionalidad de radio intencionada, se aplica la RED en lugar de EMC. La RED absorbe los requisitos EMC a través del Artículo 3.1(b). La Directiva EMC cubre todo lo demás.
Los dos requisitos esenciales:
- Emisiones
Las perturbaciones electromagnéticas generadas por el aparato no deben superar un nivel que impida el correcto funcionamiento de otros equipos. Se miden como emisiones conducidas (perturbaciones devueltas a la red eléctrica o cables de telecomunicación) y emisiones radiadas (perturbaciones propagadas por el aire). Los límites aplicables dependen de la categoría de producto y del entorno de uso previsto (residencial o industrial).
- Inmunidad
El aparato debe tolerar las perturbaciones electromagnéticas esperadas en su entorno previsto sin degradación inaceptable del rendimiento. Los ensayos de inmunidad cubren descargas electrostáticas, campos RF radiados, perturbaciones RF conducidas, transitorios eléctricos rápidos, sobretensiones, huecos e interrupciones de tensión, y campos magnéticos. Los ensayos aplicables y su nivel de severidad dependen de las características del producto.
Evaluación de la conformidad bajo la Directiva EMC
La Directiva EMC permite la autodeclaración para todos los productos. No existe obligación de intervención de un Organismo Notificado, independientemente del tipo de producto. El fabricante normalmente aplica las normas armonizadas relevantes (típicamente de la serie EN 61000 como normas genéricas, o normas de familia de producto donde existan), realiza o encarga los ensayos EMC, prepara la documentación técnica y firma la Declaración UE de Conformidad.
directiva lvd
Directiva de Baja Tensión (2014/35/UE) — seguridad eléctrica para productos dentro de límites de tensión definidos
La Directiva de Baja Tensión se aplica a equipos eléctricos diseñados para utilizarse con una tensión nominal comprendida entre 50V y 1.000V en corriente alterna, o entre 75V y 1.500V en corriente continua. Estos límites de tensión se refieren a la tensión de alimentación del equipo.
Para los fabricantes de electrónica, la LVD se aplica habitualmente a equipos alimentados de la red eléctrica: fuentes de alimentación, controladores industriales, instrumentos de laboratorio, equipos profesionales, sistemas de iluminación LED, cargadores de baterías que operan por encima de los umbrales de tensión, y productos similares.
Qué queda fuera de la LVD
Los productos que operan por debajo de 50V CA o 75V CC quedan fuera del ámbito. Esto excluye una parte significativa de los productos electrónicos modernos — dispositivos alimentados por batería, equipos alimentados por USB, sistemas embebidos de baja tensión y productos similares. Estos productos no están exentos de obligaciones de seguridad, pero dichas obligaciones provienen de otra legislación: el Reglamento General de Seguridad de los Productos para productos de consumo, o la RED si el producto tiene funcionalidad de radio (que aplica requisitos de seguridad sin límites de tensión).
Objetivos de seguridad
La LVD define sus requisitos esenciales como objetivos de seguridad en lugar de reglas prescriptivas. Los equipos deben diseñarse y fabricarse de modo que no pongan en peligro a las personas, los animales domésticos ni los bienes cuando estén correctamente instalados, mantenidos y utilizados para el fin previsto. Los objetivos de seguridad cubren la protección contra peligros derivados del propio equipo (descarga eléctrica, temperaturas peligrosas, riesgos no eléctricos como los mecánicos o químicos), así como la protección contra influencias externas — el equipo debe soportar las condiciones ambientales que encontrará sin comprometer la seguridad, como el polvo o el agua.
Evaluación de la conformidad bajo la LVD
La LVD ofrece una única vía de evaluación de la conformidad: la autodeclaración mediante control interno de producción. El fabricante aplica las normas de seguridad armonizadas pertinentes (típicamente EN 62368-1 para equipos de IT y audio/vídeo, EN 61010 para equipos de medida y laboratorio, EN 60335 para aparatos domésticos, u otras normas específicas de producto), realiza o encarga los ensayos de seguridad, prepara la documentación técnica y firma la Declaración UE de Conformidad. A diferencia de la RED o del CRA, la LVD no contempla ninguna disposición para la intervención de un Organismo Notificado.
directiva rohs
Sustancias restringidas en aparatos eléctricos y electrónicos
La Directiva RoHS (2011/65/UE) restringe el uso de diez sustancias peligrosas en aparatos eléctricos y electrónicos (EEE) comercializados en el mercado de la UE. A diferencia de las directivas anteriores, que se centran en cómo funciona un producto, RoHS se centra en lo que contiene.
Las sustancias restringidas son
- Plomo
- Mercurio
- Cadmio
- Cromo hexavalente
- Bifenilos polibromados (PBB)
- Éteres de difenilo polibromados (PBDE)
- Ftalato de bis(2-etilhexilo) (DEHP)
- Ftalato de bencilo y butilo (BBP)
- Ftalato de dibutilo (DBP)
- Ftalato de diisobutilo (DIBP)
La concentración máxima permitida es del 0,1% en peso en materiales homogéneos para todas las sustancias, excepto el cadmio, que se restringe al 0,01%. Material homogéneo es un material individual de composición uniforme en toda su extensión, como plástico, cerámica, metal o recubrimiento.
Alcance
RoHS se aplica a aparatos eléctricos y electrónicos comprendidos en las categorías definidas por la directiva, que abarcan en la práctica toda la gama de productos electrónicos.
Existen exenciones para aplicaciones específicas donde aún no se dispone de sustitutos técnicamente fiables. Estas exenciones se revisan periódicamente y tienen fechas de caducidad definidas. Los fabricantes que se apoyen en una exención deben identificar cuál aplica, verificar que no haya expirado y documentarlo en su documentación técnica.
Qué requiere realmente el cumplimiento de RoHS
El cumplimiento de RoHS es fundamentalmente un ejercicio de gestión de la cadena de suministro. Los fabricantes deben recopilar declaraciones de materiales en todos los niveles de la cadena de suministro — cada componente, subconjunto, pasta de soldadura, acabado superficial, cable, conector y material de la carcasa debe trazarse hasta los datos de composición del material. Esto se materializa típicamente en declaraciones de proveedores, informes de ensayos de materiales o formatos estandarizados.
Cuando aplican exenciones, el fabricante debe documentar qué exención cubre cada aplicación y confirmar que sigue vigente.
La documentación técnica de RoHS es independiente del expediente técnico requerido por otras directivas. Debe incluir una descripción del producto, la documentación de los materiales y componentes utilizados, las evidencias de cumplimiento y la identificación de las exenciones aplicadas. La EN IEC 63000 es la única norma armonizada para RoHS.
¿Prefieres desarrollar conocimiento regulatorio internamente?
Sesiones de formación adaptadas a tu cartera de productos y al nivel de tu equipo. Fundamentos de marcado CE, cumplimiento RED para productos conectados, preparación para el CRA — elige el enfoque y la profundidad.
Múltiples regulaciones, una sola estrategia de cumplimiento
La mayoría de los productos electrónicos caen bajo dos o más marcos regulatorios simultáneamente. Una diagnóstico de cumplimiento mapea cada regulación aplicable a tu producto y construye un camino coherente hacia el mercado.
faqs
Preguntas frecuentes
¿Cómo sé qué regulaciones europeas aplican a mi producto?
Depende de las características del producto: si utiliza tecnología de radio (RED), si opera por encima de determinados umbrales de tensión (LVD) o si contiene software o firmware con conectividad de datos (CRA), entre otros factores. La mayoría de los productos electrónicos están sujetos a al menos dos o tres de estos marcos simultáneamente. Una diagnóstico de cumplimiento identifica exactamente qué regulaciones aplican a tu producto concreto y traza la vía de evaluación de la conformidad para cada una.