Cyber Resilience Act (CRA)

Home > Servicios Digitales > Ciberseguridad > Cyber Resilience Act (CRA): evaluación y preparación de productos

Evaluación y preparación de productos

Un producto puede incorporar mecanismos de seguridad y aun así no estar preparado para el CRA

Durante años, la ciberseguridad de producto se ha centrado en implementar controles y diseñar sistemas seguros. Con el Cyber Resilience Act (CRA), ese enfoque debe complementarse con la capacidad de demostrar que los requisitos aplicables se cumplen mediante documentación y evidencias técnicas.

ALTER Technology ayuda a fabricantes a analizar la aplicabilidad del CRA, clasificar sus productos, identificar brechas, validar mecanismos de seguridad y preparar las evidencias técnicas necesarias para afrontar el proceso de conformidad.

CONTACTA CON NOSOTROS

Fechas clave del Cyber Resilience Act

El CRA entró en vigor el 10 de diciembre de 2024 y su calendario de aplicación está definido.

La preparación no debería comenzar en 2027. La clasificación del producto, la identificación de posibles brechas y la generación de evidencias requieren planificación previa.

¿Tu producto podría estar afectado por el CRA?

El CRA aplica a productos con elementos digitales incluidos en su ámbito. Puede afectar, entre otros, a productos IoT, equipos conectados, sistemas industriales, software y componentes digitales.

La aplicabilidad debe analizarse caso por caso teniendo en cuenta la funcionalidad del producto, su conectividad y su uso previsto.

El reto no es entender los requisitos. Es demostrar la conformidad

El CRA exige que el fabricante pueda demostrar el cumplimiento de los requisitos esenciales de ciberseguridad aplicables al producto.

La seguridad deja de ser declarativa y pasa a ser demostrable. Esto implica:

Analizar el producto.
Verificar su comportamiento.
Validar los mecanismos de seguridad.
Generar evidencias técnicas.
Preparar la documentación necesaria para la evaluación de conformidad.

Un producto puede incorporar autenticación, cifrado o mecanismos de actualización segura. El reto consiste en demostrar que esos mecanismos están correctamente implementados y funcionan como se espera cuando son evaluados.

Clasificación de productos y rutas de evaluación

La clasificación del producto condiciona la ruta de evaluación de conformidad aplicable.

Identificar correctamente la categoría del producto es uno de los primeros pasos para definir una estrategia de conformidad adecuada.

El CRA no sustituye las normas existentes

El CRA establece requisitos regulatorios de ciberseguridad. EN 18031, IEC 62443, ETSI EN 303 645 o determinados esquemas europeos de certificación pueden aportar evidencias técnicas útiles en función del producto y de sus características.

Su utilización no implica por sí sola la conformidad con el CRA: es necesario determinar qué requisitos cubre cada referencia y qué evidencias adicionales pueden ser necesarias.

CONTACTA CON NOSOTROS

Descarga gratis: Whitepaper de la norma IEC 62443

El whitepaper resume la norma IEC 62443, destacando su estructura, alcance y conceptos clave aplicados a sistemas de control industrial (IACS). Aborda estrategias como la defensa en profundidad, el uso de zonas y conductos, y el ciclo de vida de la ciberseguridad basado en el modelo PDCA. También presenta los niveles de seguridad según las secciones 3-3 y 4-2, y los niveles de madurez definidos en las secciones 2-4 y 4-1.

Descargar 25 KB | PDF

Cómo se relacionan EN 18031 e IEC 62443 con el CRA

EN 18031 puede aportar evidencias cuando el producto incorpora funcionalidades cubiertas por la Directiva RED. En entornos industriales u OT, IEC 62443 puede ayudar a estructurar el desarrollo seguro, la gestión de riesgos y la generación de evidencias.

Estas referencias pueden ser útiles dentro de una estrategia de preparación frente al CRA, pero es necesario analizar en cada caso qué requisitos cubren y qué aspectos adicionales deben abordarse.

Cómo ayuda ALTER Technology

ALTER puede apoyar al fabricante en el análisis de aplicabilidad del CRA, la clasificación del producto, la identificación de brechas, el análisis de riesgos, las pruebas de seguridad y la revisión de evidencias.

Este trabajo puede conectarse con otros servicios de ciberseguridad y con evaluaciones ya realizadas para aprovechar evidencias técnicas relevantes.

Análisis de aplicabilidad del CRA.
Clasificación de productos.
Identificación de brechas técnicas.
Análisis de amenazas y riesgos.
Pruebas de seguridad y validación técnica.
Generación y revisión de evidencias.
Evaluación de la preparación del producto frente al CRA.
Relación entre CRA, EN 18031, IEC 62443 y otros marcos aplicables.

El cumplimiento no es una checklist

El CRA no establece una única certificación aplicable a todos los productos. La ruta de evaluación depende de la clasificación del producto, los requisitos aplicables y las evidencias disponibles.

Un producto preparado para el CRA no es únicamente aquel que incorpora mecanismos de seguridad, sino aquel cuyo fabricante puede justificar las decisiones adoptadas y aportar evidencias que respalden su evaluación de conformidad.

¿No tienes claro si tu producto está afectado?

¿Necesitas clasificarlo correctamente?

¿Quieres identificar brechas antes de diciembre de 2027?

¿Quieres saber cómo aprovechar trabajos ya realizados en EN 18031, IEC 62443 u otros estándares?

ALTER puede analizar la aplicabilidad del CRA a tu producto, identificar desviaciones, evaluar mecanismos de seguridad y ayudarte a preparar las evidencias necesarias para definir una estrategia de conformidad.