Ciberseguridad CRA

Qué es el módulo Ciberseguridad CRA y para qué sirve en la empresa

Ciberseguridad CRA es un módulo de eIntranet para fabricantes de hardware y software que deben cumplir el Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act. En él lleva el registro de productos con elementos digitales, sus versiones y la lista de componentes (SBOM), vigila las vulnerabilidades y prepara las notificaciones para la plataforma de ENISA. También controla los plazos de 24 horas, 72 horas y del informe final.

El módulo nació para una situación que un fabricante vive una vez cada pocos años, pero que debe resolver en un solo día: un cliente o un investigador de seguridad avisa de que se está explotando una vulnerabilidad en un producto. Desde el 11 de septiembre de 2026 es obligatorio notificar esos casos según el artículo 14 del reglamento, incluso en productos comercializados mucho antes de esa fecha. Quien no tiene personas designadas, un procedimiento ensayado y una visión clara de sus componentes empieza a organizarse cuando las horas ya corren.

El módulo no sustituye a un abogado ni a un organismo notificado, y no envía nada a las autoridades. La notificación a la plataforma única de notificación (SRP) de ENISA la presenta usted a mano en su portal. El módulo prepara los valores en los campos correctos, vigila los plazos y guarda el registro de lo que presentó y cuándo.

En la empresa lo usan normalmente tres roles: la persona responsable del producto, que lleva el registro y la SBOM; quien decide si hay explotación, con su suplente; y los representantes para la SRP, que presentan realmente las notificaciones. La dirección y el consultor entran por el análisis de brechas y la documentación técnica.

Cómo funciona Ciberseguridad CRA en eIntranet paso a paso

El trabajo en el módulo tiene dos vías que se encuentran en el caso del artículo 14. La primera es el registro diario, la segunda el procedimiento de crisis.

Registro de productos y componentes

En la pestaña Productos con elementos digitales da de alta un producto con su nombre oficial, el que irá a la notificación y a la declaración UE de conformidad. Responde si tiene conexión de datos, si entra en el ámbito de la CRA y a qué categoría pertenece (predeterminada, producto importante de clase I o II, crítico). El módulo determina el régimen CRA a partir de sus respuestas y no se puede fijar a mano: o el producto queda fuera del ámbito, o solo le aplica la notificación del artículo 14, o rige la CRA completa desde el 11 de diciembre de 2027. La respuesta «No lo sé» marca el producto con un signo de interrogación amarillo como incierto.

Al producto le añade una versión y en ella carga la SBOM en formato CycloneDX 1.4 a 1.6 o SPDX 2.2, 2.3 y 3.0.1. La importación tiene dos pasos: primero una vista previa con resumen, control de calidad y diferencia respecto a la versión anterior, y solo después el botón Confirmar importación. Los componentes que la herramienta no ve (RTOS, bootloader, bibliotecas enlazadas estáticamente) los completa a mano, y las importaciones siguientes los respetan.

De la vulnerabilidad al caso

Una vez al día el módulo compara los componentes con la fuente pública OSV y con el catálogo de vulnerabilidades explotadas activamente. De cada coincidencia nace un hallazgo en estado En evaluación. Según la gravedad, el plazo de evaluación va de 60 días para una baja a 7 días para una crítica; una vulnerabilidad marcada como explotada activamente (KEV) se evalúa en un día. Usted evalúa con los estados Afectado, No afectado (con motivo y pruebas) o Corregido.

Una coincidencia en la SBOM aún no es una detección en el sentido del artículo 14. El caso lo abre usted con el botón rojo Abrir caso art. 14, cuando tiene certeza razonable de que la vulnerabilidad se está explotando en su producto. La sospecha puede comunicarla también cualquiera con derecho de lectura en el módulo, con el botón Comunicar sospecha de la cabecera.

Plazos y envío

En el detalle del caso, quien decide elige Detectado, En seguimiento o No notificamos. La opción Detectado pone en marcha la cuenta atrás: alerta temprana en 24 horas, notificación en 72 horas. En una vulnerabilidad, el informe final vence a los 14 días de la primera medida disponible; en un incidente grave, al mes de la notificación. En cada fase pulsa Preparar notificación, el formulario se rellena con los datos del caso y de los productos, copia los campos a la SRP y registra en el módulo el envío con el número de notificación.

Todo lo que hace el módulo CRA

• Registro de productos con categoría según los anexos III y IV, procedimiento de evaluación de la conformidad, período de soporte y países donde se comercializa. El módulo avisa cuando el período de soporte es más corto que el uso esperado o inferior a cinco años.
• Base instalada: asigna al producto clientes del módulo CRM, y su país se usa al proponer los Estados miembros.
• Hallazgos de vulnerabilidades con filtro de explotadas activamente (KEV), evaluación masiva de las filas seleccionadas y reutilización de la evaluación cuando el mismo componente en la misma versión ya está resuelto en otra versión del producto.
• Casos del artículo 14 con estados desde Señal – en evaluación hasta Cerrado – notificado, cronología y expediente en PDF para la supervisión o el archivo.
• Formulario de notificación SRP según el glosario SRP 1.3 del 25 de septiembre de 2026: números de campo, contadores de caracteres, control de campos obligatorios antes del envío y botón Copiar todo.
• Notificaciones de vulnerabilidades recibidas (números VR-…), formulario público en la dirección /Security y plantilla de política de divulgación coordinada en checo, inglés y alemán.
• Análisis de brechas: 50 preguntas en siete áreas, de la A a la G, puntuación en tres niveles, plan de acción con el botón Crear tarea, hoja de ruta por trimestres hasta el 11 de diciembre de 2027 e informe en PDF.
• Conformidad y documentación técnica: requisitos del anexo I (I-1, I-2a a I-2m, II-1 a II-8), matriz de riesgos 5×5, anexo VII, declaración UE de conformidad e información para los usuarios según el anexo II.
• Salidas congeladas: el informe final del análisis de brechas, los anexos de los envíos a la SRP y las versiones aprobadas de los documentos se guardan con huella SHA-256 y no pueden sobrescribirse ni borrarse.
• Historial y papelera: cada cambio se registra con usuario, hora y valor antiguo y nuevo, incluidos los intentos rechazados por falta de permiso.

Preparación para notificar: representantes SRP, vacaciones y procedimiento de 24 horas

El fallo más habitual al notificar no suele ser técnico. A la SRP solo accede quien se registró en el portal con EU Login y verificación en varios pasos, y cuyo vínculo con la empresa verificó el CSIRT coordinador. Además, una notificación en borrador solo la ve su autor en la SRP. Si el único representante está de vacaciones, nadie más tiene por dónde entrar.

El módulo lo vigila con la lista de comprobación Preparación para notificar (art. 14), en la pestaña Resumen CRA. Tiene nueve puntos: representante principal y secundario verificados, acceso a la SRP probado en los últimos 90 días, quien decide y su suplente (cada uno una persona distinta), destinatarios de los avisos, clasificación clara de los productos, punto de contacto con política CVD, simulacro en los últimos 12 meses y disponibilidad de las personas en los próximos 60 días. La SRP admite un representante principal y como máximo 20 secundarios.

Con el módulo Vacaciones activado, el Resumen muestra franjas amarillas en los períodos en que no se puede localizar a ningún representante, ni a quien decide ni a su suplente. Solo cuentan las vacaciones aprobadas; las pendientes y las rechazadas, no. Una vez al día, por la mañana, llega un correo con los tramos que empiezan en un plazo de 14 días.

Para la noche y el fin de semana sirve el PDF de una página Procedimiento de 24 horas: contactos de quien decide y de los representantes con los teléfonos de las fichas de usuario, el CSIRT coordinador, ocho pasos numerados desde la señal hasta las notificaciones paralelas y una tabla con los campos que la SRP pide en la alerta temprana. Imprímalo. Y una vez al año ensaye todo el procedimiento como caso de prueba con la etiqueta SIMULACRO; el simulacro no activa plazos reales y la lista de comprobación lo exige.

Cómo elegir una herramienta para la CRA: qué preguntar antes de comprar

¿Distingue la herramienta el registro de la notificación?

Muchas herramientas solo ofrecen una lista de componentes. Pregunte si gestionan un caso del artículo 14 con tres plazos que corren por separado y si calculan desde cuándo corre cada uno. En el módulo CRA no corre nada hasta que quien decide registra la detección con fecha y motivo. Ni una coincidencia de CVE ni una entrada en el catálogo KEV ponen en marcha el reloj por sí solas.

¿Corresponde el formulario a la plataforma real?

La notificación se presenta en inglés, en los campos de la SRP. Compruebe que la herramienta usa los mismos nombres y números de campo que el glosario de la plataforma y avisa de un campo obligatorio vacío antes de que tenga que rellenarlo por segunda vez en el portal. El formulario del módulo distingue una vulnerabilidad explotada activamente de un incidente grave, y también la fase de la notificación.

¿Queda tras el envío un rastro que pueda defender?

La notificación presentada queda bloqueada, los anexos se bloquean al cerrar el caso y la corrección de la hora de detección solo puede hacerla el administrador con un motivo obligatorio; el valor original permanece en el expediente. La actualización a petición del CSIRT según el artículo 14, apartado 6, se registra como entrada independiente.

¿Qué pasa con los productos que ya están en el mercado?

La notificación afecta también a la base instalada comercializada antes del 11 de diciembre de 2027 y continúa tras el fin de la venta, del soporte y de la retirada de servicio. Pregunte si la herramienta determina el régimen por usted y si sabe separar el hardware con pedidos nuevos posteriores al 10 de diciembre de 2027 de las unidades más antiguas.

¿Cuánto control recibe quien no configuró nada?

Al módulo accede cualquiera con derecho de lectura y puede comunicar una sospecha. Las modificaciones, la finalización y el borrado se reparten en cuatro niveles de permisos. Quién puede cambiar a los representantes para la SRP lo decide un nivel aparte, Configuración del módulo CRA.

Ciberseguridad CRA para pequeños fabricantes y empresas con varios productos

Un pequeño fabricante de dispositivos embebidos con tres personas en desarrollo no necesita un equipo de seguridad certificado; necesita una lista de productos, la SBOM y claridad sobre quién notifica. El módulo le da una secuencia de pasos fija y no le obliga a redactar una directriz interna desde cero. El tamaño de la empresa se fija en el módulo como micro (hasta 10 empleados), pequeña (hasta 50), mediana (hasta 250) o grande. Notificar debe todo el mundo, sea cual sea su tamaño; el módulo solo registra el tamaño y lo rellena en la notificación.

Una empresa de software con diez productos y varias decenas de versiones tiene el problema contrario: el volumen. Ayudan la evaluación masiva de hallazgos, el filtro por producto, la evaluación reutilizada del mismo componente y el número junto al elemento del menú, que cuenta las sospechas pendientes de evaluar, los casos en estado Detectado y los hallazgos fuera de plazo. La tarjeta CRA del panel resume los casos abiertos, el plazo más próximo y la puntuación del último análisis de brechas.

El consultor que dirige el análisis de brechas para un cliente recibe el nivel Administración CRA. Anota las entrevistas en la pestaña Entrevistas, envía al cliente el informe con marca de agua BORRADOR y lo finaliza. La siguiente ronda nace como copia con las respuestas heredadas.

De dónde saca datos el módulo CRA: SBOM, OSV, catálogo KEV y notificaciones recibidas

Entrada

La lista de componentes se carga como archivo SBOM. La calidad se evalúa en tres niveles: el mínimo CRA (formato legible por máquina, componente principal y dependencias de primer nivel), el nivel BSI TR-03183-2 (CycloneDX 1.6 o posterior, o SPDX 3.0.1, identificadores purl o CPE, huella SHA-512, licencias) y un nivel complementario. Los hallazgos solo nacen en componentes con purl con versión o con un CPE válido, por lo que el detalle de la versión indica cuántos componentes no puede evaluar la vigilancia.

La vigilancia diaria lee la fuente pública OSV y el catálogo de vulnerabilidades explotadas activamente EUVD; como respaldo sirve el catálogo estadounidense de CISA. Los componentes con CPE se revisan además poco a poco en la fuente NVD, cada uno aproximadamente una vez por semana. Las notificaciones del exterior llegan también por el punto de contacto: por correo electrónico, de un cliente, de un CSIRT o del formulario público /Security, protegido con captcha y un límite de 5 notificaciones por hora y 20 al día desde una misma dirección IP.

Hardware

No necesita ningún hardware. El módulo funciona en el navegador y para generar la SBOM usa las herramientas que ya tiene en desarrollo.

Salida

La SBOM de la versión elegida se exporta en CycloneDX 1.6 (archivo .cdx.json). Del análisis de brechas salen el Informe en PDF, el Plan de acción y la hoja de ruta (XLSX) y la Lista de documentos de apoyo en XLSX y PDF. Del caso sale el Expediente (PDF), y desde el módulo Tareas puede asignar a los responsables las medidas del plan de acción. El archivo security.txt según la RFC 9116 lo genera el módulo a partir del correo de contacto; usted lo publica en su web como /.well-known/security.txt y lo renueva cada año, porque vale un año hacia adelante. A la SRP, a las autoridades o a los clientes el módulo no envía nada.

Cuánto cuesta el módulo Ciberseguridad CRA

El módulo está incluido en cada tarifa de eIntranet y no existe una licencia aparte para la CRA. Se paga por usuario con acceso al sistema, no por productos, versiones, componentes ni número de casos. No tiene que vigilar cuántos productos puede permitirse registrar.

Un ejemplo: un equipo de desarrollo y dos personas de soporte, 8 usuarios en total en la tarifa Základ, pagan 8 × 2,4 € = 19,2 € al mes sin IVA. Si crecen con un consultor y la dirección hasta 15 usuarios, ya se aplica la tarifa del tramo desde 11 usuarios: 15 × 2,1 € = 31,5 € al mes. Las tarifas Normal y Extra se diferencian en el espacio por usuario (0,5, 2 y 4 GB) y en el precio; todos los módulos están incluidos en cada una de ellas. El precio completo está en /es/pricelist.

No necesita ningún hardware. Si desea ayuda con la configuración de los representantes y del procedimiento, ofrecemos consultoría y formación a 40 € por hora. Las adaptaciones a medida, por ejemplo la conexión con su sistema de desarrollo, son programación bajo pedido a 52 € por hora. La vigilancia de vulnerabilidades y los asistentes de IA no tienen recargo; la IA consume créditos de la empresa y viene desactivada por defecto.

Solución CRA gratuita: qué se puede hacer sin pagar y dónde está el límite

Quien tiene un solo producto y conoce sus componentes puede empezar sin nosotros. Hay herramientas gratuitas que generan la SBOM, la base pública OSV vigila las vulnerabilidades y el catálogo KEV es público. Una hoja de Excel con los contactos de las personas que notifican y un enlace al portal SRP bastan para el primer mes.

El límite aparece en tres puntos. Primero, en la prueba: Excel no registra quién cambió la hora de detección ni cuándo, ni bloquea la notificación presentada. El expediente del caso que pide la supervisión lo montaría después a mano a partir de correos. Segundo, en la suplencia: una hoja no avisa de que los dos representantes para la SRP tienen vacaciones el viernes. Tercero, en el número de productos y versiones: cuando lleva decenas de SBOM, a mano no encuentra a qué versiones afecta una nueva vulnerabilidad de una biblioteca.

Puede probarlo todo gratis: 14 días de prueba sin compromiso, incluido un caso de simulacro.

Cómo implantar el módulo Ciberseguridad CRA

Empiece por la configuración: Configuración → Ciberseguridad CRA → Ajustes generales. Las opciones se guardan al salir del campo y cada cambio queda en el historial. Al abrir el módulo por primera vez, los datos del fabricante se rellenan desde la ficha de la empresa.

1. Datos del fabricante: razón social, dirección, correo electrónico para usuarios y web. Se usan en la declaración UE y en la información para los usuarios.
2. Notificación según el art. 14: país del establecimiento principal (por defecto Chequia), CSIRT coordinador (por defecto NÚKIB), tamaño de la empresa, quien decide y su suplente, objetivo para la primera evaluación de la señal (de 1 a 168 horas, por defecto 24) y recordatorios antes del plazo, por ejemplo 12;4;1.
3. Representantes para la SRP: añada al menos uno principal y uno secundario, complete la fecha de verificación del CSIRT y anote el acceso probado.
4. Punto de contacto: un buzón propio del tipo security@su-dominio, la política CVD a partir de la plantilla y, si procede, el formulario público.
5. Permisos: dé el nivel Lectura y comunicación de sospechas a toda la empresa, Resolución a la gente de desarrollo y Administración CRA al consultor y al responsable.
6. Productos y SBOM: dé de alta los productos, añada versiones y cargue la SBOM. Con eso arranca la vigilancia diaria.

Después abra el Resumen CRA: la lista de comprobación muestra lo que aún falta y el enlace de cada punto lleva al lugar donde corregirlo. Recomendamos crear el análisis de brechas cuando los productos ya estén en el registro.