Seguridad de producto y CRA
Del prototipo que funciona al producto que puede venderse en Europa: clasificación, plan de conformidad, ingeniería de firmware, SBOM, documentación y divulgación coordinada.
Secure by design para quien fabrica productos conectados.
El Cyber Resilience Act traslada al fabricante la responsabilidad por la seguridad del producto durante todo su ciclo de vida, y no solo en el momento en que sale de fábrica. La tratamos como un problema de ingeniería.
Consultoría independiente, portuguesa y técnica: seguridad de producto y preparación para el CRA, evaluaciones ofensivas del firmware a las instalaciones, y un producto propio que pasa por el mismo filtro.
Guía del CRA para fabricantesQué hacemos
¿Fabrica un producto conectado y quiere saber dónde está frente al CRA? Pida una primera lectura, sin coste
Nuevo, · PHP2Shell y Node.js: lo que piden a quien fabrica equipos · El resto de la pila: kernel Linux, Python y certificados
Tres líneas de trabajo
Evaluaciones ofensivas
Pentest whitebox de firmware y sistema, modelado de amenazas e intrusión física en instalaciones, siempre con ámbito y autorización por escrito. Es de donde venimos.
Aeromate
Nuestro producto de control ambiental, con edición Community abierta y un diario público de su preparación para el CRA. Lo que aconsejamos, aplicado a nosotros.
Calendario del CRA
414 díashasta Aplicación plena para fabricantes (11 dic 2027)
- 10 dic 2024El Cyber Resilience Act entra en vigor. Las obligaciones para fabricantes solo pasan a ser aplicables más tarde, por fases. Reglamento (UE) 2024/2847
- 27 jul 2026La Comisión Europea publica orientaciones no vinculantes sobre la aplicación del CRA: ámbito, modificación sustancial, período de soporte, notificación y evaluación de riesgos. Comisión Europea, Comunicación C(2026) 5252 (orientaciones con arreglo al artículo 26)
- 11 sep 2026Pasan a ser aplicables las obligaciones de notificación: notificación de alerta temprana en 24 horas y notificación de vulnerabilidad o de incidente en 72 horas, para vulnerabilidades aprovechadas activamente e incidentes graves. Las notificaciones se presentan a través de la plataforma única de notificación de la ENISA, operativa desde la misma fecha. Reglamento (UE) 2024/2847, artículo 14
- 11 dic 2027El CRA pasa a ser plenamente aplicable. A partir de aquí, los productos con elementos digitales introducidos en el mercado deben cumplir los requisitos esenciales de ciberseguridad. Reglamento (UE) 2024/2847
De dónde venimos
Venimos de la seguridad ofensiva: pentest, red team, certificaciones OffSec. Ese es el ángulo con el que miramos un producto. Seguimos el camino que tomaría un atacante. En un mercado donde el CRA se vende como auditoría, la diferencia se nota en el informe.
El sector de la automoción ya pasó por esta transición, con la UNECE R155/R156 y la ISO/SAE 21434. En la práctica, esas normas son un ciclo de desarrollo seguro aplicado a un producto físico conectado. Los vehículos están excluidos del ámbito del CRA precisamente por tener ya un régimen propio, y por eso sirven de anticipo de lo que viene para todos los demás.
| Sector | Régimen al que se enfrentan |
|---|---|
| Automoción Fabricante de automóviles alemán | UNECE R155/R156 · ISO/SAE 21434 |
| Telecomunicaciones Operador tier-1 | NIS2 · Decreto-ley 125/2025 |
| Banca Banco minorista portugués | DORA |
| Fintech Pagos B2B | DORA |
| Integración Consultora internacional (colaboración) | Varios, según el cliente final |
Clientes identificados por descriptor genérico. No se publican ámbitos de trabajo, hallazgos ni arquitecturas.
Y también desde el otro lado de la mesa
Estamos desarrollando Aeromate, un producto propio de control ambiental para secado y maduración. Cuando llegue al mercado, estará sujeto al mismo reglamento sobre el que asesoramos.
Eso nos obliga a recorrer el proceso en primera persona: SBOM, definición del período de soporte, proceso de divulgación coordinada de vulnerabilidades, evaluación de la conformidad. El diario de a bordo documenta esa preparación en abierto, incluidas las decisiones que salgan mal.
Nota de rigor. Folhas Etéreas aún no introduce productos en el mercado, por lo que no está sujeta a ningún plazo propio del CRA. Las fechas de esta página son el calendario del reglamento, no una obligación nuestra.
Últimos artículos
El resto de la pila: kernel Linux, Python y certificados
La semana de PHP2Shell trajo también correcciones para el kernel Linux, para Python y para el almacén de certificados. Para quien fabrica, la pregunta es la misma en las tres capas: por qué camino, y con qué retraso, llega la corrección a los aparatos ya vendidos.
PHP2Shell y Node.js: lo que piden a quien fabrica equipos
El 21 de octubre de 2026, PHP y Node.js publicaron correcciones de seguridad graves. Quien fabrica equipos con panel web, gateways o ejecutables Node tiene tres preguntas que responder: si el producto incluye el componente, si hay obligación de notificar en virtud del artículo 14 y cómo llega la corrección a las unidades que ya están en campo.
Divulgación coordinada de vulnerabilidades: el canal que el CRA obliga a mantener abierto
Las obligaciones de notificación a las autoridades ya son aplicables, pero son la mitad del circuito. El anexo I, Parte II, exige la otra mitad: un canal público para recibir informes de vulnerabilidades, con política, punto de contacto y proceso detrás. Cuesta poco montarlo, y hay norma para casi todo.