El Cyber Resilience Act traslada al fabricante la responsabilidad por la seguridad del producto durante todo su ciclo de vida, y no solo en el momento en que sale de fábrica. Tratarla como un problema de ingeniería, y no de papeleo, es lo que marca la diferencia.
Consultoría independiente, portuguesa y técnica, dirigida a fabricantes pequeños y medianos de hardware conectado y de software comercializado como producto.
Guía del CRA para fabricantesQué hacemos
¿Fabrica un producto conectado y quiere saber dónde está frente al CRA? Pida una primera lectura, sin coste
456 díashasta Aplicación plena para fabricantes (11 dic 2027)
Venimos de la seguridad ofensiva: pentest, red team, certificaciones OffSec. Ese es el ángulo con el que miramos un producto. Seguimos el camino que tomaría un atacante, en lugar de recorrer una lista de requisitos que tachar. En un mercado donde el CRA se vende como auditoría, la diferencia se nota en el informe.
El sector de la automoción ya pasó por esta transición, con la UNECE R155/R156 y la ISO/SAE 21434. En la práctica, esas normas son un ciclo de desarrollo seguro aplicado a un producto físico conectado. Los vehículos están excluidos del ámbito del CRA precisamente por tener ya un régimen propio, y por eso sirven de anticipo de lo que viene para todos los demás.
| Sector | Régimen al que se enfrentan |
|---|---|
| Automoción Fabricante de automóviles alemán | UNECE R155/R156 · ISO/SAE 21434 |
| Telecomunicaciones Operador tier-1 | NIS2 · DL 125/2025 |
| Banca Banco minorista portugués | DORA |
| Fintech Pagos B2B | DORA |
| Integración Consultora internacional (colaboración) | Varios, según el cliente final |
Clientes identificados por descriptor genérico. No se publican ámbitos de trabajo, hallazgos ni arquitecturas.
Estamos desarrollando un producto propio de IoT para agricultura. Cuando llegue al mercado, estará sujeto al mismo reglamento sobre el que asesoramos.
Eso nos obliga a recorrer el proceso en primera persona: SBOM, definición del período de soporte, proceso de divulgación coordinada de vulnerabilidades, evaluación de la conformidad. El diario de a bordo documenta esa preparación en abierto, incluidas las decisiones que salgan mal.
Nota de rigor. Folhas Etéreas aún no introduce productos en el mercado, por lo que no está sujeta a ningún plazo propio del CRA. Las fechas de esta página son el calendario del reglamento, no una obligación nuestra.
Las obligaciones de notificación a las autoridades ya son aplicables, pero son la mitad del circuito. El anexo I, Parte II, exige la otra mitad: un canal público para recibir informes de vulnerabilidades, con política, punto de contacto y proceso detrás. Cuesta poco montarlo, y hay norma para casi todo.
El equívoco más común sobre el CRA es creer que se dirige a fabricantes de dispositivos. El software vendido como producto está dentro. El SaaS puro está fuera, con una excepción que atrapa a mucha gente. Y 'gratis' no significa 'no comercial'.
El sector del automóvil fue el primero obligado a tratar la ciberseguridad como propiedad del producto a lo largo del ciclo de vida, con la UNECE R155/R156 y la ISO/SAE 21434. Los vehículos quedan fuera del CRA precisamente por eso, y también por eso sirven de anticipo.