Saltar al contenido
folhas.io
secure by design para productos conectados· Artículos

Artículos

Clasificación del producto en el CRA: la decisión que define el coste de todo lo demás

Por defecto, importante clase I, importante clase II o crítico. La categoría del producto determina si la conformidad es una autoevaluación o un organismo notificado, y la diferencia se mide en decenas de miles de euros y meses de calendario.

Publicado

Antes de cualquier requisito técnico, el CRA obliga a una pregunta de encuadre: ¿en qué categoría cae el producto? La respuesta determina el camino de evaluación de la conformidad y, con él, el coste, el calendario y la dependencia de terceros de todo el proyecto.

Las cuatro categorías

Productos por defecto (“default”). Todo lo que no está listado en los anexos. El fabricante hace autoevaluación por control interno de la producción (el equivalente al Módulo A de las evaluaciones CE clásicas): aplica los requisitos esenciales del Anexo I, monta la documentación técnica, firma la declaración UE de conformidad y coloca el marcado CE. Sin terceros. La Comisión estima que es el caso de cerca del 90% de los productos cubiertos.

Importantes, clase I (Anexo III). Diecinueve categorías, entre ellas: gestores de identidades y accesos, navegadores, gestores de contraseñas, VPN, sistemas de gestión de red, SIEM, boot managers, PKI, interfaces de red físicas y virtuales, sistemas operativos, routers y switches, microprocesadores y microcontroladores con funcionalidades de seguridad, asistentes virtuales domésticos, productos smart home con funcionalidades de seguridad (cerraduras, cámaras, alarmas, vigilabebés), juguetes conectados con interacción social o localización, y wearables de monitorización de salud.

Para la clase I, la autoevaluación solo está disponible si existe y se aplica una norma armonizada (o especificación común, o certificación europea) que cubra los requisitos. Sin norma armonizada aplicable, entra un organismo notificado: examen UE de tipo (Módulo B+C) o aseguramiento de calidad total (Módulo H).

Importantes, clase II (Anexo III). Hipervisores y runtimes de contenedores, cortafuegos y sistemas de detección/prevención de intrusiones, microprocesadores y microcontroladores resistentes a manipulaciones. Aquí el organismo notificado es siempre obligatorio, independientemente de las normas.

Críticos (Anexo IV). Hardware con módulos de seguridad, pasarelas de contadores inteligentes, tarjetas inteligentes y elementos seguros. La Comisión puede exigir certificación europea de ciberseguridad (por ejemplo EUCC).

Diagrama: los productos por defecto van a autoevaluación; la clase I va a autoevaluación con norma armonizada y a organismo notificado sin ella; la clase II exige siempre organismo notificado; los productos críticos pueden exigir certificación europea.
De la categoría al camino de conformidad. La bifurcación de la clase I, con o sin norma armonizada, es donde vive el riesgo de calendario.

El error de lectura más común

La clasificación se aplica al producto que se introduce en el mercado, no a los componentes de dentro. Un sensor agrícola construido sobre un microcontrolador con secure element no se convierte por ello en clase I: quien introduce el MCU en el mercado es el fabricante del MCU. La pregunta correcta es siempre “¿cuál es la funcionalidad principal de mi producto, tal como el Anexo III la describe?”. La orientación de la Comisión de julio de 2026 dedica una sección entera a delimitar estas categorías, porque es aquí donde vive la mayoría de las dudas de encuadre.

El caso con el que más nos cruzamos: un dispositivo IoT genérico (monitorización ambiental, telemetría, agricultura) es típicamente producto por defecto. Pasa a clase I si su función es de seguridad, como una cámara de vigilancia, una cerradura o una alarma.

La trampa de calendario en las clases I

Para la clase I sin norma armonizada citada, el camino barato (autoevaluación) se cierra. Y el estado de las normas armonizadas del CRA es, hoy, el punto más frágil de todo el edificio: las normas sectoriales están en elaboración al amparo de la petición de normalización M/606, y varias no estarán citadas en el Diario Oficial mucho antes de diciembre de 2027. Un fabricante de clase I que planificó “Módulo A” puede descubrir tarde que necesita un organismo notificado, con costes indicativos de 15.000–50.000 € y 6–12 meses de calendario, en un mercado de organismos notificados que todavía está siendo designado.

La gestión sensata de este riesgo: decidir la clasificación por escrito, con fundamentación, ya en la fase de diseño; seguir el estado de las normas de la categoría; y tener un plan B con organismo notificado presupuestado por si la norma no llega a tiempo.

Qué significa esto para quien fabrica

  1. La clasificación es una decisión de arquitectura de negocio, no un detalle jurídico. Una funcionalidad añadida al producto (“y también hace de alarma”) puede cambiar la categoría y multiplicar el coste de conformidad.
  2. Documentar la fundamentación de la categoría elegida es parte de la documentación técnica; es lo primero que una autoridad de vigilancia del mercado va a querer ver.
  3. Para productos por defecto, el trabajo real está en los requisitos esenciales del Anexo I y en el proceso de gestión de vulnerabilidades. La autoevaluación no es exención, es autorresponsabilización.

Fuentes