Saltar al contenido
folhas.io
secure by design para productos conectados· Artículos

Artículos

Clasificación del producto en el CRA: la decisión que define el coste de todo lo demás

Por defecto, importante clase I, importante clase II o crítico. La categoría del producto determina si la conformidad es una autoevaluación o un organismo notificado, y la diferencia se mide en decenas de miles de euros y meses de calendario.

Publicado
Actualizado

Nota de actualización (23 oct 2026). Hemos corregido los caminos de evaluación de la clase II y de los productos críticos, que estaban demasiado simplificados, hemos añadido la excepción para el software libre y de código abierto y el Reglamento de Ejecución (UE) 2025/2392, y hemos puesto al día el estado de las normas armonizadas.

Antes de cualquier requisito técnico, el CRA obliga a una pregunta de encuadre: ¿en qué categoría cae el producto? La respuesta determina el camino de evaluación de la conformidad y, con él, el coste, el calendario y la dependencia de terceros de todo el proyecto.

Las cuatro categorías

Productos por defecto (“default”). Todo lo que no está listado en los anexos. El fabricante hace autoevaluación por control interno de la producción (el equivalente al Módulo A de las evaluaciones CE clásicas): aplica los requisitos esenciales del Anexo I, monta la documentación técnica, firma la declaración UE de conformidad y coloca el marcado CE. Sin terceros. La Comisión estima que es el caso de cerca del 90% de los productos cubiertos.

Importantes, clase I (Anexo III). Diecinueve categorías, entre ellas: gestores de identidades y accesos, navegadores, gestores de contraseñas, VPN, sistemas de gestión de red, SIEM, boot managers, PKI, interfaces de red físicas y virtuales, sistemas operativos, routers y switches, microprocesadores y microcontroladores con funcionalidades de seguridad, asistentes virtuales domésticos, productos smart home con funcionalidades de seguridad (cerraduras, cámaras, alarmas, vigilabebés), juguetes conectados con interacción social o localización, y wearables de monitorización de salud.

Para la clase I, la autoevaluación solo está disponible si existe y se aplica una norma armonizada (o especificación común, o certificación europea) que cubra los requisitos. Sin norma armonizada aplicable, entra un organismo notificado: examen UE de tipo (Módulo B+C) o aseguramiento de calidad total (Módulo H).

Importantes, clase II (Anexo III). Hipervisores y runtimes de contenedores, cortafuegos y sistemas de detección/prevención de intrusiones, microprocesadores y microcontroladores resistentes a manipulaciones. Aquí las normas armonizadas no abren la autoevaluación: el artículo 32, apartado 3, admite el examen UE de tipo (Módulo B+C), el aseguramiento de calidad total (Módulo H) o, cuando esté disponible y sea aplicable, un esquema europeo de certificación de la ciberseguridad con un nivel de garantía como mínimo “sustancial”. A la fecha de esta revisión aún no se había adoptado el acto delegado que especifica esos esquemas (artículo 27, apartado 9), por lo que, en la práctica, esto significa organismo notificado.

Hay una excepción para las dos clases de productos importantes: los productos que sean software libre y de código abierto pueden usar cualquiera de los procedimientos, incluido el control interno, siempre que la documentación técnica se ponga a disposición del público en el momento de su introducción en el mercado (artículo 32, apartado 5).

Críticos (Anexo IV). Dispositivos de equipos informáticos con cajas de seguridad, pasarelas de contadores inteligentes, tarjetas inteligentes y elementos seguros. Si un acto delegado en virtud del artículo 8, apartado 1, exige un certificado europeo de ciberseguridad (por ejemplo EUCC) con un nivel de garantía como mínimo “sustancial”, esa es la vía. Mientras no exista ese acto, y en octubre de 2026 no se había adoptado ninguno, se aplican los procedimientos de la clase II (artículo 32, apartado 4).

Diagrama: los productos por defecto van a autoevaluación; la clase I va a autoevaluación con norma armonizada y a organismo notificado sin ella; la clase II va, en la práctica, a organismo notificado; los productos críticos van a la certificación europea si un acto delegado la exige y, sin ese acto, a organismo notificado.
De la categoría al camino de conformidad. La bifurcación de la clase I, con o sin norma armonizada, es donde vive el riesgo de calendario.

El error de lectura más común

La clasificación se aplica al producto que se introduce en el mercado, no a los componentes de dentro. Un sensor agrícola construido sobre un microcontrolador con secure element no se convierte por ello en clase I: quien introduce el MCU en el mercado es el fabricante del MCU. La pregunta correcta es siempre “¿cuál es la funcionalidad principal de mi producto, tal como el Anexo III la describe?”. La delimitación vinculante está en el Reglamento de Ejecución (UE) 2025/2392, que da la descripción técnica de cada categoría de los Anexos III y IV. Las orientaciones de la Comisión de 27 jul 2026, C(2026) 5252, publicadas después de la primera versión de este texto y no vinculantes, dedican una sección entera a estas categorías (sección 6), porque es aquí donde vive la mayoría de las dudas de encuadre.

El caso con el que más nos cruzamos: un dispositivo IoT genérico (monitorización ambiental, telemetría, agricultura) es típicamente producto por defecto, y solo pasa a importante si su funcionalidad principal corresponde a una categoría del Anexo III. Las cerraduras, cámaras y alarmas de la clase I son productos smart home con funcionalidades de seguridad, que el reglamento de ejecución limita a productos que protegen la seguridad física de los consumidores en un entorno residencial. Una cámara o una alarma en una explotación agrícola no entra ahí automáticamente, aunque un lector de control de acceso puede entrar en otra categoría de la clase I.

La trampa de calendario en las clases I

Para la clase I sin norma armonizada citada, el camino barato (autoevaluación) se cierra. Y el estado de las normas armonizadas del CRA sigue siendo la mayor incertidumbre del proceso. En octubre de 2026, ninguna norma del CRA tenía la referencia publicada en el Diario Oficial, por lo que todavía no hay presunción de conformidad al amparo del artículo 27. Las normas verticales de la petición de normalización M/606 están en fase de aprobación: el 13 de agosto, ETSI anunció que estaban en encuesta pública, sometidos a lo largo del verano, 17 proyectos finales de la serie EN 304 6xx (entre ellos navegadores, gestores de contraseñas, routers, productos smart home, juguetes y wearables), que cualquiera puede consultar, en un procedimiento cuyo final varía, según la norma, entre mediados de septiembre y mediados de noviembre de 2026. Tras la aprobación faltan aún la evaluación de la Comisión y la publicación de la referencia en el Diario Oficial, y varias no estarán citadas mucho antes de diciembre de 2027.

Un fabricante de clase I que planificó “Módulo A” puede descubrir tarde que necesita un organismo notificado, con costes indicativos de 15.000–50.000 € y 6–12 meses de calendario, en un mercado de organismos notificados que todavía se está formando: el reglamento pide a los Estados miembros que procuren disponer de un número suficiente antes del 11 de diciembre de 2026 (artículo 35, apartado 2), y en las últimas comprobaciones públicas aún no había ninguno notificado con arreglo al CRA.

La gestión sensata de este riesgo: decidir la clasificación por escrito, con fundamentación, ya en la fase de diseño; seguir el estado de las normas de la categoría; y tener un plan B con organismo notificado presupuestado por si la norma no llega a tiempo.

Qué significa esto para quien fabrica

  1. La clasificación es una decisión de arquitectura de negocio: una funcionalidad añadida que pase a ser la funcionalidad principal del producto puede cambiar la categoría y multiplicar el coste de conformidad.
  2. Documentar la fundamentación de la categoría elegida es parte de la documentación técnica; es lo primero que una autoridad de vigilancia del mercado va a querer ver.
  3. Para productos por defecto, el trabajo real está en los requisitos esenciales del Anexo I y en el proceso de gestión de vulnerabilidades. En la autoevaluación no hay terceros que verifiquen: es el fabricante quien declara la conformidad, bajo su exclusiva responsabilidad.

Fuentes