Saltar al contenido
folhas.io
secure by design para productos conectados· Artículos

Artículos

CRA y RED: el dispositivo con radio vive hoy bajo dos regímenes

Desde agosto de 2025, cualquier equipo radioeléctrico conectado a internet tiene que cumplir los requisitos de ciberseguridad de la RED. El CRA viene a sustituirlos, pero hasta diciembre de 2027 los dos regímenes coexisten, y el trabajo hecho en uno no vale automáticamente en el otro.

Publicado

Quien fabrica dispositivos con radio (Wi-Fi, Bluetooth, LoRa, NB-IoT, celular) no está esperando al CRA para tener obligaciones de ciberseguridad. Ya las tiene, desde el 1 de agosto de 2025, por vía de la Directiva de equipos radioeléctricos.

El régimen que ya se aplica

El Reglamento Delegado (UE) 2022/30 activó tres requisitos esenciales dormidos del artículo 3, apartado 3 de la RED (Directiva 2014/53/UE):

  • (d) protección de la red: para cualquier equipo radioeléctrico que comunique por internet, directamente o a través de otro equipo;
  • (e) protección de datos personales y privacidad: cuando el equipo procesa datos personales, de tráfico o de localización; con alcance ampliado a equipos de puericultura, juguetes y wearables;
  • (f) protección contra el fraude: cuando el equipo permite transferir dinero, valor monetario o moneda virtual.

El camino armonizado es la serie EN 18031: la parte 1 (protección de red, 31 requisitos), la parte 2 (privacidad, 40 requisitos) y la parte 3 (fraude, 34 requisitos), citadas en el Diario Oficial el 30 de enero de 2025. Aplicando la norma en su integridad, el fabricante gana presunción de conformidad y puede autodeclarar.

Con una trampa que atrapa a equipos todos los meses: la citación en el DO vino con restricciones. Entre ellas, la presunción de conformidad cae si, al aplicar determinadas cláusulas, el usuario puede no definir contraseña alguna, o si el control parental no está asegurado en las categorías que lo exigen. Donde una restricción retira la presunción, la autodeclaración se cierra para ese requisito, y entra un organismo notificado al amparo del Anexo III de la RED. Leer las notices de la decisión de citación no es opcional.

Qué cambia con el CRA

El CRA absorbe este terreno: en la aplicación plena, el 11 de diciembre de 2027, el Reglamento Delegado 2022/30 queda derogado y la ciberseguridad del equipo radioeléctrico “se muda de casa” al CRA, que es más ancho (todos los productos con elementos digitales, con o sin radio, más el software vendido como producto) y más hondo (obligaciones de ciclo de vida, gestión de vulnerabilidades, período de soporte, notificación).

Línea de tiempo de 2024 a 2028: la EN 18031 es obligatoria bajo la RED desde agosto de 2025 hasta su derogación en diciembre de 2027; en el CRA, la notificación de 24 y 72 horas se aplica desde septiembre de 2026 y la aplicación plena llega en diciembre de 2027; los dos regímenes coexisten en ese intervalo.
La ventana de coexistencia: la EN 18031 ya obliga, el CRA no espera a la aplicación plena para exigir la notificación.

Hasta entonces, coexistencia. Y dos hechos incómodos de esa coexistencia:

  1. El trabajo EN 18031 no transporta presunción al CRA. Los dos sistemas de presunción de conformidad son distintos; las normas armonizadas del CRA son otras y están, en su mayoría, todavía en elaboración. Lo que sí se transporta es el trabajo de ingeniería subyacente, como el control de accesos, la gestión de actualizaciones y la protección de datos, que quedará ampliamente reaprovechable. La documentación es la que tendrá que remapearse.
  2. El artículo 14 del CRA no espera a la aplicación plena. Las obligaciones de notificación se aplican a partir del 11 de septiembre de 2026 también a productos que ya están en el mercado, incluidos los que nunca pasaron por la EN 18031 por ser anteriores a agosto de 2025.

Cómo no duplicar trabajo

La secuencia que recomendamos a quien tiene un dispositivo con radio en desarrollo:

  1. Cerrar la EN 18031 primero. Es obligación vigente desde agosto de 2025 y no puede esperar al CRA. Tratar las restricciones de la citación como requisitos de diseño (nunca permitir operación sin contraseña donde la cláusula lo prohíbe).
  2. Mapear cada requisito EN 18031 al requisito esencial correspondiente del Anexo I del CRA en el momento en que se documenta, no en 2027. El coste marginal de mantener la matriz de trazabilidad ahora es pequeño; reconstruirla después es un proyecto.
  3. Diseñar la documentación técnica una vez, con dos vistas. Un dosier técnico único (análisis de riesgo, arquitectura, pruebas, SBOM) del que se extraen la vista RED y la vista CRA. Dos dosieres paralelos divergen siempre.

Qué significa esto para quien fabrica

Para un fabricante pequeño, la lectura estratégica es esta: la RED DA es el ensayo general del CRA con ámbito reducido. Quien trate la EN 18031 como checklist mínima pagará el CRA por entero en 2027; quien la trate como la primera iteración del mismo sistema de gestión de seguridad de producto llega a diciembre de 2027 con la mayor parte del trabajo hecho y documentado. La diferencia está en hacer el trabajo una vez o dos, no en el esfuerzo de cada pasada.

Fuentes