Saltar al contenido
folhas.io
secure by design para productos conectados· Artículos

Artículos

CRA y RED: el dispositivo con radio vive hoy bajo dos regímenes

Desde agosto de 2025, el equipo radioeléctrico conectado a internet tiene que cumplir los requisitos de ciberseguridad de la RED. El CRA viene a sustituirlos, pero hasta diciembre de 2027 los dos regímenes coexisten, y el trabajo hecho en uno no vale automáticamente en el otro.

Publicado
Actualizado

Nota de actualización (23 oct 2026). Hemos corregido la fuente de la derogación del Reglamento Delegado 2022/30 (es el Reglamento Delegado (UE) 2026/339 de la Comisión), hemos aclarado que lo que la RED hace obligatorio son los requisitos esenciales, para los que la EN 18031 es la vía armonizada, y hemos añadido las exclusiones del reglamento delegado y el segundo procedimiento con organismo notificado.

Quien fabrica dispositivos con radio (Wi-Fi, Bluetooth, LoRa, NB-IoT, celular) no está esperando al CRA para tener obligaciones de ciberseguridad. Ya las tiene, desde el 1 de agosto de 2025, por vía de la Directiva de equipos radioeléctricos.

El régimen que ya se aplica

El Reglamento Delegado (UE) 2022/30 activó tres requisitos esenciales dormidos del artículo 3, apartado 3 de la RED (Directiva 2014/53/UE):

  • (d) protección de la red: para cualquier equipo radioeléctrico que comunique por internet, directamente o a través de otro equipo;
  • (e) protección de datos personales y privacidad: cuando el equipo procesa datos personales, de tráfico o de localización; con alcance ampliado a equipos de puericultura, juguetes y wearables;
  • (f) protección contra el fraude: cuando el equipo permite transferir dinero, valor monetario o moneda virtual.

El artículo 2 del mismo reglamento excluye de los tres requisitos el equipo radioeléctrico cubierto por los reglamentos de productos sanitarios y de diagnóstico in vitro (Reglamentos (UE) 2017/745 y 2017/746). Excluye además de (e) y (f) el equipo cubierto por las normas de aviación civil (Reglamento (UE) 2018/1139), de homologación de vehículos (Reglamento (UE) 2019/2144) y de telepeaje (Directiva (UE) 2019/520).

El camino armonizado es la serie EN 18031: la parte 1 (protección de red, 31 requisitos), la parte 2 (privacidad, 40 requisitos) y la parte 3 (fraude, 34 requisitos), cuyas referencias se publicaron en el Diario Oficial el 30 de enero de 2025. Aplicando la norma en su integridad, el fabricante gana presunción de conformidad y puede autodeclarar.

Hay, sin embargo, una salvedad: las referencias se publicaron en el DO con restricciones. Entre ellas, la presunción de conformidad cae si, al aplicar determinadas cláusulas, el usuario puede no definir contraseña alguna, o si el control parental no está asegurado en las categorías que lo exigen. Donde una restricción retira la presunción, la autodeclaración se cierra para ese requisito, y entra un organismo notificado al amparo del Anexo III (examen UE de tipo) o del Anexo IV (pleno aseguramiento de la calidad) de la RED. Las restricciones figuran en los avisos (notices) de la Decisión de Ejecución (UE) 2025/138 y hay que leerlas cláusula a cláusula.

Qué cambia con el CRA

El CRA absorbe este terreno: en la aplicación plena, el 11 de diciembre de 2027, el Reglamento Delegado 2022/30 queda derogado y la ciberseguridad del equipo radioeléctrico “se muda de casa” al CRA, que es más ancho (todos los productos con elementos digitales, con o sin radio, más el software vendido como producto) y más hondo (obligaciones de ciclo de vida, gestión de vulnerabilidades, período de soporte, notificación).

La derogación la hace el Reglamento Delegado (UE) 2026/339 de la Comisión, adoptado al amparo de la propia RED. El equipo radioeléctrico introducido en el mercado entre el 1 de agosto de 2025 y el 10 de diciembre de 2027 y sujeto a estos requisitos sigue pudiendo ser objeto, después de esa fecha, de vigilancia del mercado en virtud de la RED.

Línea de tiempo de 2024 a 2028: bajo la RED, los requisitos de ciberseguridad del artículo 3, apartado 3, letras d), e) y f), son obligatorios desde agosto de 2025 (la EN 18031 es la vía armonizada, voluntaria, para la presunción de conformidad) hasta la derogación del Reglamento Delegado 2022/30, con efectos en diciembre de 2027; en el CRA, la notificación de 24 y 72 horas se aplica desde septiembre de 2026 y la aplicación plena llega en diciembre de 2027; los dos regímenes coexisten en ese intervalo.
La ventana de coexistencia: los requisitos de ciberseguridad de la RED ya obligan, y el CRA no espera a la aplicación plena para exigir la notificación.

Hasta entonces, coexistencia. Y dos hechos incómodos de esa coexistencia:

  1. El trabajo EN 18031 no transporta presunción al CRA. Los dos sistemas de presunción de conformidad son distintos; las normas armonizadas del CRA son otras y están, en su mayoría, todavía en elaboración. Lo que sí se transporta es el trabajo de ingeniería subyacente, como el control de accesos, la gestión de actualizaciones y la protección de datos, que quedará ampliamente reaprovechable. La documentación es la que tendrá que remapearse.
  2. El artículo 14 del CRA no espera a la aplicación plena. Las obligaciones de notificación se aplican a partir del 11 de septiembre de 2026 también a productos que ya están en el mercado, incluidos los que nunca pasaron por la EN 18031 por ser anteriores a agosto de 2025.

Cómo no duplicar trabajo

La secuencia que recomendamos a quien tiene un dispositivo con radio en desarrollo:

  1. Cerrar la EN 18031 primero. Los requisitos del art. 3, apartado 3, letras d), e) y f), de la RED son obligación vigente desde el 1 de agosto de 2025 y no pueden esperar al CRA; la EN 18031 es la vía armonizada para demostrarlos y autodeclarar la conformidad. Tratar las restricciones con que se publicaron las referencias como requisitos de diseño (nunca permitir operación sin contraseña donde la cláusula lo prohíbe).
  2. Mapear cada requisito EN 18031 al requisito esencial correspondiente del Anexo I del CRA en el momento en que se documenta. Mantener la matriz de trazabilidad sobre la marcha cuesta poco y evita reconstruirla más tarde.
  3. Diseñar la documentación técnica una vez, con dos vistas. Un dosier técnico único (análisis de riesgo, arquitectura, pruebas, SBOM) del que se extraen la vista RED y la vista CRA. Dos dosieres paralelos acaban divergiendo.

Qué significa esto para quien fabrica

Para un fabricante pequeño, la lectura estratégica es esta: la RED DA es el ensayo general del CRA con ámbito reducido. Quien trate la EN 18031 como checklist mínima pagará el CRA por entero en 2027; quien la trate como la primera iteración del mismo sistema de gestión de seguridad de producto llega a diciembre de 2027 con la mayor parte del trabajo hecho y documentado.

Fuentes