Secure by design para fabricantes de productos conectados. Preparación para el Cyber Resilience Act, con base en seguridad ofensiva y en ciclo de vida de producto de automoción.https://folhas.ioeshttps://folhas.io/es/articulos/08-divulgacion-coordinadahttps://folhas.io/es/articulos/08-divulgacion-coordinadaLas obligaciones de notificación a las autoridades ya son aplicables, pero son la mitad del circuito. El anexo I, Parte II, exige la otra mitad: un canal público para recibir informes de vulnerabilidades, con política, punto de contacto y proceso detrás. Cuesta poco montarlo, y hay norma para casi todo.Fri, 11 Sep 2026 00:00:00 GMThttps://folhas.io/es/diario/004-el-dia-en-que-la-cuenta-llego-a-cerohttps://folhas.io/es/diario/004-el-dia-en-que-la-cuenta-llego-a-ceroLas obligaciones de notificación del artículo 14 se han vuelto aplicables hoy. Qué cambia para quien ya tiene productos en el mercado, qué hicimos con el preaviso, y por qué la entrada sobre OTA espera una vuelta más.Fri, 11 Sep 2026 00:00:00 GMThttps://folhas.io/es/articulos/07-cra-para-quien-hace-softwarehttps://folhas.io/es/articulos/07-cra-para-quien-hace-softwareEl equívoco más común sobre el CRA es creer que se dirige a fabricantes de dispositivos. El software vendido como producto está dentro. El SaaS puro está fuera, con una excepción que atrapa a mucha gente. Y 'gratis' no significa 'no comercial'.Wed, 05 Aug 2026 00:00:00 GMThttps://folhas.io/es/diario/003-del-prototipo-al-productohttps://folhas.io/es/diario/003-del-prototipo-al-productoLa auditoría de la entrada 002 transformada en plan de trabajo. Cuatro fases, qué entra en cada una, y dónde se gasta el dinero. Buena parte no es código.Wed, 05 Aug 2026 00:00:00 GMThttps://folhas.io/es/articulos/06-lo-que-el-automovil-ya-aprendiohttps://folhas.io/es/articulos/06-lo-que-el-automovil-ya-aprendioEl sector del automóvil fue el primero obligado a tratar la ciberseguridad como propiedad del producto a lo largo del ciclo de vida, con la UNECE R155/R156 y la ISO/SAE 21434. Los vehículos quedan fuera del CRA precisamente por eso, y también por eso sirven de anticipo.Wed, 29 Jul 2026 00:00:00 GMThttps://folhas.io/es/diario/002-el-prototipo-se-encuentra-con-el-reglamentohttps://folhas.io/es/diario/002-el-prototipo-se-encuentra-con-el-reglamentoAplicamos al Aerodry, nuestro prototipo con dos años de operación real, el mismo análisis CRA que ofrecemos a los clientes. Describimos los nueve fallos con consecuencia directa. Este es el informe.Wed, 29 Jul 2026 00:00:00 GMThttps://folhas.io/es/articulos/05-cra-y-redhttps://folhas.io/es/articulos/05-cra-y-redDesde agosto de 2025, cualquier equipo radioeléctrico conectado a internet tiene que cumplir los requisitos de ciberseguridad de la RED. El CRA viene a sustituirlos, pero hasta diciembre de 2027 los dos regímenes coexisten, y el trabajo hecho en uno no vale automáticamente en el otro.Wed, 22 Jul 2026 00:00:00 GMThttps://folhas.io/es/articulos/04-periodo-de-soportehttps://folhas.io/es/articulos/04-periodo-de-soporteEl CRA obliga a cada fabricante a declarar durante cuánto tiempo da soporte al producto: como mínimo, por regla general, cinco años. Es una decisión de ingeniería, de contratos y de proveedores disfrazada de campo en un formulario.Wed, 15 Jul 2026 00:00:00 GMThttps://folhas.io/es/diario/001-punto-de-partidahttps://folhas.io/es/diario/001-punto-de-partidaPrimera entrada del diario de preparación de nuestro producto agro-IoT para el CRA. Dónde estamos, qué hemos decidido ya, qué no sabemos todavía.Wed, 15 Jul 2026 00:00:00 GMThttps://folhas.io/es/articulos/03-clasificacion-del-productohttps://folhas.io/es/articulos/03-clasificacion-del-productoPor defecto, importante clase I, importante clase II o crítico. La categoría del producto determina si la conformidad es una autoevaluación o un organismo notificado, y la diferencia se mide en decenas de miles de euros y meses de calendario.Wed, 08 Jul 2026 00:00:00 GMThttps://folhas.io/es/articulos/02-notificacion-24h-72hhttps://folhas.io/es/articulos/02-notificacion-24h-72hA partir del 11 de septiembre de 2026, un fabricante que sepa de una vulnerabilidad explotada activamente en su producto tiene 24 horas para el primer aviso. Qué se notifica, a quién, por dónde, y qué preparar antes.Wed, 01 Jul 2026 00:00:00 GMThttps://folhas.io/es/articulos/01-sbom-para-firmware-embebidohttps://folhas.io/es/articulos/01-sbom-para-firmware-embebidoLa lista de materiales de software que exige el CRA no se escribe a mano. Para firmware, la única SBOM creíble sale del sistema de build, y el escaneo de binarios sirve para lo que no construimos nosotros.Wed, 24 Jun 2026 00:00:00 GMT