Ya La notificación del CRA es obligatoria desde el 11 de septiembre de 2026
¿Está tu producto
listo para el CRA?Evidencias del Reglamento de Ciberresiliencia para productos conectados y software
La UE ya pone un reloj a los agujeros de seguridad. Si unos atacantes usan uno en tu producto, tienes 24 horas para enviar el primer aviso. KROMSE te da las pruebas que necesitas: qué lleva dentro, qué está afectado, qué has corregido.
KROMSE te da las evidencias. No certifica el cumplimiento. La decisión final es de tu equipo.
- días hasta que el CRA se aplique por completo
- 391
- días con la notificación ya obligatoria
- 65
- para enviar el primer aviso
- 24 h
Dos fechas. Una ya la tienes atrás.
La notificación es obligatoria
Si unos atacantes están usando un agujero de seguridad en tu producto, tienes que notificarlo.
Se aplica todo lo demás
El resto de obligaciones del Reglamento de Ciberresiliencia, para los productos que se venden en la UE.
- 15 M€
o el 2,5 % del volumen de negocios mundial
Hasta ahí llegan las multas.
Cuando se explota un agujero, el reloj empieza a correr.
- 24 horasAlerta temprana
- 72 horasNotificación
- 14 díasInforme final
Ese informe no se escribe de memoria. Necesitas las evidencias listas antes del día en que ocurra.
Las evidencias, listas antes de que las necesites.
KROMSE las genera a partir de tu código o firmware y las mantiene al día.
Qué lleva dentro
La lista completa de piezas de tu producto (un SBOM), generada a partir de tu código o firmware.
Qué agujeros le afectan
Cada agujero de seguridad conocido en tus versiones exactas, ordenado por riesgo.
Qué se ha corregido
Cada reparación, con el cambio y la fecha.
Cómo se ha comprobado
Las comprobaciones que pasó cada corrección, en un informe que tu equipo puede revisar y firmar.
KROMSE no certifica el cumplimiento y no envía nada a las autoridades. La decisión final es de tu equipo.
Un mismo juego de evidencias. Muchas normas.
Primero va el CRA. Las mismas pruebas ayudan con el resto.
Preguntas sobre el CRA
- ¿Hace KROMSE que mi producto cumpla el CRA?
- Ninguna herramienta puede hacerlo por sí sola. KROMSE te da las evidencias que pide el CRA: qué lleva dentro tu producto, qué agujeros de seguridad le afectan, qué se ha corregido y cómo se ha comprobado. La decisión final es de tu equipo.
- ¿Cuándo se aplica el Reglamento de Ciberresiliencia?
- Notificar los agujeros de seguridad explotados activamente es obligatorio desde el 11 de septiembre de 2026. El resto de obligaciones se aplican desde el 11 de diciembre de 2027.
- ¿En cuánto tiempo tengo que notificar?
- Ante un agujero de seguridad que unos atacantes están explotando activamente, el CRA pide una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en 14 días.
- ¿Cuáles son las multas?
- Las multas del CRA llegan a 15 millones de euros o al 2,5 % del volumen de negocios mundial.
- ¿Envía KROMSE informes a las autoridades?
- No. KROMSE prepara las evidencias y un borrador del informe. No envía nada a las autoridades y no certifica el cumplimiento.
- ¿Con qué otras normas ayudan las evidencias?
- Las mismas evidencias respaldan NIS2, IEC 62443, la UK PSTI Act, la FDA section 524B para productos sanitarios y UNECE R155 para vehículos. NIS2, IEC 62443 y la PSTI Act tienen sus propias guías en este sitio.
Reserva una demo.
Cuéntanos qué fabricas. Un fundador te enseña tus evidencias del CRA en un producto como el tuyo.
Solicitar una demo
Cuéntanos sobre tu producto y qué te gustaría ver. Te contactaremos para organizar una demo con un experto en el producto.