Pocas leyes de la UE se han seguido tan de cerca por la industria como el Cyber Resilience Act. Desde el primer anuncio hasta el reglamento en vigor pasaron años de propuestas, enmiendas y negociación a tres bandas. Entender esa evolución ayuda a leer el texto final: muchas de sus decisiones son el resultado de un tira y afloja entre seguridad, viabilidad para las pymes y presión temporal.
Los orígenes (2021–2022)
La idea se anunció públicamente en el Discurso sobre el Estado de la Unión de septiembre de 2021. En mayo de 2022, el Consejo pidió formalmente a la Comisión que presentara una propuesta antes de que acabara el año. La Comisión cumplió: el 15 de septiembre de 2022 publicó la propuesta de Reglamento (COM(2022) 454), concebida como una pieza horizontal que complementaba el marco existente (Directiva NIS2, Reglamento de Ciberseguridad).
El planteamiento inicial ya contenía el núcleo que hoy reconocemos: requisitos esenciales por diseño, gestión de vulnerabilidades y marcado CE. Pero también generó preocupación en la industria del software libre y entre las pymes por su alcance y su carga documental.
La negociación: trílogos y ajustes (2023)
Tras la fijación de posiciones —el mandato de negociación del Consejo se acordó el 19 de julio de 2023—, comenzaron las negociaciones interinstitucionales ("trílogos") entre Parlamento, Consejo y Comisión. El 30 de noviembre / 1 de diciembre de 2023 se alcanzó un acuerdo provisional.
El acuerdo mantuvo las líneas maestras de la propuesta, pero introdujo ajustes muy relevantes para las empresas:
- Una metodología de clasificación más simple de los productos, para reducir la incertidumbre sobre qué ruta de conformidad aplica.
- La obligación de que el fabricante defina el periodo de soporte / vida útil del producto, con un mínimo orientativo.
- La consolidación del deber de notificar vulnerabilidades explotadas activamente e incidentes graves.
- Tratamientos específicos para el software libre y de código abierto desarrollado sin ánimo comercial.
Adopción y entrada en vigor (2024)
El 12 de marzo de 2024 el Parlamento Europeo aprobó el texto de compromiso; el 10 de octubre de 2024 lo adoptó el Consejo. Se publicó en el Diario Oficial de la UE el 20 de noviembre de 2024 y entró en vigor el 10 de diciembre de 2024, abriendo un periodo transitorio de 36 meses hasta la plena aplicación el 11 de diciembre de 2027.
El trabajo técnico posterior: normas y actos
Un reglamento así no funciona solo con su articulado: necesita normas armonizadas que traduzcan los requisitos del Anexo I en especificaciones verificables. Para ello, la Comisión emitió el mandato de normalización M/606 (documento C(2025) 618), que encarga a las organizaciones europeas de normalización —CEN, CENELEC y ETSI— el desarrollo de decenas de normas. El mandato se aceptó oficialmente el 3 de abril de 2025 y el trabajo lo lidera, entre otros, el comité CEN-CLC/JTC 13.
El calendario de normas es ajustado: se planificaron las normas horizontales de tipo A y las de gestión de vulnerabilidades para el 30 de agosto de 2026, y el resto para el 30 de octubre de 2027. Son fechas planificadas y sujetas a cambios; de hecho, a mediados de 2026 todavía no había normas armonizadas citadas en el Diario Oficial, lo que mantiene la presunción de conformidad "en espera" para muchos productos.
En paralelo, la Comisión ha ido publicando actos delegados y de ejecución que concretan detalles operativos —por ejemplo, el Reglamento Delegado (UE) 2026/881 sobre los términos de la notificación— y una guía interpretativa extensa.
Cómo han tenido que adaptarse las empresas
La evolución del texto obligó a las empresas a mover ficha antes incluso de la plena aplicación. Los cambios de proceso más habituales han sido:
- Inventario de software (SBOM): pasar de "sé más o menos qué lleva mi producto" a mantener un inventario formal y actualizado de componentes y versiones.
- Gestión continua de vulnerabilidades: montar un cruce sistemático contra bases como OSV, CISA KEV o EUVD, y un proceso para corregir sin demora.
- Preparación de la notificación: identificar el CSIRT que les corresponde y ensayar el reloj de 24/72 horas antes de que ocurra un incidente real.
- Documentación y diseño seguro: incorporar el Anexo I al desarrollo, no como papeleo final, sino como requisitos de producto desde el diseño.
Ese cambio cultural —de la seguridad como opción a la seguridad como requisito de mercado— es, probablemente, el efecto más profundo del CRA, y el que explica por qué conviene empezar hoy y no en 2027.
La cronología, de un vistazo
- Sep 2021 — Anuncio en el Estado de la Unión.
- 15 sep 2022 — Propuesta de la Comisión (COM(2022) 454).
- 19 jul 2023 — Mandato de negociación del Consejo.
- 30 nov 2023 — Acuerdo provisional (trílogos).
- 12 mar 2024 — Aprobación del Parlamento Europeo.
- 10 oct 2024 — Adopción del Consejo.
- 10 dic 2024 — Entrada en vigor.
- 3 abr 2025 — Aceptación del mandato de normalización M/606.
- 11 jun 2026 — Aplica el capítulo de organismos notificados.
- 11 sep 2026 — Obligaciones de notificación (Art. 14).
- 11 dic 2027 — Plena aplicación (marcado CE).
Leída así, la historia del CRA es la de una idea que fue ganando concreción a costa de plazos muy exigentes. Para un fabricante, la lección es doble: el texto es estable —ya no va a cambiar en lo esencial— y el reloj corre. Las decisiones que hoy parecen anticipadas (montar el SBOM, ensayar la notificación, documentar el diseño seguro) serán obligatorias antes de lo que parece, y llegar tarde no es una opción barata.