A partir del 20 de enero de 2027, el Reglamento (UE) 2023/1230 sustituye a la Directiva de Máquinas, sin fase transitoria y, por primera vez, con requisitos de ciberseguridad vinculantes para las máquinas. Acompañamos a fabricantes, integradores y operadores desde la evaluación de riesgos hasta la evaluación de la conformidad.
El Reglamento (UE) 2023/1230 —el nuevo Reglamento de Máquinas— sustituye a la Directiva de Máquinas 2006/42/CE a partir del 20 de enero de 2027. Como reglamento de la UE, se aplica directamente en todos los Estados miembros; ya no es necesaria una transposición nacional. En Alemania, la actual 9.ª ProdSV queda derogada en esa fecha; en paralelo, la ley de aplicación MaschinenDG regula la vigilancia del mercado, los requisitos lingüísticos y las sanciones, con multas de hasta 100.000 euros. La fecha límite es firme: no existe ni una fase mixta ni una opción anticipada para la introducción en el mercado.
En cuanto al contenido, el Reglamento responde a la digitalización de la construcción de maquinaria: por primera vez, los requisitos de ciberseguridad para las máquinas pasan a ser vinculantes, las funciones de seguridad basadas en IA se someten a una evaluación obligatoria por terceros y el software puede ser en sí mismo un componente de seguridad. A ello se suman la definición uniforme a escala de la UE de la modificación sustancial, los manuales de instrucciones digitales y unas obligaciones de documentación ampliadas. Dado que aún faltan normas armonizadas para los nuevos requisitos y que los organismos notificados tienen capacidades limitadas, los fabricantes deberían aprovechar el tiempo restante para el análisis de brechas y la implementación.
De la entrada en vigor a la fecha límite firme: las fechas que debe conocer.
Se publica el Reglamento (UE) 2023/1230, que entra en vigor el 19 de julio de 2023. Sustituye a la Directiva de Máquinas 2006/42/CE y, como reglamento, se aplica directamente en cada Estado miembro.
Las disposiciones sobre la notificación de los organismos de evaluación de la conformidad (arts. 26 a 42) se aplican de forma anticipada. Los fabricantes que necesiten una evaluación por terceros deberían asegurarse pronto capacidades de evaluación.
La ley alemana de aplicación del Reglamento de Máquinas (MaschinenDG, BGBl. 2025 I n.º 302) regula la vigilancia del mercado y las normas lingüísticas y sancionadoras; sus partes materiales se aplican a partir del 20 de enero de 2027. La 9.ª ProdSV queda derogada al finalizar el 19 de enero de 2027.
Los Estados miembros comunican a la Comisión sus regímenes sancionadores. En Alemania, la MaschinenDG prevé multas de hasta 100.000 euros y, en caso de infracciones graves, penas de prisión de hasta un año.
A partir de ese día, las máquinas solo podrán introducirse en el mercado conforme al nuevo Reglamento; hasta el 19 de enero de 2027 inclusive rige exclusivamente la Directiva de Máquinas. Los productos introducidos en el mercado antes de la fecha límite podrán seguir comercializándose.
Ocho novedades que afectan directamente al diseño, la documentación y el acceso al mercado.
El Reglamento (UE) 2023/1230 se aplica directamente en cada Estado miembro: desaparecen las transposiciones nacionales divergentes. El anterior reglamento alemán de máquinas (9.ª ProdSV) queda derogado al finalizar el 19 de enero de 2027; en paralelo, la MaschinenDG regula la vigilancia del mercado y las sanciones.
Con los requisitos 1.1.9 (protección contra la corrupción) y 1.2.1 (seguridad y fiabilidad de los sistemas de mando), el anexo III contiene por primera vez requisitos de seguridad vinculantes. La protección del hardware y el software relevantes para la seguridad frente a intervenciones accidentales e intencionadas pasa así a formar parte de la conformidad CE.
El concepto de componente de seguridad abarca expresamente componentes físicos y digitales, incluido el software (art. 3, punto 3). Quien introduce en el mercado por separado software con función de seguridad asume sus propias obligaciones de fabricante, incluido el marcado CE.
Los componentes de seguridad y los sistemas integrados con comportamiento total o parcialmente autoevolutivo basado en aprendizaje automático figuran en el anexo I, parte A. Para ellos debe intervenir siempre un organismo notificado, incluso aplicando íntegramente normas armonizadas.
El artículo 3, punto 16, establece de manera uniforme en toda la UE cuándo una modificación física o digital convierte jurídicamente una máquina en un producto nuevo. Quien realiza una modificación sustancial —por ejemplo, en un retrofit— se considera fabricante y debe completar el procedimiento de conformidad (art. 18).
El manual de instrucciones y la declaración UE de conformidad pueden facilitarse en formato digital: imprimibles, descargables y disponibles en línea durante al menos diez años. Si se solicita en el momento de la compra, debe entregarse gratuitamente una versión en papel en el plazo de un mes; para los usuarios no profesionales, la información de seguridad esencial sigue siendo obligatoria en papel.
En el futuro también se considerará máquina un conjunto al que solo le falte la carga del software previsto por el fabricante (art. 3, punto 1, letra f). Las obligaciones CE ya no podrán eludirse, por tanto, mediante una instalación posterior del software.
En las máquinas con sensores, teleoperadas o autónomas, la documentación técnica del anexo IV incluye también la descripción de los procesos de datos, prueba y validación. El código fuente o la lógica de programación del software relevante para la seguridad debe ponerse a disposición de las autoridades previa solicitud motivada; la documentación debe conservarse al menos diez años.
Por primera vez, el derecho europeo de máquinas exige de forma vinculante protección frente a la manipulación digital, como condición para el marcado CE.
La conexión de otros dispositivos —también mediante acceso remoto— no debe dar lugar a situaciones peligrosas. El hardware, el software y los datos relevantes para la seguridad deben identificarse y protegerse adecuadamente contra la corrupción accidental e intencionada. El objetivo de protección es la seguridad de la máquina (safety), no la confidencialidad ni la protección de datos.
La máquina debe recopilar evidencias de las intervenciones legítimas e ilegítimas en el hardware y el software relevantes para la seguridad: en la práctica, un registro de seguridad a nivel de producto. Además, el software instalado para el funcionamiento seguro debe poder identificarse en todo momento de forma fácilmente accesible.
Los sistemas de mando deben resistir influencias externas intencionadas y no intencionadas, incluidos los intentos malintencionados de terceros razonablemente previsibles que den lugar a una situación de peligro. El criterio se basa en el riesgo: el alcance y la profundidad de las medidas dependen de las circunstancias y los riesgos. Los fallos de hardware, los errores en la lógica de mando y los errores de manejo previsibles tampoco deben generar peligros.
El registro de trazabilidad de las intervenciones y de las versiones del software de seguridad cargadas posteriormente debe permanecer accesible para las autoridades hasta cinco años después de la carga. Los sistemas de mando con comportamiento autoevolutivo deben registrar durante un año los datos de decisión relevantes para la seguridad, no pueden abandonar el espacio de tareas y movimientos definido y deben poder corregirse en todo momento.
Los requisitos de ciberseguridad del Reglamento de Máquinas no están aislados: a partir del 11 de diciembre de 2027, las máquinas con elementos digitales quedan además sujetas al Cyber Resilience Act, cuyas obligaciones de notificación de vulnerabilidades explotadas activamente rigen ya desde el 11 de septiembre de 2026. No existe una presunción automática de conformidad del CRA hacia el Reglamento de Máquinas: las sinergias deben demostrarse caso por caso. Una presunción de conformidad para los puntos 1.1.9 y 1.2.1 solo surge a través de normas armonizadas o de certificaciones conforme a un esquema del Cybersecurity Act (art. 20, apartado 9, del Reglamento de Máquinas). La norma prevista para ello, la EN 50742, existe por ahora solo como borrador (prEN 50742); está abierto si se publicará en el Diario Oficial de la UE antes de la fecha límite. Para las funciones de seguridad basadas en ML se añaden, a partir del 2 de agosto de 2027, las obligaciones de alto riesgo del AI Act, que se integran en la evaluación de la conformidad del Reglamento de Máquinas.
Las obligaciones alcanzan a toda la cadena de suministro: del fabricante al operador que moderniza sus máquinas.
Asumen las obligaciones centrales: evaluación de riesgos, diseño conforme al anexo III, documentación técnica, evaluación de la conformidad, declaración UE de conformidad y marcado CE. La documentación y la declaración deben conservarse al menos diez años; para las cuasi máquinas rigen obligaciones paralelas, con declaración de incorporación e instrucciones de montaje.
Antes de la introducción en el mercado, los importadores comprueban que existen el procedimiento de conformidad, la documentación y el marcado, e indican sus propios datos de contacto; los distribuidores verifican el marcado CE, la declaración de conformidad y la versión lingüística del manual de instrucciones. Quien comercializa productos bajo su propia marca o los modifica de forma relevante para la conformidad asume la totalidad de las obligaciones del fabricante (art. 17).
Quien modifica sustancialmente una máquina —física o digitalmente, por ejemplo mediante una conexión en red posterior o nuevas funciones de seguridad— se considera fabricante de la máquina modificada. En los conjuntos de máquinas, las obligaciones pueden limitarse a la parte afectada; ello presupone una evaluación de riesgos sólida.
El software que garantiza funciones de seguridad puede ser un componente de seguridad independiente sujeto al marcado CE. Los componentes de seguridad basados en ML están sujetos a la evaluación obligatoria por terceros conforme al anexo I, parte A, y se consideran al mismo tiempo IA de alto riesgo en el sentido del AI Act, cuyas obligaciones pertinentes se aplican a partir del 2 de agosto de 2027.
Cuatro pasos, de la clasificación al aseguramiento continuo de la conformidad.
Primero hay que aclarar si su producto está incluido en el anexo I. La parte A (entre otros, los componentes de seguridad con ML) exige siempre un organismo notificado —examen UE de tipo con conformidad con el tipo, aseguramiento de calidad total o verificación por unidad—; en la parte B, el control interno de la producción solo es admisible si las normas armonizadas cubren todos los requisitos pertinentes. El resto de las máquinas sigue el control interno de la producción (módulo A).
La evaluación de riesgos es el punto de partida de la conformidad: límites del producto, identificación de peligros, estimación del riesgo y reducción del riesgo según la jerarquía diseño intrínsecamente seguro, medidas de protección, información al usuario. La novedad es la obligación de incluir las ciberamenazas relevantes para la seguridad y la evolución prevista de las funciones autoaprendientes.
La documentación incluye, entre otros, la evaluación de riesgos, las normas aplicadas y los informes de prueba y validación; en las máquinas con sensores o autónomas, además, la descripción de capacidades, límites y procesos de datos. También se necesita un proceso para poder facilitar a las autoridades, previa solicitud motivada, el código fuente o la lógica de programación del software relevante para la seguridad.
Con la declaración UE de conformidad, el fabricante asume la responsabilidad de la conformidad; si el producto está sujeto a varios actos jurídicos, se emite una única declaración. Tras el marcado CE —con el número de identificación del organismo notificado en caso de evaluación por terceros—, deben vigilarse de forma continua la conformidad de la serie, los cambios normativos y las medidas correctoras.
Respuestas concisas a preguntas habituales de nuestra práctica de consultoría.
El Reglamento se aplica a partir del 20 de enero de 2027; hasta el 19 de enero de 2027 inclusive, las máquinas deben introducirse en el mercado conforme a la Directiva de Máquinas 2006/42/CE: no existe una fase mixta ni de elección. Los productos introducidos en el mercado conforme a la Directiva antes de la fecha límite pueden seguir comercializándose; los certificados de examen CE de tipo siguen siendo válidos hasta su expiración. El aplazamiento de los requisitos de ciberseguridad hasta la fecha del CRA, reclamado por asociaciones industriales, no se ha aprobado hasta ahora: el 20 de enero de 2027 sigue siendo vinculante.
No. La regla general sigue siendo el control interno de la producción (módulo A), sin organismo externo. El organismo notificado es obligatorio para las seis categorías del anexo I, parte A —entre ellas, los componentes de seguridad basados en ML—, así como para las máquinas de la parte B cuando no se apliquen normas armonizadas que cubran todos los requisitos pertinentes.
El punto 1.1.9 del anexo III exige que las conexiones y los accesos remotos no den lugar a situaciones peligrosas, que el hardware, el software y los datos relevantes para la seguridad se identifiquen y protejan contra intervenciones accidentales e intencionadas, y que la máquina recopile evidencias de las intervenciones. El software relevante para la seguridad instalado debe ser, además, identificable en todo momento. En la práctica: el análisis de amenazas, el hardening, la detección de manipulaciones y el registro pasan a formar parte del diseño de la máquina.
No, no automáticamente. El Cyber Resilience Act no contiene ninguna presunción de conformidad a favor de los requisitos 1.1.9 y 1.2.1 del Reglamento de Máquinas; deben completarse ambas evaluaciones de la conformidad. Las sinergias están expresamente previstas, pero el fabricante debe demostrarlas, por ejemplo mediante evidencias comunes y, en el futuro, mediante normas coordinadas entre sí.
Cuando una modificación física o digital no prevista por el fabricante crea un nuevo peligro o incrementa un riesgo existente, de modo que resultan necesarios dispositivos de protección adicionales con adaptación del sistema de mando de seguridad, o medidas adicionales de estabilidad y resistencia (art. 3, punto 16). En ese caso, quien realiza la modificación se considera fabricante, con evaluación de la conformidad, declaración y marcado CE. También los retrofits de software y conectividad pueden alcanzar ese umbral.
No, a mediados de 2026 todavía no. La norma prevista EN 50742 («protección contra la corrupción») existe por ahora solo como borrador (prEN 50742); está abierto si se publicará en el Diario Oficial de la UE antes de la fecha límite. Hasta entonces, la serie IEC 62443 y la especificación técnica IEC/TS 63074 ofrecen orientación técnica, aunque no fundamentan una presunción de conformidad. Por eso es tanto más importante una argumentación sólida y basada en el riesgo en la documentación técnica.
De la primera clasificación a evidencias CE sólidas: experiencia técnica y regulatoria de un solo proveedor.
Evaluamos sus productos, procesos y documentación frente a los requisitos del Reglamento, incluida la clasificación según el anexo I y la revisión de las brechas de ciberseguridad respecto a los puntos 1.1.9 y 1.2.1. Recibirá una hoja de ruta de implementación priorizada hasta la fecha límite.
Ampliamos su evaluación de riesgos existente con las ciberamenazas relevantes para la seguridad: análisis sistemático de amenazas y riesgos para sistemas de mando, interfaces y accesos remotos. Los resultados se incorporan directamente a sus medidas de protección y a la documentación técnica.
Le apoyamos en la implementación a nivel de diseño: hardening de los sistemas de mando, conceptos seguros de acceso remoto y actualización, evidencias de manipulación, registro de seguridad e inventario de software. Nos orientamos por el estado de la técnica, en particular la serie IEC 62443.
Nuestros pentests de OT y de producto comprueban si su máquina resiste accesos malintencionados previsibles: desde interfaces de red y radio hasta accesos de telemantenimiento. Los resultados aportan evidencias sólidas para la evaluación de riesgos y la documentación de conformidad.
Le acompañamos en el procedimiento adecuado: desde la elección del procedimiento y la documentación técnica según el anexo IV hasta la preparación ante el organismo notificado. Coordinamos las evidencias para el Reglamento de Máquinas, el CRA y el AI Act para evitar trabajo duplicado.
Formaciones prácticas para diseño, desarrollo, gestión de producto y responsables CE: nuevos requisitos, fundamentos de seguridad para la construcción de maquinaria y el tratamiento de las modificaciones sustanciales. Si lo desea, como taller interno adaptado a sus líneas de producto.
La fecha límite llega sin periodo transitorio, y el panorama normativo sigue en movimiento. Hable con nosotros antes de que el calendario y las capacidades de evaluación se estrechen.
