Desarrollo seguro de software y de productos

No. Los productos sujetos al MDR o al IVDR están excluidos del Cyber Resilience Act. Su ciberseguridad la regulan los dos reglamentos de productos sanitarios; como referencia sirven la guía MDCG 2019-16 Rev. 1 y la norma IEC 81001-5-1, que por ahora no está armonizada. En cambio, el software y los equipos sin finalidad médica prevista —por ejemplo, la TI hospitalaria general— sí pueden estar sujetos al CRA.

No a los turismos, autobuses, camiones y remolques homologados: dependen de la homologación de tipo de la UE, que regula la ciberseguridad mediante UN R155 y las actualizaciones de software mediante UN R156. La exclusión suele abarcar también los sistemas y componentes homologados para esos vehículos. Desde 2025, un acto delegado excluye además los vehículos de dos y tres ruedas y los cuatriciclos; a los nuevos tipos de esta categoría se les aplica UN R155 desde el 11 de diciembre de 2027. Los productos de posventa, los equipos de recarga o las apps fuera de la homologación de tipo sí pueden estar sujetos al CRA. Las bicicletas con pedales de la categoría L1e siguen sujetas también al CRA.

No. La IEC 62443 es una serie de normas internacionales, no una ley. Sin embargo, se considera el estado de la técnica para los componentes industriales y se está adaptando al CRA, entre otras cosas mediante ajustes de EN IEC 62443-4-1 y -4-2 y perfiles específicos de producto. La presunción de que se cumplen los requisitos legales (presunción de conformidad) solo surge cuando una versión armonizada se cita en el Diario Oficial de la UE; a octubre de 2026, no es el caso.

Desde el 11 de septiembre de 2026, los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves al CSIRT nacional competente a través de la plataforma única de notificación de ENISA (Single Reporting Platform). Los plazos: alerta temprana en 24 horas, notificación en 72 horas e informe final a más tardar 14 días después de disponer de una corrección; en el caso de incidentes, en el plazo de un mes desde la notificación. La obligación afecta también a los productos introducidos en el mercado antes de esa fecha.

UN R155 es un reglamento de homologación de tipo vinculante: sin un sistema de gestión de la ciberseguridad (CSMS) certificado, un tipo de vehículo no obtiene la homologación. ISO/SAE 21434, en cambio, es el estándar de ingeniería con el que fabricantes y proveedores implantan los procesos exigidos, como el análisis de amenazas y evaluación de riesgos (Threat Analysis and Risk Assessment, TARA). La norma no es obligatoria por ley, pero es la vía habitual para demostrar el cumplimiento; las lagunas, como el catálogo de amenazas de R155, los fabricantes las cubren por separado.

Todavía no. El mandato de normalización de la Comisión abarca 41 normas horizontales y específicas de producto. Según un proyecto de modificación que, a octubre de 2026, no se ha adoptado, las primeras normas horizontales deberían estar listas a finales de octubre de 2026 y las específicas de producto a finales de diciembre de 2026. Mientras no se cite ninguna versión en el Diario Oficial, no hay presunción de conformidad: los fabricantes justifican por sí mismos el cumplimiento de los requisitos, y los productos importantes de la clase I necesitan entonces un organismo notificado.