Calendario del Cyber Resilience Act 2026–2027
CRA no entra de una vez: en 2026 ya comienzan reporting y piezas institucionales, mientras las obligaciones principales llegan en diciembre de 2027.
11 junio 2026
Empiezan las disposiciones sobre notificación de organismos de evaluación y designación de autoridades notificantes.
11 septiembre 2026
Se aplican las obligaciones de informar vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto.
Estándares y evaluación
Durante 2026 y 2027 avanzan guías, normalización y capacidad de organismos; el fabricante debe controlar el estado de normas armonizadas.
11 diciembre 2027
Comienza la aplicación general de las obligaciones principales, evaluación de conformidad, marcado, documentación y ciclo de vida.
Del requisito al expediente
Relaciona entidad, activo, proceso, producto, proveedor, contrato, control, evidencia, vulnerabilidad, incidente, plazo, notificación y responsable. Code Contract coordina la prueba; no sustituye al CISO, al supervisor ni al fabricante.