El Cyber Resilience Act (CRA), formalmente Reglamento (UE) 2024/2847, es un marco regulatorio horizontal de la Unión Europea que se aplica a productos de hardware y software —denominados «productos con elementos digitales»— que se comercializan en el mercado de la Unión, incluyendo tanto productos finales como componentes puestos en el mercado por separado [1]. Su propósito declarado es establecer condiciones para el desarrollo de hardware y software seguros, y habilitar a los usuarios para considerar la ciberseguridad al momento de adquirir y utilizar dichos productos, asegurando que dispongan de información adecuada [2].
El calendario de aplicación es escalonado. El CRA entró en vigor el 10 de diciembre de 2024 y será plenamente aplicable desde el 11 de diciembre de 2027; el Capítulo IV, sobre notificación de organismos de evaluación de la conformidad, rige desde el 11 de junio de 2026, mientras que las obligaciones de reporte del artículo 14 se aplican desde el 11 de septiembre de 2026 [2]. El 27 de julio de 2026 la Comisión publicó una guía práctica para apoyar a fabricantes y empresas en el cumplimiento de sus obligaciones [3].
Alcance: qué productos y qué actores quedan comprendidos
Un producto queda dentro del ámbito del reglamento cuando se comercializa y su finalidad prevista o su uso razonablemente previsible incluye una conexión de datos, lógica o física, directa o indirecta, a un dispositivo o a una red [1]. En la práctica, esto abarca la mayor parte del equipamiento de automatización industrial: controladores, pasarelas de protocolo, módulos de E/S remota, switches industriales, routers, dispositivos de diagnóstico de red, software de configuración y las soluciones de procesamiento remoto de datos asociadas. Los productos que no se comercializan, es decir, que no se suministran en el marco de una actividad comercial, quedan fuera del alcance, al igual que ciertos productos cubiertos por otra legislación de la Unión [1].
Las obligaciones se distribuyen entre los operadores económicos. El fabricante concentra los deberes principales; el importador debe verificar que el producto cumpla el reglamento, que se hayan realizado los procedimientos de evaluación de la conformidad, que exista documentación técnica y que el producto porte el marcado CE; el distribuidor debe comprobar el marcado CE, los datos de contacto, las instrucciones al usuario y la indicación del período de soporte [1]. Esta cadena de responsabilidades es relevante para el integrador y el usuario final, porque cada eslabón deja evidencia documental verificable.
Obligaciones esenciales del fabricante
El núcleo técnico del CRA está en el Anexo I, que se divide en dos partes: la Parte I define las propiedades de seguridad que el producto debe presentar por diseño, desarrollo y producción, y la Parte II establece los requisitos de gestión de vulnerabilidades, que el fabricante debe cumplir durante todo el período de soporte [1].
Sobre esa base, el fabricante debe realizar una evaluación de riesgos de ciberseguridad que oriente la implementación de los requisitos esenciales y que se considere en las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento; ejercer diligencia debida sobre los componentes de terceros que integra, de modo que no comprometan la ciberseguridad del producto; e incorporar tanto la evaluación de riesgos como los medios elegidos para cumplir los requisitos en la documentación técnica [1]. Antes de comercializar, debe ejecutar el procedimiento de evaluación de la conformidad, emitir la declaración UE de conformidad y colocar el marcado CE [1].
Un elemento de alto valor operacional es el período de soporte: el fabricante debe determinarlo y durante ese lapso atender de forma efectiva las vulnerabilidades del producto; la fecha de término, con mes y año, debe indicarse de manera clara y comprensible al momento de la compra [1].
El rigor del procedimiento depende de la criticidad del producto. Las categorías de productos importantes y críticos están listadas en los Anexos III y IV, con descripciones técnicas en el Reglamento de Ejecución (UE) 2025/2392 [4]. Para un producto importante de clase I, el fabricante puede recurrir a la autoevaluación solo si aplicó normas armonizadas, especificaciones comunes o un esquema europeo de certificación; de lo contrario debe someterse a evaluación por un organismo notificado. Los productos importantes de clase II y los críticos requieren evaluación de tercera parte [1].
Notificación de vulnerabilidades e incidentes
Desde el 11 de septiembre de 2026, el fabricante debe notificar las vulnerabilidades activamente explotadas y los incidentes graves que afecten la seguridad del producto, al CSIRT del Estado miembro donde tiene su establecimiento principal y a ENISA, con plazos de 24 horas para la alerta temprana, 72 horas para la notificación principal, un informe final a más tardar 14 días después de disponer de una medida correctiva o mitigadora en el caso de vulnerabilidades explotadas, y un informe final dentro de un mes desde la notificación de 72 horas en el caso de incidentes graves [1].
| Hito | Fecha | Contenido |
|---|---|---|
| Entrada en vigor | 10 de diciembre de 2024 | Inicio del período de transición |
| Capítulo IV | 11 de junio de 2026 | Notificación de organismos de evaluación de la conformidad |
| Artículo 14 | 11 de septiembre de 2026 | Obligaciones de reporte de vulnerabilidades e incidentes |
| Aplicación plena | 11 de diciembre de 2027 | Requisitos esenciales, evaluación de conformidad y marcado CE |
Las notificaciones se cursan por la Plataforma Única de Reporte del CRA, administrada por ENISA, y la obligación alcanza a todos los productos disponibles en el mercado de la Unión, incluidos los comercializados antes del 11 de diciembre de 2027 [1]. Este último punto es determinante: el equipamiento ya instalado también queda cubierto por el régimen de reporte.
Beneficios para el usuario de productos industriales
Las características descritas se traducen en ventajas concretas para quien opera una instalación:
- Configuración segura desde la entrega. Los requisitos de propiedades del producto se aplican por diseño, lo que reduce la dependencia de endurecimientos posteriores realizados en terreno.
- Horizonte de mantenimiento conocido. La fecha de término del período de soporte, declarada al momento de la compra, permite planificar la renovación de activos OT con criterios objetivos y alinear el ciclo de vida del equipamiento con el plan de inversiones.
- Gestión de vulnerabilidades sostenida. El compromiso de atender vulnerabilidades durante el período de soporte acota el intervalo entre la divulgación de una falla y la disponibilidad de una corrección.
- Información documentada y verificable. La documentación técnica, la declaración UE de conformidad y las instrucciones del Anexo II entregan insumos directos para especificaciones de compra, bases de licitación y auditorías internas, sin necesidad de cuestionarios de proveedor ad hoc.
- Trazabilidad en la cadena de suministro. La diligencia sobre componentes de terceros reduce el riesgo heredado de librerías y módulos embebidos, un vector difícil de evaluar desde la posición del usuario final.
- Convergencia con los marcos de ciberseguridad industrial. Los requisitos del CRA son consistentes con la lógica de la serie IEC 62443, en particular con los requisitos de desarrollo seguro y de seguridad de componentes, lo que facilita construir una arquitectura de zonas y conductos con dispositivos cuyas capacidades de seguridad están acreditadas documentalmente.
Para el mercado chileno el efecto es indirecto pero real: buena parte del equipamiento de automatización que se comercializa en el país proviene de fabricantes que sí colocan producto en el mercado europeo, de modo que el CRA opera como un piso técnico que el usuario local puede exigir y verificar mediante la documentación del producto.
El marco chileno: normas equivalentes y cercanas
Chile no cuenta hoy con una regulación de ciberseguridad de producto comparable al CRA. El eje del marco nacional es la Ley N° 21.663, Marco de Ciberseguridad e Infraestructura Crítica de la Información [5], que regula a las organizaciones —no a los productos— y crea la Agencia Nacional de Ciberseguridad (ANCI). Mediante el DFL N° 1-21.663, publicado el 24 de diciembre de 2024, se fijó el inicio de actividades de la ANCI y la entrada en vigencia de la ley; el 1 de marzo de 2025 comenzaron a regir el artículo 5° sobre calificación de operadores de importancia vital, el artículo 8° sobre deberes específicos de dichos operadores, el artículo 9° sobre el deber de reportar al CSIRT Nacional los ciberataques e incidentes con efectos significativos, y el Título VII sobre infracciones y sanciones [6]. Ese mismo día se publicó el Decreto Supremo N° 295 de 2024 del Ministerio del Interior y Seguridad Pública, que aprueba el Reglamento de Reporte de Incidentes de Ciberseguridad y establece el contenido mínimo de los informes y las obligaciones de las instituciones que prestan servicios esenciales y de los operadores de importancia vital [7].
El punto de contacto más cercano al CRA es el régimen de notificación: ambos marcos convierten el reporte oportuno en una obligación jurídica con plazos acotados. La diferencia de sujeto obligado es la clave: en la Unión Europea reporta el fabricante del producto; en Chile reporta el operador de la instalación.
La exigencia técnica nacional está en desarrollo. La ANCI convocó a consulta pública para establecer como obligatorias seis de las nueve recomendaciones contenidas en su documento «Los 9 básicos de ciberseguridad», aplicables a todos los sujetos obligados por la Ley 21.663; las medidas fueron seleccionadas a partir del análisis de los incidentes reportados durante 2025, proceso iniciado el 30 de mayo de 2026 mediante la Resolución Exenta N° 140, conforme a los artículos 7° y 11° letra b) de la ley [8].
En el sector eléctrico, la Comisión Nacional de Energía informó el inicio de la consulta pública del proyecto de Norma Técnica de Ciberseguridad y Seguridad de la Información, cuyo aviso fue publicado el 28 de agosto de 2026 en el Diario Oficial; la propuesta forma parte del procedimiento iniciado mediante la Resolución Exenta CNE N° 383 de 29 de septiembre de 2021 y busca establecer lineamientos y requisitos para fortalecer la seguridad digital, la coordinación operativa y la protección de la información del sector [9]. Es la normativa chilena que más se aproxima al ámbito industrial y de tecnología de operación, aunque su exigibilidad recae igualmente sobre las empresas coordinadas y no sobre los fabricantes de equipamiento.
A este cuadro se suma la Ley N° 21.719 sobre protección de datos personales, cuya vigencia plena está fijada para el 1 de diciembre de 2026 y que crea su propia autoridad fiscalizadora [10]; un mismo incidente puede activar en paralelo deberes de notificación bajo ambas leyes, con plazos y formatos distintos.
Para el ingeniero de automatización en Chile, la lectura práctica es la siguiente: la obligación legal local recae sobre la organización que opera la planta, mientras que el CRA entrega, desde la vereda del fabricante, la evidencia documental que permite sustentar ese cumplimiento. Incorporar en las especificaciones de compra la declaración de conformidad, el período de soporte y la política de gestión de vulnerabilidades del producto es hoy una medida disponible y verificable.
Referencias
- Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, sobre requisitos horizontales de ciberseguridad para los productos con elementos digitales. EUR-Lex, CELEX 32024R2847.
- Comisión Europea. The Cyber Resilience Act — Summary of the legislative text. Shaping Europe’s digital future.
- Comisión Europea. Cyber Resilience Act, página de política; guía práctica publicada el 27 de julio de 2026.
- Reglamento de Ejecución (UE) 2025/2392 de la Comisión, de 28 de noviembre de 2025, sobre la descripción técnica de las categorías de productos importantes y críticos con elementos digitales.
- Ley N° 21.663, Marco de Ciberseguridad e Infraestructura Crítica de la Información. Biblioteca del Congreso Nacional de Chile.
- DFL N° 1-21.663, publicado el 24 de diciembre de 2024, Ministerio del Interior y Seguridad Pública.
- Decreto Supremo N° 295 de 2024, Reglamento de Reporte de Incidentes de Ciberseguridad de la Ley N° 21.663.
- Agencia Nacional de Ciberseguridad. Resolución Exenta N° 140 de 2026 y consulta pública sobre estándares básicos obligatorios de ciberseguridad. anci.gob.cl
- Comisión Nacional de Energía. Portal Normativo, consulta pública del proyecto de Norma Técnica de Ciberseguridad y Seguridad de la Información. portalnormativo.cne.cl
- Ley N° 21.719, que regula la protección y el tratamiento de los datos personales. Biblioteca del Congreso Nacional de Chile.
