Infografía animada · Seguridad

Lo que pide la CRA y cómo lo cumple el equipo

El Reglamento de Ciberresiliencia (CRA) de la UE fija qué tiene que cumplir cualquier producto con elementos digitales para venderse en Europa, sea un aparato o un programa. La infografía repasa qué cubre, sus fechas y cada obligación junto a lo que tiene que hacer el equipo de desarrollo para cumplirla. Sigue a TermiaControl, un termostato conectado inventado con su firmware, su app y su nube, desde el diseño hasta el parche de una vulnerabilidad que alguien está explotando.

Se puede pausar, avanzar paso a paso con las flechas y elegir la velocidad de lectura. En el móvil se lee mejor a pantalla completa.

Pantalla completa ↗

Cómo está hecha

Los artículos son los del reglamento. Cada caja azul cita el artículo o el anexo del Reglamento (UE) 2024/2847 del que sale: el artículo 13 para las obligaciones del fabricante, el 14 para la notificación, el 71 para las fechas y el anexo I para los requisitos del producto y la gestión de vulnerabilidades. Las fechas y el alcance se comprobaron el 7 de noviembre de 2026 en el texto oficial y en las páginas de la Comisión y de ENISA.
El software tiene su propio paso. Lo que cuenta sobre la nube como parte del producto, los servicios SaaS sueltos, el software libre y lo que ya está a la venta sigue el reglamento y las orientaciones que la Comisión publicó el 27 de julio de 2026, C(2026) 5252.
Las vulnerabilidades de zlib son reales. zlib 1.2.11 tiene, entre otras, CVE-2022-37434 (CVSS 9,8), CVE-2018-25032 (7,5) y CVE-2026-27171; la versión 1.3.2, de febrero de 2026, corrige las tres. Se comprobaron en los registros de Debian y de GitLab. Los plazos del artículo 14, el fin del soporte, el fragmento de SBOM en CycloneDX y la huella SHA-256 los calcula un guion en Python (datos.py).
Lo que se ha simplificado. TermiaControl, su fabricante y el fallo explotado son inventados, y su dominio termina en .example. Las fechas de 2028 son de ejemplo: TermiaControl sale al mercado después del 11 de diciembre de 2027, cuando la CRA se aplica entera. No se tratan los incidentes graves, que tienen plazos propios, ni el papel de importadores y distribuidores. Es un resumen divulgativo: no sustituye al asesoramiento legal.
Un solo fichero, sin bibliotecas. Es un SVG de 1080 × 1350 que dibuja JavaScript. Cada fotograma se calcula a partir del tiempo; por eso la velocidad cambia sin saltos y el vídeo para redes se graba fotograma a fotograma.

Documentación oficial

Reglamento (UE) 2024/2847, el texto oficial en EUR-Lex, en todas las lenguas de la UE, con sus correcciones de errores.
La CRA en la web de la Comisión Europea: qué es, a quién afecta y enlaces a la página de aplicación, con el calendario y las preguntas frecuentes.
Orientaciones de la Comisión, C(2026) 5252, de 27 de julio de 2026: alcance, tratamiento remoto de datos, software libre y obligaciones de notificación.
Plataforma única de notificación de ENISA: cómo se notifica, sus preguntas frecuentes y el acceso al portal, en servicio desde el 11 de septiembre de 2026.