¿Quién vigila el software que llevan tus aparatos?

Sí. España es parte de la UE y el CRA se aplica a todo producto con elementos digitales que se comercialice en la Unión, se fabrique donde se fabrique.

La obligación de notificar del artículo 14 cubre también los productos que pusiste en el mercado antes del 11 de septiembre de 2026. Los requisitos del anexo I y el marcado CE, en cambio, se exigen a las unidades que introduzcas desde el 11 de diciembre de 2027.

Si el aparato no puede hacer su función sin ellas y las has diseñado tú o se han hecho bajo tu responsabilidad, sí: el reglamento las trata como parte del producto (tratamiento de datos a distancia, art. 3.2). Un servicio web que se vende solo, sin aparato ni programa que instalar, queda fuera.

Para el CRA, no. Fabricante es quien comercializa el producto con su nombre o marca, lo haya fabricado quien lo haya fabricado (art. 3, punto 13), y el importador o distribuidor que pone su marca pasa a tener las obligaciones del fabricante (art. 21). La obligación de notificar, que ya rige, es tuya. Necesitas que tu proveedor te dé la lista de componentes y te avise de los fallos que conozca.

Tus obligaciones empiezan el 11 de diciembre de 2027 (art. 19). Desde ese día, antes de introducir un producto en el mercado tendrás que comprobar que el fabricante ha hecho la evaluación de la conformidad y la documentación técnica, que lleva el marcado CE con su declaración y sus instrucciones, y que constan sus datos de contacto y el fin del soporte. Las unidades que introduzcas desde esa fecha tendrán que cumplir aunque las hayas comprado antes, así que conviene pedírselo ya a tus proveedores.

El obligado es el fabricante. En la plataforma notifica una persona registrada como representante. Lo habitual es que alguien de tu empresa sea el representante principal y nosotros entremos como secundarios con tu autorización por escrito. Hasta que tu representante principal esté verificado y nos invite, el aviso lo presenta él con el texto que preparamos.

No. Para las unidades que pongas en el mercado desde el 11 de diciembre de 2027 tendrás que tenerla, mantenerla y darla a las autoridades si la piden. Publicarla es decisión tuya (anexo II, punto 9).

Depende de la categoría. Para la mayoría de aparatos (categoría por defecto) basta con tu propia evaluación. Para los de clase I, como cerraduras, cámaras de seguridad o routers, solo si no aplicas por completo normas armonizadas, y a 12 de octubre de 2026 esas normas aún no están citadas en el Diario Oficial. En los de clase II y los críticos interviene siempre un tercero: un organismo notificado o un esquema europeo de certificación. El test de afectación te da una primera idea.

Hoy no. Todo lo que ofrecemos es en línea: analizamos el firmware que subes y hacemos una prueba de seguridad automática de la nube, la web y la API, solo sobre dominios que demuestres que son tuyos y con tu autorización. No probamos el aparato físico ni la radio.

Una persona de contacto y el firmware o la lista de componentes de cada producto. Si importas, la lista de referencias y de proveedores. Antes de ver nada firmamos un acuerdo de confidencialidad mutuo.