El software que llevan tus aparatos, vigilado cada día.

Sí. El CRA se aplica a todo producto con elementos digitales que se comercialice en la UE, se fabrique donde se fabrique.

Si el aparato no puede cumplir su función sin ellas y las has diseñado tú o se han hecho bajo tu responsabilidad, sí: el reglamento las trata como parte del producto (tratamiento de datos a distancia, art. 3, punto 2). Un servicio web que se vende por sí solo, sin aparato ni programa que instalar, queda fuera.

Para el CRA, no. Fabricante es quien comercializa el producto con su nombre o marca, lo haya fabricado quien lo haya fabricado (art. 3, punto 13), y el importador o distribuidor que pone su propia marca a un producto asume las obligaciones del fabricante (art. 21). La obligación de notificar, que ya se aplica, es tuya. Necesitas que tu proveedor te dé la lista de componentes y te avise de los fallos que conozca.

Tus obligaciones empiezan el 11 de diciembre de 2027 (art. 19). Desde ese día, antes de introducir un producto en el mercado tendrás que comprobar que el fabricante ha llevado a cabo la evaluación de la conformidad y ha elaborado la documentación técnica, que el producto lleva el marcado CE con su declaración y sus instrucciones, y que constan los datos de contacto del fabricante y el fin del período de soporte. Las unidades que introduzcas en el mercado desde esa fecha tendrán que cumplir aunque las hayas comprado antes, así que conviene pedírselo ya a tus proveedores.

La obligación es del fabricante. En la plataforma notifica una persona registrada como representante, y la notificación llega al CSIRT designado como coordinador del país donde tienes tu establecimiento principal; en España, INCIBE-CERT. Lo habitual es que alguien de tu empresa sea el representante principal y nosotros entremos como secundarios, con tu autorización por escrito. Hasta que tu representante principal esté verificado y nos invite, la notificación la presenta esa persona con el texto que preparamos.

No. El reglamento la llama «nomenclatura de materiales de los programas informáticos» y, para las unidades que introduzcas en el mercado a partir del 11 de diciembre de 2027, tendrás que tenerla, mantenerla al día y entregarla a las autoridades si te la piden. Publicarla es decisión tuya (anexo II, punto 9).

Depende de la categoría. Para la mayoría de los aparatos (la categoría por defecto) basta con el procedimiento de control interno: evalúas tú mismo la conformidad (módulo A). Para los productos de clase I, como cerraduras inteligentes, cámaras de seguridad o routers, solo si no aplicas por completo normas armonizadas, y a 13 de octubre de 2026 esas normas todavía no se han citado en el Diario Oficial. Para los de clase II y los críticos siempre interviene un tercero: un organismo notificado o un esquema europeo de certificación de la ciberseguridad. El test de afectación te da una primera idea.