Reglamento de Ciberresiliencia (CRA) e IA: cómo se cruza con el Reglamento de IA
El Reglamento de Ciberresiliencia exige ciberseguridad a productos con elementos digitales. Fechas, multas y presunción de conformidad con el Reglamento de IA.
- Publicado
- 11.10.2026
- Nivel
- Técnico
- Ámbito
- UE
- Lectura
- 3 min
Estado normativo
Aplicable desde fecha indicada- Normas
- Reglamento (UE) 2024/2847 (CRA), arts. 12, 14, 64 y 71 · Reglamento (UE) 2024/1689, art. 15
- Aplicable desde
- 11.12.2027
- Ámbito
- UE
En 30 segundos
El Reglamento (UE) 2024/2847 de Ciberresiliencia (CRA) exige ciberseguridad a los productos con elementos digitales. La notificación de vulnerabilidades explotadas e incidentes graves aplica desde el 11 de septiembre de 2026 y el resto, desde el 11 de diciembre de 2027. Un sistema de IA de alto riesgo que cumpla los requisitos del CRA se considera conforme con los requisitos de ciberseguridad del art. 15 del Reglamento de IA. Multas de hasta 15 millones de euros o el 2,5 %.
Contexto
El Reglamento (UE) 2024/2847, conocido como Reglamento de Ciberresiliencia o CRA, fija requisitos horizontales de ciberseguridad para los productos con elementos digitales. Afecta, sobre todo, a quien fabrica o comercializa hardware y software.
El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act) exige a los sistemas de alto riesgo precisión, solidez y ciberseguridad (art. 15). Un mismo producto puede estar sujeto a las dos normas.
Qué cambia: fechas y reglas
| Tema | CRA | Cómo encaja con el Reglamento de IA |
|---|---|---|
| Fechas | Se aplica desde el 11 de diciembre de 2027. La notificación de vulnerabilidades e incidentes (art. 14) aplica desde el 11 de septiembre de 2026 (art. 71) | El alto riesgo del anexo III del RIA aplica desde el 2 de diciembre de 2027, y el del anexo I desde el 2 de agosto de 2028 |
| Notificación | Alerta temprana en 24 horas, notificación en 72 horas e informe final de la vulnerabilidad en 14 días tras la medida correctora. En incidentes graves, informe final en un mes (art. 14) | El RIA tiene su propio régimen para incidentes graves. Ver el art. 73 |
| Presunción de conformidad | Un sistema de IA de alto riesgo que cumpla el anexo I (partes I y II) del CRA y tenga la declaración UE de conformidad se considera conforme con el art. 15 del RIA (art. 12) | Cumplir el CRA sirve para la parte de ciberseguridad del RIA, no para el resto de requisitos |
| Multas | Hasta 15 millones de euros o el 2,5 % por incumplir los requisitos esenciales o el art. 14; hasta 10 millones o el 2 % en otras obligaciones; hasta 5 millones o el 1 % por información incorrecta (art. 64) | Independientes de las del RIA: se pueden sumar |
Qué cambia, por actor
Proveedores de IA de alto riesgo integrada en un producto. Si el producto tiene elementos digitales, pueden cumplir la parte de ciberseguridad del RIA a través del CRA, con la declaración UE de conformidad.
Fabricantes de productos conectados. Deben notificar vulnerabilidades explotadas e incidentes graves desde el 11 de septiembre de 2026 y cumplir el resto del CRA desde el 11 de diciembre de 2027.
Quien solo usa herramientas de IA. No suele ser fabricante a efectos del CRA, pero puede exigir a sus proveedores evidencias de ciberseguridad.
Qué hacer ahora
- Identifica tus productos con elementos digitales y los que integran IA.
- Prepara un procedimiento de vulnerabilidades con los plazos de 24 y 72 horas.
- Revisa los requisitos de ciberseguridad de tus sistemas de alto riesgo. Ver los arts. 8 a 15.
- Coordina con NIS2 si además eres entidad esencial o importante. Ver NIS2 e IA.
Puntos abiertos
- Qué productos concretos están dentro del ámbito y cuáles quedan excluidos por otras normas sectoriales: revisar el texto y las excepciones.
- Autoridades españolas competentes y su procedimiento: pendiente de confirmar.
- Normas armonizadas que concreten los requisitos: aún en desarrollo.
Preguntas frecuentes
¿Si cumplo el CRA, cumplo el Reglamento de IA?
Solo en la parte de ciberseguridad de un sistema de IA de alto riesgo, y si se cumplen las condiciones del art. 12 del CRA. El resto de requisitos del RIA siguen aplicando.
¿Cuándo debo notificar una vulnerabilidad?
Desde el 11 de septiembre de 2026 el CRA exige alertar en 24 horas y notificar en 72 horas desde que el fabricante tiene conocimiento de una vulnerabilidad explotada.
¿Aplica a software puro?
El CRA se refiere a productos con elementos digitales. El ámbito exacto, con sus exclusiones, debe comprobarse en el texto.
Sigue leyendo
- Ficha normativaRequisitos de los sistemas de IA de alto riesgo (arts. 8 a 15 del Reglamento de IA): qué debe cumplir el proveedor
- AnálisisNIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
- AnálisisNormas armonizadas de IA (art. 40): qué son, cómo dan presunción de conformidad y en qué punto están
- Ficha normativaEvaluación de la conformidad, declaración UE y marcado CE de la IA de alto riesgo (arts. 43, 47 y 48)
- GuíaReglamento europeo de IA (AI Act): guía completa para empresas en España
- AnálisisResponsabilidad por productos defectuosos e IA: la nueva Directiva (UE) 2024/2853
Todas las piezas de Regulación · Calendario · Glosario · Reglamento artículo a artículo
Fuentes
- [1]Reglamento (UE) 2024/2847 (Ciberresiliencia), texto en el DOUE (copia oficial del BOE, DOUE-L-2024-81720)Consultado el 11.10.2026
- [2]Reglamento (UE) 2024/1689, texto en el DOUE (copia oficial del BOE, DOUE-L-2024-81079)Consultado el 11.10.2026
Cómo citar esta página
regulacionia.com (2026). «Reglamento de Ciberresiliencia (CRA) e IA: cómo se cruza con el Reglamento de IA». regulacionia.com, actualizado el 11.10.2026. https://regulacionia.com/regulacion/ciberresiliencia-cra-e-ia-reglamento-ia