Preparado para la Cyber Resilience Act en una tarde.

Todavía no. El generador produce los 13 documentos en inglés o en francés. Ambas versiones citan el artículo del reglamento del que procede cada cláusula, por lo que la revisión con su asesoría jurídica habitual resulta breve.

El SaaS puro, los sitios web y los servicios en línea no son «productos con elementos digitales» (considerando 12). En su lugar, puede aplicarse la NIS2. Pero si distribuye un cliente (aplicación móvil, aplicación de escritorio, agente, SDK, dispositivo) y usted mismo diseña el back end, necesario para una de sus funciones, ese «tratamiento de datos a distancia» está dentro del ámbito de aplicación junto con el producto. Haga el test de ámbito de aplicación: explica el razonamiento.

El software libre y de código abierto suministrado fuera de una actividad comercial queda fuera del ámbito de aplicación (considerando 18). La monetización lo hace volver a entrar en él. Esto incluye el soporte de pago, la doble licencia o una empresa que controla el proyecto y vende en torno a él. Las fundaciones y los gestores de paquetes tienen un régimen simplificado (Artículo 24). El kit incluye una vía específica para el rol de «responsable de software de código abierto» (open-source software steward).

El artículo 14 se hace aplicable. Supongamos que usted tiene conocimiento de que una vulnerabilidad de su producto está siendo explotada activamente, o de un incidente grave que afecta a su seguridad. Entonces debe presentar una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final, a través de la plataforma única de notificación de ENISA, e informar a los usuarios afectados. No hay que presentar nada si no ocurre nada. Pero necesita tener listos la cuenta, los roles, el procedimiento y las plantillas antes de que ocurra. El resto del Reglamento se aplica el 11 de diciembre de 2027.

El artículo 64 se aplica desde el 11 de diciembre de 2027. Las microempresas y pequeñas empresas están dentro del ámbito de aplicación y se sancionan de forma proporcionada. No pueden ser sancionadas por el mero incumplimiento de la alerta temprana de 24 horas (Artículo 64, apartado 10), pero la notificación de 72 horas y el informe final siguen siendo vinculantes para ellas. Las empresas de fuera de la UE que venden en la UE también están dentro del ámbito de aplicación. Los importes exactos figuran en la guía.

El criterio desencadenante de la CRA es «explotación activa». El catálogo Known Exploited Vulnerabilities es la lista pública más completa de vulnerabilidades con explotación confirmada. Una vulnerabilidad que figure en el KEV en un componente que usted distribuye no es automáticamente notificable, ya que primero debe comprobar si su producto la expone. Pero es la señal para iniciar el árbol de decisión ese mismo día.

No, en ambos casos. CRA Kit genera documentos de trabajo a partir del texto del Reglamento y de sus respuestas, con referencias a los artículos para que pueda verificar cada una. El cumplimiento es lo que usted hace con ellos. Los publica, dota de personal el proceso, mantiene el registro, corrige lo que esté mal y notifica cuando debe hacerlo. Para productos importantes o críticos (Anexo III/IV), o ante cualquier situación con exposición jurídica real, haga que un abogado revise el resultado.

A ningún sitio. El escáner analiza sus archivos en el navegador y solo envía los nombres y las versiones de los paquetes a OSV.dev. El formulario del kit se guarda en el almacenamiento local de su navegador. La generación de documentos ocurre localmente. Las claves de licencia se verifican mediante una pequeña función de este sitio, que consulta a Creem. No utilizamos ninguna base de datos.

Puede ver una vista previa de tres documentos completos y del inicio de los demás antes de pagar, y las herramientas gratuitas son suyas en cualquier caso. El kit se vende a profesionales, por lo que el derecho de desistimiento del consumidor de 14 días no se aplica: para desbloquearlo debe confirmar que compra en el marco de su actividad profesional y solicitar la entrega inmediata. El plan generado registra esa declaración. Si algo no funciona, escríbanos y lo arreglaremos o le reembolsaremos.