Período de soporte CRA 2027 – actualizaciones de seguridad, información para clientes y registro del ciclo de vida | Word/PDF/Excel

¿Cuánto tiempo debe un fabricante garantizar la seguridad de su producto digital y cómo debe informar claramente al cliente sobre el fin del soporte? Con este paquete especializado, documentará la vida útil prevista, el período de soporte, el tratamiento de vulnerabilidades, las actualizaciones de seguridad, la información al cliente y el acceso continuo a los parches ya publicados. Diseñado para fabricantes suecos, propietarios de productos, responsables de desarrollo, PSIRT y empresas que venden software o hardware conectado en la UE.

Datos rápidos: 15 archivos de cliente: siete documentos de Word editables (DOCX), siete archivos PDF correspondientes, buscables e imprimibles, y un registro de Excel (XLSX) con nueve pestañas. Cinco plantillas de trabajo en sueco, una guía de usuario en sueco y una guía de usuario en inglés para las plantillas suecas. Los archivos PDF no son formularios interactivos.

¿Para quién es adecuado el paquete?

Por ejemplo, para un proveedor sueco de sensores conectados, una empresa que ofrece software, un fabricante con componentes de terceros integrados o un equipo de producto que deba documentar su política de soporte ante la aplicación principal de la CRA en diciembre de 2027.

No es adecuado por sí solo si necesita un generador real de SBOM, análisis de código, certificación de seguridad, prueba de penetración, declaración de conformidad CE o la elaboración de informes obligatorios ante una autoridad. La plantilla no puede determinar automáticamente la aplicabilidad del producto ni garantizar el cumplimiento legal.

Resumen de archivos: ¿qué recibe el cliente?

Excel con nueve pestañas

Resumen, Productos, Decisiones sobre períodos, Componentes, Vulnerabilidades, Actualizaciones, Información al cliente, Medidas y Léame. Registre, por ejemplo, qué productos carecen de una decisión de soporte finalizada, qué períodos de soporte cortos deben comprobarse, qué brechas de componentes existen, qué vulnerabilidades están abiertas, qué parches no tienen acceso verificado y qué información al cliente falta. El resumen utiliza fórmulas de estado probadas y no contiene datos de prueba ficticios.

Advertencia: La ausencia de casos abiertos puede deberse a que no se haya registrado ningún caso. Excel no es un motor de evaluación legal, ni un escáner de vulnerabilidades ni una aprobación automática.

Cómo utilizar los documentos

1. Determine si el fabricante y el producto están sujetos a la CRA y si otras normas del sector son relevantes.
2. Documente la vida útil prevista del producto, las expectativas de los clientes y los componentes de los que depende.
3. Justifique el período de soporte: normalmente al menos cinco años, pero más si el uso previsto del producto lo requiere; un período más corto debe estar justificado por una vida útil prevista más breve.
4. Asegure la responsabilidad, los recursos, la recepción de vulnerabilidades, la aplicación de parches, las pruebas y la distribución segura.
5. Indique claramente el fin del soporte del producto en el momento de la compra, al menos por mes y año, y proporcione la información de seguridad pertinente.
6. Registre la fecha de publicación de cada actualización y compruebe que el acceso continúe durante el período adecuado.
7. Documente los fundamentos técnicos, las pruebas de información y la revisión en caso de cambios en las circunstancias.

Base legal y fechas importantes

El Reglamento (UE) 2024/2847 – Ley de Ciberresiliencia (CRA) es la fuente principal. Según el artículo 13.8, el fabricante debe elegir un período de soporte que corresponda a la vida útil prevista del producto. Por regla general, este debe ser de al menos cinco años, pero puede ser más corto si la vida útil prevista del producto es realmente inferior a cinco años. Si la vida útil es mayor, cinco años pueden ser insuficientes. Los fundamentos de la evaluación deben formar parte de la documentación técnica.

Artículo 13.9: Una actualización de seguridad que se haya puesto a disposición durante el período de soporte debe estar disponible durante al menos diez años después de su publicación, o durante más tiempo si el resto del período de soporte es mayor. Esta es una norma sobre la disponibilidad de la actualización en sí, no un requisito general de diez años de soporte activo.

El artículo 13.19 exige que la fecha de finalización del período de soporte se indique claramente en el momento de la compra, al menos por mes y año. El Anexo II, puntos 7 y 8, trata, entre otros aspectos, el tipo de soporte, las instrucciones de actualización, la instalación segura y la retirada segura. El Anexo I, parte II se refiere al tratamiento de vulnerabilidades y a las actualizaciones, entre otros aspectos, la distribución segura y la información a los usuarios.

Fechas: Los requisitos principales de la CRA para los productos comenzarán a aplicarse el 11 de diciembre de 2027. Las obligaciones de notificación previstas en el artículo 14 para ciertas vulnerabilidades activamente explotadas y graves incidentes de seguridad ya son aplicables desde el 11 de septiembre de 2026. Se deben evaluar los productos, los roles, las normas de transición, la aplicabilidad y las directrices complementarias para el fabricante correspondiente. El resumen de la CRA de la Comisión Europea y las directrices de julio de 2026 ofrecen apoyo adicional.

Diferencias con otros productos de CRA de Mallbutiken

El paquete de cumplimiento de la CRA existente tiene un enfoque amplio sobre la evaluación de riesgos, el SBOM y los requisitos de notificación de incidentes. Este producto especializado se centra en la justificación legal y técnica del período de soporte, la información al cliente y el acceso continuo a los parches. La notificación de incidentes PSIRT se realiza por separado. Para la actualización general del funcionamiento y la planificación de cambios, también se requieren los propios procesos técnicos de la organización afectada.

Preguntas frecuentes

¿Todos los productos deben tener soporte durante exactamente cinco años?

No. El período de soporte debe corresponder a la vida útil prevista y, a menudo, ser superior a cinco años. Un período más corto requiere pruebas concretas de que realmente se espera que el producto se utilice durante menos tiempo.

¿El requisito de diez años significa que debemos publicar nuevos parches durante diez años?

No. El artículo 13.9 se refiere al acceso continuo a los parches que realmente se hayan publicado durante el período de soporte. Es una cuestión distinta de la duración del período de soporte activo.

¿Qué debe ver el cliente en el momento de la compra?

Entre otros aspectos, el tipo de soporte técnico de seguridad y el fin del soporte, indicados de forma clara y comprensible, al menos por mes y año.

¿Puede Excel determinar si un parche cumple con la CRA?

No. Excel resume los campos manuales que la propia organización completa y no contiene ningún escáner técnico ni certificación regulatoria.

¿Incluye actualizaciones de seguridad reales o un SBOM legible por máquina?

No. Incluye plantillas de trabajo para la documentación y referencias seguras. El desarrollo real, las pruebas y la generación del SBOM deben realizarse por separado.

¿Se pueden completar los PDF digitalmente?

Son buscables e imprimibles, pero no son formularios PDF interactivos. Edite los documentos en Word y Excel.

¿Están todos los documentos traducidos al inglés?

No. Cinco plantillas de trabajo suecas y el registro de Excel están en sueco; se incluye una guía de usuario en inglés para explicar el flujo de trabajo.

Fuentes, nivel de revisión y versión

Fuentes oficiales: UE 2024/2847, resumen de la Comisión Europea, cronograma de implementación y directrices de 2026.

Versión del producto: 1.0, 12 de noviembre de 2026. Control de fuentes legales: Asistido por IA con el apoyo de fuentes oficiales. Sin revisión legal externa independiente, pruebas reales de seguridad del producto, control de autoridades ni certificación CE. Los archivos son un producto de trabajo adaptable y no deben comercializarse como cumplimiento verificado. La entrega mediante ZIP digital requiere la activación por separado de la función de descarga de la tienda antes de su publicación.