La obligación de notificación del CRA está en vigor desde el 11 de septiembre de 2026. El Reglamento de Máquinas no empieza hasta el 20 de enero de 2027, y el marcado CE completo del CRA hasta el 11 de diciembre de 2027. Esto es lo que debe documentar una grúa controlada por PLC, qué radiomandos pierden su presunción de conformidad y cuánto cuesta todo el ejercicio por máquina.
Desde el 11 de septiembre de 2026, todo el que fabrique una grúa con un controlador en red para el mercado de la UE tiene la obligación legal de notificar las vulnerabilidades explotadas activamente en esa grúa en un plazo de 24 horas desde que las conoce. Ese reloj empezó hace seis semanas. Las normas de seguridad de máquinas para las que la mayoría de las fábricas todavía se preparan no comienzan hasta el 20 de enero de 2027. Las normas horizontales de ciberseguridad que convierten todo esto en un expediente de marcado CE no se aplican plenamente hasta el 11 de diciembre de 2027. Tres fechas, dos reglamentos, una máquina.
La mayoría de los compradores a los que cotizamos en Europa ha oído hablar de exactamente uno de ellos. Normalmente del Reglamento de Máquinas, porque es lo que les pregunta su organismo notificado. Casi nadie nos ha preguntado todavía por la obligación de notificación del CRA, y es justamente la que ya está en marcha.
El Reglamento (UE) 2023/1230, el Reglamento de Máquinas, sustituye a la antigua Directiva de Máquinas 2006/42/CE y se aplica a las máquinas introducidas en el mercado a partir del 20 de enero de 2027. Es una ley de seguridad que ahora contiene un requisito de ciberseguridad. La sección 1.1.9 del Anexo III se titula «Protección contra la corrupción»: las conexiones con otros dispositivos no deben crear situaciones peligrosas, el hardware y el software críticos para la seguridad y los datos deben protegerse contra la corrupción accidental o intencionada y deben identificarse, y las intervenciones legítimas o ilegítimas deben registrarse. La sección 1.2.1 cubre la seguridad y la fiabilidad de los sistemas de control.
El Reglamento (UE) 2024/2847, el Reglamento de Ciberresiliencia, es una ley de ciberseguridad de productos. Entró en vigor el 10 de diciembre de 2024. El capítulo IV sobre organismos notificados se aplica desde el 11 de junio de 2026. Las obligaciones de notificación empezaron el 11 de septiembre de 2026. Las obligaciones principales se aplican desde el 11 de diciembre de 2027.
Una grúa puente controlada por PLC es una máquina según el primero y un producto con elementos digitales según el segundo. Las propias preguntas frecuentes del CRA de la Comisión son tajantes sobre lo que eso significa. La pregunta 2.4.1 dice que los fabricantes de productos incluidos en ambos «deben cumplir tanto los requisitos esenciales de ciberseguridad establecidos en el presente Reglamento como los requisitos esenciales de salud y seguridad establecidos en el Reglamento (UE) 2023/1230», y que cualquier sinergia «debe ser demostrada por el fabricante». La pregunta 2.4.3 va más lejos: la evaluación de la conformidad según un instrumento «no puede considerarse automáticamente suficiente para satisfacer también el procedimiento que debe seguirse según el otro instrumento».
Dos expedientes, dos declaraciones, una grúa. Esa es la forma del problema.
| Concepto | Reglamento de Máquinas 2023/1230 | Reglamento de Ciberresiliencia 2024/2847 |
|---|---|---|
| De qué trata | Seguridad física de la máquina, más protección contra la corrupción de las funciones de seguridad | Ciberseguridad del producto digital a lo largo de toda su vida, incluidas las actualizaciones |
| Se aplica a una grúa desde | 20 de enero de 2027 | 11 de diciembre de 2027 para las obligaciones principales, 11 de septiembre de 2026 para la notificación de incidentes |
| Quién evalúa | Autoevaluación para la mayoría de las grúas, organismo notificado para las máquinas del Anexo I | Autoevaluación por defecto, tercero independiente para los «productos importantes» del Anexo III |
| Entregable | Expediente técnico, declaración UE de conformidad, marca CE, instrucciones con riesgos residuales | Documentación técnica, declaración UE de conformidad, marca CE, SBOM, periodo de soporte, proceso de vulnerabilidades |
| Obligación continua | Conservar el expediente 10 años, actuar ante incidentes que revelen no conformidad | Gestionar las vulnerabilidades durante todo el periodo de soporte, notificar las explotadas en 24 horas |
Esta es la parte que se pierde en los resúmenes. El CRA no es un único plazo. Es una escalera, y el tramo que más duele a una fábrica es el que ya está en vigor.
| Fecha | Qué se aplica | Qué significa para un fabricante de grúas |
|---|---|---|
| 10 de diciembre de 2024 | Entrada en vigor del CRA | Nada operativo, pero el reloj del diseño empieza a correr |
| 1 de agosto de 2025 | Requisitos de ciberseguridad de la Directiva de Equipos Radioeléctricos (Reglamento Delegado 2022/30) | Ya afecta a todos los radiomandos enviados a la UE |
| 11 de junio de 2026 | Capítulo IV del CRA, organismos notificados | La evaluación por terceros pasa a poder contratarse |
| 11 de septiembre de 2026 | Obligaciones de notificación del CRA y la Plataforma Única de Notificación de ENISA | Ya en vigor. Se aplica a los productos que ya están en el mercado de la UE, no solo a los nuevos |
| 20 de enero de 2027 | Reglamento de Máquinas 2023/1230 | Las secciones 1.1.9 y 1.2.1 del Anexo III pasan a formar parte del expediente CE |
| 11 de diciembre de 2027 | Obligaciones principales del CRA | Marcado CE completo bajo el CRA, SBOM, periodo de soporte declarado en las instrucciones |
| 11 de diciembre de 2027 | Notificación para los administradores de software de código abierto | Solo relevante si mantiene un proyecto que además vende comercialmente |
El propio anuncio de la Comisión del 11 de septiembre de 2026 detalló el punto que pilla a la gente: las obligaciones de notificación se aplican a todos los productos con elementos digitales puestos a disposición en la UE, «incluidos los que ya están en el mercado». Una grúa de 2019 con una pasarela de diagnóstico 4G que lleva siete años en una planta neerlandesa entra en esa frase. La obligación recae en el fabricante, no en el año de venta.
Dos categorías, cuatro relojes. Una vulnerabilidad explotada activamente en su producto y un incidente grave que afecte a su seguridad son disparadores distintos, y terminan en plazos distintos.
| Etapa | Plazo | Qué incluye |
|---|---|---|
| Alerta temprana | 24 horas desde el conocimiento | Que existe una sospecha de vulnerabilidad explotable o un incidente grave, más los datos básicos |
| Notificación completa | 72 horas | Información general sobre el producto, la naturaleza del exploit o del incidente y la mitigación inicial |
| Informe final, vulnerabilidad explotada | 14 días desde que existe una medida correctiva | Causa raíz, corrección aplicada, versiones afectadas, acciones del usuario |
| Informe final, incidente grave | 1 mes desde la notificación de 72 horas | Misma forma, más lo que se hizo para evitar que se repita |
La vía de presentación es un único portal. ENISA construyó y opera la Plataforma Única de Notificación del CRA, operativa desde el 11 de septiembre de 2026. El fabricante notifica una vez. La plataforma encamina la notificación al CSIRT del Estado miembro donde el fabricante tiene su establecimiento principal y, salvo circunstancias excepcionales, pone la información a disposición de ENISA al mismo tiempo. El CSIRT receptor la comparte después con los demás CSIRT nacionales donde se vende el producto.
Hay una puerta estrecha para retrasar la difusión. El 11 de diciembre de 2025 la Comisión adoptó un acto delegado que fija las condiciones en las que un CSIRT puede retener la difusión a otros CSIRT por motivos justificados de ciberseguridad. Dé por hecho que no cumplirá los requisitos. Planifique como si la autoridad nacional de su cliente se enterara el mismo día en que usted presenta.
Para una fábrica en Zhejiang sin establecimiento en la UE, la pregunta práctica es quién presenta. El reglamento atribuye la obligación al fabricante, y un distribuidor o importador no puede absorberla. Este es el único punto en el que hay que incorporar pronto a la conversación a un socio comercial europeo, porque la plataforma necesita una organización identificada con un proceso de incidentes que funcione detrás, no una oficina de ventas.
Más partes del listado de materiales de las que admiten la mayoría de las cotizaciones. El criterio no es «¿tiene un chip?», sino si el elemento es un producto de software o hardware que se conecta, directa o indirectamente, a otro dispositivo o red.
| Componente de una grúa puente estándar | ¿Producto con elementos digitales? | Por qué entra en el expediente |
|---|---|---|
| PLC / controlador de grúa con Ethernet o bus de campo | Sí | Ejecuta la lógica de seguridad, se conecta a la red de la planta |
| Variador de frecuencia con software de configuración | Sí | Firmware, parámetros que modifican el frenado y los límites de velocidad |
| Panel HMI o pantalla táctil | Sí | Ejecuta un sistema operativo, a menudo con un servidor web |
| Pasarela de diagnóstico remoto, router 4G, equipo VPN | Sí, y normalmente un «producto importante» | Las pasarelas VPN y los routers figuran en la clase I del Anexo III |
| Emisor y receptor del radiomando | Sí, y además equipo radioeléctrico | Dos regímenes a la vez: requisitos de ciberseguridad de la RED más el CRA |
| Controlador antivibración o de posicionamiento | Sí | Firmware que ordena el movimiento directamente |
| Célula de carga, display del limitador de carga, protección de sobrecarga | Sí cuando procesa y transmite datos | Una señal de carga falsificada anula la propia protección de la máquina |
| Viga principal, carros laterales, tambor, bloque de gancho, cable de acero | No | Sin software, sin conexión. El acero sigue siendo acero. |
La lista importa porque el CRA no le pide certificar cada tornillo. Le pide saber qué elementos son digitales, quién los fabricó, en qué versión están y cómo se corrige una vulnerabilidad en cualquiera de ellos durante el periodo de soporte. Eso es un problema de inventario antes que un problema de ingeniería.
Una grúa monoviga estándar con un polipasto de cadena y un mando colgante suele llevar tres o cuatro de estos elementos. Añada una pasarela de diagnóstico remoto y la cuenta se duplica. Un paquete de polipasto y accesorios vendido por separado trae su propia declaración, porque el polipasto es un producto con elementos digitales por sí mismo cuando se entrega con un inversor y una placa de control.
No. La Comisión fijó las descripciones técnicas de los productos importantes con elementos digitales en el Reglamento de Ejecución (UE) 2025/2392, y las grúas no aparecen en él. Es una buena noticia, porque los productos de clase I y clase II conllevan procedimientos de evaluación de la conformidad más exigentes.
Pero los componentes son otra historia. La lista de clase I incluye elementos que aparecen en los listados de materiales de grúas cada semana:
| Categoría de clase I en el Anexo III | Dónde aparece en una grúa |
|---|---|
| Productos con la función de una red privada virtual | El túnel de servicio remoto que instala para que su ingeniero pueda entrar desde Zhejiang |
| Routers, módems destinados a la conexión a internet y conmutadores | El router 4G del armario que da a la grúa su tarjeta SIM |
| Interfaces de red físicas y virtuales | Tarjetas y adaptadores de interfaz Ethernet, Wi-Fi y bus de campo |
| Sistemas operativos | El sistema operativo de tiempo real o la versión de Windows dentro del panel HMI |
| Gestión de identidades y gestión de accesos privilegiados | El sistema de cuentas de acceso remoto que usa su equipo de servicio |
| Sistemas de gestión de información y eventos de seguridad | Solo si revende monitorización a nivel de planta junto con la grúa |
El artículo 7(1) del CRA le protege de un efecto cascada: integrar un producto que tiene la funcionalidad esencial de una categoría de clase I o clase II no arrastra por sí mismo al producto anfitrión a esos procedimientos. Pero sigue teniendo que asegurarse de que el proveedor hizo su trabajo, y si no hay declaración de conformidad ni marca CE para ese componente, la responsabilidad es suya. Póngalo en la orden de compra, no en una llamada de teléfono.
Cinco años es el mínimo, y para equipos industriales el considerando le dice que vaya más lejos. El considerando 60 del CRA dice que el periodo de soporte no debe ser inferior a cinco años salvo que la vida útil del producto sea más corta, y añade que los productos «destinados a su uso en entornos industriales, como los sistemas de control industrial, suelen estar en uso durante periodos significativamente más largos».
Lea eso junto a una vida útil real de una grúa de 20 a 30 años y la brecha es evidente. Nadie espera que un PLC de 2027 reciba parches en 2052. Lo que el reglamento espera es que usted diga, por escrito, cuándo terminan los parches.
El Anexo II exige que la fecha final del periodo de soporte se entregue al usuario junto con el producto. Esa única línea del manual de instrucciones es la que usará un jefe de mantenimiento para planificar la modernización, y es la primera que leerá un inspector de vigilancia del mercado.
| Clase de grúa y servicio | Vida útil típica | Periodo de soporte declarado defendible |
|---|---|---|
| Grúa ligera de taller, A3-A4, 1-10 t | 15-20 años | 5 años para los componentes digitales, declarado como tal |
| Grúa de producción, A5-A6, 10-50 t | 20-25 años | 8-10 años, con una ruta documentada de actualización del controlador |
| Grúa pesada o de proceso, A7-A8, 50-100 t | 25-30 años | 10 años, más una ventana contractual de migración |
| Grúa solo con radiomando, sin red | 15-20 años | Periodo de soporte fijado por el equipo radioeléctrico, a menudo 5-7 años |
Esos rangos de periodo son nuestras propias hipótesis de planificación a partir de registros de servicio chinos y europeos, no una estadística publicada. El mínimo de cinco años es ley; todo lo que esté por encima es una decisión comercial que conviene tomar con el comprador antes del pedido, porque es mucho más barato prometer diez años con una hoja de ruta del controlador que discutirlo en el sexto año.
El requisito de documentación técnica es la parte que convierte el expediente CE existente de una fábrica en un documento vivo. Un expediente de grúa redactado para la antigua Directiva de Máquinas suele contener planos, cálculos, evaluación de riesgos, informes de ensayo y una declaración. Casi nunca contiene un inventario de componentes con versiones.
| Elemento | Cómo se ve en una grúa | Carencia habitual hoy |
|---|---|---|
| Descripción general y uso previsto | Capacidad, luz, clase de servicio, entorno, interfaces | Normalmente existe, rara vez menciona la interfaz de red |
| Evaluación de riesgos incluido el riesgo cibernético | Qué ocurre con el movimiento si una señal se falsifica o se reproduce | Falta. La evaluación de riesgos de seguridad se detiene en los peligros mecánicos |
| Lista de materiales de software | Cada biblioteca de terceros y versión de firmware del controlador, el HMI y la pasarela | No existe. El considerando 77 la prevé y no exige que sea pública |
| Proceso de gestión de vulnerabilidades | Quién recibe un informe, quién lo clasifica, cómo llega una corrección a una grúa en España | Falta, y es la cláusula que probará el departamento de TI del comprador |
| Mecanismo de actualización seguro | Firmware firmado, reversión y una vía que funcione sin conexión a internet | Normalmente un lápiz USB y un correo, sin documentar |
| Política de divulgación coordinada y contacto | Un contacto de seguridad público, no un buzón de ventas | Falta, y es el elemento más barato de corregir de la lista |
Merece la pena decir dos cosas con claridad sobre la SBOM. Primera, el reglamento no le obliga a publicarla. El considerando 77 dice que los fabricantes «no deben estar obligados a hacer pública la SBOM». Segunda, es inútil si se compila una sola vez. El valor está en poder responder, en un día, si una biblioteca revelada la semana pasada está dentro del firmware de su controlador. Eso es una base de datos, no un PDF.
Los tres, de formas distintas, y el importador carga con más de lo que supone la mayoría de los proveedores chinos. Según el CRA, el importador es la entidad de la UE que introduce en el mercado un producto que lleva el nombre de un fabricante no comunitario. Debe verificar que el fabricante cumplió los requisitos esenciales de ciberseguridad y dispone de procesos de gestión de vulnerabilidades, que se realizó la evaluación de la conformidad, que existe la documentación técnica y que se ha colocado la marca CE. Un importador que no hace esto no es un canal pasivo; es una parte responsable.
El fabricante puede designar un representante autorizado dentro de la Unión mediante mandato escrito para realizar tareas determinadas. Es opcional y no sustituye las obligaciones del propio fabricante, pero es el mecanismo que hace sobrevivible una obligación de notificación de 24 horas para una empresa cuyos ingenieros duermen cuando Europa está despierta.
| Rol | Deber principal según el CRA | Dónde suele romperse |
|---|---|---|
| Fabricante | Diseño, evaluación de la conformidad, CE, documentación, periodo de soporte, gestión de vulnerabilidades, notificación en 24 horas | Ningún proceso que sobreviva a un fin de semana |
| Representante autorizado | Tareas enumeradas en un mandato escrito, normalmente enlace con la autoridad y custodia de la documentación | Mandato firmado pero sin capacidad técnica detrás |
| Importador | Verificar el cumplimiento, la CE, la documentación y el proceso de vulnerabilidades del fabricante antes de introducir el producto en el mercado | Trata la grúa como cualquier otra máquina y solo pide un certificado CE |
| Distribuidor | Comprobar la CE y la declaración antes de poner el producto a disposición, actuar si no es conforme | Guarda un PDF, nunca comprueba la versión |
Las sanciones explican por qué los importadores empiezan a preguntar. El artículo 64 fija multas administrativas de hasta 15.000.000 EUR o el 2,5 % del volumen de negocios anual total mundial, la cifra que sea mayor, por incumplir los requisitos esenciales de ciberseguridad y las obligaciones del fabricante. Los fallos de documentación y de procedimiento se sitúan en 10.000.000 EUR o el 2 %. Facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad de vigilancia del mercado se sitúa en 5.000.000 EUR o el 1 %.
| Infracción | Multa administrativa máxima |
|---|---|
| Requisitos esenciales de ciberseguridad, obligaciones del fabricante | 15.000.000 EUR o el 2,5 % del volumen de negocios anual mundial, la cifra que sea mayor |
| Obligaciones del importador, del distribuidor y otras de procedimiento | 10.000.000 EUR o el 2 % del volumen de negocios anual mundial, la cifra que sea mayor |
| Información incorrecta, incompleta o engañosa a las autoridades | 5.000.000 EUR o el 1 % del volumen de negocios anual mundial, la cifra que sea mayor |
Para un fabricante mediano de grúas la rama porcentual rara vez muerde. La rama de 15 millones de EUR no tiene en cuenta su plantilla, y que le ordenen retirar un modelo del mercado de la UE cuesta más que cualquier multa.
Los sistemas de control industrial no son un objetivo teórico. Solo el flujo de divulgaciones cuenta una historia: el número de avisos industriales publicados no deja de crecer, y la gravedad crece con él.
| Medida | Valor | Fuente |
|---|---|---|
| Avisos ICS publicados en 2025 | 508, que cubren 2.155 CVE (primer año por encima de 500) | Forescout Research, febrero de 2026, sobre datos de CISA |
| CVSS medio de esos avisos | 8,07, un 25 % más que 6,44 en 2010; 82 % altos o críticos | Forescout Research, febrero de 2026 |
| Avisos acumulados desde 2010 | 3.637 avisos, 12.174 vulnerabilidades, 2.783 productos, 689 proveedores | Forescout Research, febrero de 2026 |
| Dispositivos OT con vulnerabilidades conocidas y explotadas | 12 % de más de 940.000 dispositivos en 270 organizaciones | Claroty Team82, State of CPS Security 2025 |
| Organizaciones con esos dispositivos expuestos a internet | 40 %, que baja al 31 % en el subconjunto donde la vulnerabilidad está ligada a ransomware | Claroty Team82, State of CPS Security 2025 |
| Crecimiento del ransomware en la industria manufacturera, 2024 a 2025 | 61 %, el mayor aumento de cualquier sector crítico | Claroty, 31 de octubre de 2025 |
Lea la cuarta y la quinta fila juntas. Aproximadamente cuatro de cada diez plantas encuestadas tenían acceso remoto inseguro sobre activos que ya arrastraban una vulnerabilidad conocida y explotada. Esa es exactamente la disposición que crea una pasarela de diagnóstico atornillada a una grúa para que la fábrica pueda ayudar al cliente sin enviar a un ingeniero. La pasarela no es el problema. La pasarela con una contraseña compartida y sin vía de actualización sí lo es.
Los radiomandos llegaron primero a esta fiesta. El Reglamento Delegado (UE) 2022/30 de la Comisión hizo obligatorios los requisitos esenciales de ciberseguridad del artículo 3(3)(d), (e) y (f) de la Directiva de Equipos Radioeléctricos para las categorías de equipos radioeléctricos enumeradas desde el 1 de agosto de 2025. Un par emisor-receptor de grúa es equipo radioeléctrico, así que toda unidad de mano enviada a la UE desde esa fecha entra dentro.
Las normas armonizadas son la EN 18031-1:2024 para equipos radioeléctricos conectados a internet y la EN 18031-2:2024 para equipos que tratan datos personales. Están citadas en el Diario Oficial con restricciones, y una restricción es inusualmente concreta. La cita en la Decisión de Ejecución (UE) 2025/138 lleva un aviso de que la EN 18031-1 no confiere presunción de conformidad si, al aplicar sus cláusulas 6.2.5.1 y 6.2.5.2, «se permite al usuario no establecer ni utilizar ninguna contraseña».
Esa única frase descalifica mucho hardware. Un emisor entregado con un código de emparejamiento fijo y sin exigencia de establecer una contraseña no puede apoyarse en la norma armonizada. No convierte automáticamente el producto en ilegal, pero le quita la vía más fácil para demostrar la conformidad, y el departamento de cumplimiento del comprador lo encontrará.
| Clase de ataque contra un radiomando industrial | Qué hace el atacante | Pregunta que hacer al proveedor |
|---|---|---|
| Captura y repetición | Graba un telegrama válido y lo retransmite más tarde para hacer mover la grúa | ¿Está cifrado el enlace y están los telegramas protegidos contra repetición con un contador o una marca de tiempo? |
| Inyección de comandos | Decodifica la estructura del telegrama y sustituye un comando por otro | ¿Hay autenticación de mensajes sobre la carga del comando, y no solo sobre la dirección? |
| Reprogramación maliciosa | Reescribe la correspondencia entre un elemento de mando y una salida de la máquina | ¿Puede escribirse el firmware sin una imagen firmada y un paso de servicio físico? |
| Reemparejamiento malicioso | Emula el emisor original para que el receptor acepte uno nuevo | ¿El emparejamiento exige acceso físico al receptor y una clave autorizada? |
Las cuatro clases de ataque anteriores son la taxonomía que utiliza HBC-radiomatic en su libro blanco publicado sobre seguridad en radiomandos industriales, que además señala que la empresa ofrece transmisión por radio totalmente cifrada desde hace más de una década y somete los sistemas a pruebas de penetración externas cuando es viable. Ese es el estándar con el que trabaja hoy un proveedor serio. También es una referencia razonable para un comprador que compara un mando europeo con uno más barato: la pregunta no es si la ficha técnica dice «cifrado», sino cuál de las cuatro clases está cerrada y cómo lo demostraría.
La IEC 62443 es la respuesta industrial a «cómo demuestro que lo hice bien», y no sustituye al marcado CE. Es una certificación de su proceso de desarrollo y de los requisitos técnicos de seguridad de su producto. El expediente CE sigue teniendo que existir.
Tres partes importan a un fabricante de grúas: la 4-1 para el ciclo de vida de desarrollo seguro, la 4-2 para los requisitos técnicos de seguridad del componente y la 3-3 para el sistema. Las tarifas de esquema y los rangos de evaluación publicados en 2026 dan un orden de magnitud utilizable.
| Qué se certifica | Norma | Tarifa de esquema | Evaluación, rango típico |
|---|---|---|---|
| Ciclo de vida de desarrollo seguro | 62443-4-1 | USD 1.500 al año | 15.000-35.000 EUR en nivel de madurez 2 |
| Componente | 62443-4-2 | USD 1.200 por componente o 1.500 por familia, al año | 25.000-50.000 EUR además de un proceso 4-1 certificado |
| Sistema | 62443-3-3 | USD 1.200 al año | 30.000-50.000 EUR |
| Primera certificación de dispositivo, todo incluido | Esquema ISASecure | Incluido arriba | USD 50.000-75.000, según las propias preguntas frecuentes del esquema |
Las normas en sí son la línea más barata y la que más a menudo se omite. La IEC vende cada parte por separado: la 62443-4-1 cuesta CHF 335 y la 62443-4-2 CHF 405, así que el conjunto mínimo de un proveedor de producto son CHF 740. El conjunto completo necesario para entender a qué va a someter una planta a sus proveedores de servicio está por debajo de CHF 3.000. Comprar la norma sale más barato que pagar a un consultor para que se la resuma.
Hay una segunda vía que importa específicamente para el Reglamento de Máquinas. La certificación bajo un esquema de ciberseguridad adoptado en virtud del Reglamento (UE) 2019/881 otorga presunción de conformidad con las secciones 1.1.9 y 1.2.1 del Anexo III del RM. El esquema actual es el EUCC, establecido por el Reglamento de Ejecución (UE) 2024/482, aplicable desde el 27 de febrero de 2025, con dos niveles de garantía, «sustancial» y «alto». El EUCC no permite la autoevaluación. Para un fabricante de grúas que quiera un certificado que sirva a las dos leyes, ese es el mecanismo, y se tarifa como un proyecto serio y no como una revisión de documentos.
Nadie en este sector publica una cifra por unidad, así que aquí está la nuestra. Las cifras siguientes son estimaciones de planificación de SIEC para una gama de tres modelos de grúas controladas por PLC, elaboradas a partir de nuestras propias cotizaciones de trabajos de ensayo y documentación. No son una estadística publicada y variarán con el alcance del sistema de control.
| Paquete de trabajo | Primer año | Recurrente |
|---|---|---|
| Modelo de amenazas y evaluación de riesgo cibernético añadidos al expediente de seguridad | 5-8 días de ingeniero | 1-2 días por cambio de modelo |
| Construcción y actualización de la SBOM del controlador, el HMI y la pasarela | 4-6 días | 1-2 días por trimestre |
| Prueba de penetración externa de la pasarela y el enlace de radio | 8.000-15.000 EUR | 8.000-15.000 EUR cada 2-3 años |
| Documentación, declaración de conformidad, actualización del manual de instrucciones | 3-5 días | 1-2 días al año |
| Gestión de vulnerabilidades y obligación de notificación en 24 horas | Implantación del proceso, 3-4 días | 4-8 días al año más cobertura de guardia |
| Opcional: certificación EUCC o IEC 62443-4-2 | 40.000-90.000 EUR | Tarifas de esquema más auditoría de vigilancia |
| Total sin certificación de terceros | 25.000-55.000 EUR | 10.000-25.000 EUR al año |
Amortizado sobre la producción, el panorama cambia por completo. Con cuarenta grúas al año, el coste del primer año es de 625 a 1.375 EUR por unidad. Con ocho grúas al año es de 3.100 a 6.900 EUR por unidad, el mismo orden que el flete de una sola máquina de 20 toneladas. La cifra recurrente es la que decide si un fabricante pequeño puede mantenerse en el segmento: 10.000 a 25.000 EUR al año no se reducen con el volumen, así que el coste fijo por grúa sube a medida que se encoge la cartera de pedidos.
La línea que la gente subestima es la obligación de notificación. Un reloj de 24 horas significa que alguien tiene que ser localizable a las 3 de la mañana, hora europea, desde Zhejiang. En la práctica eso significa un socio de servicio europeo con un proceso de incidentes, o un turno de guardia. Ambos cuestan dinero, y ninguno aparece en una cotización.
Los compradores que entienden los dos regímenes redactan órdenes de compra distintas de los que no. Estas son las cláusulas que vemos ahora en las consultas europeas y las que pondríamos si estuviéramos del lado comprador.
| Cláusula | Redacción que funciona |
|---|---|
| 1. Inventario | Enumerar cada producto con elementos digitales de la grúa, con marca, modelo y versión de firmware |
| 2. Declaraciones | Aportar la declaración CE de conformidad de cada elemento de terceros, o declarar por escrito que no existe |
| 3. Periodo de soporte | Indicar la fecha de fin de soporte en el manual de instrucciones y nombrar a la persona responsable |
| 4. Acceso remoto | Conexión solo saliente, sin puerto entrante, credenciales por emplazamiento, sin cuenta de servicio compartida |
| 5. Enlace de radio | Transmisión cifrada, contador de repetición, contraseña obligatoria en el primer uso, paso de emparejamiento físico |
| 6. Actualizaciones | Firmware firmado, vía de actualización offline documentada, procedimiento de reversión |
| 7. SBOM | Entregar a petición en cinco días hábiles, bajo NDA, actualizada en cada versión de firmware |
| 8. Notificación | Avisar al comprador en 24 horas desde el conocimiento de una vulnerabilidad explotada activamente que afecte a la grúa |
| 9. Escalado | Contacto de seguridad nominado con tiempo de respuesta, no una dirección general de ventas |
| 10. Control de cambios | Cualquier sustitución de un controlador, HMI o pasarela requiere aprobación escrita y un expediente actualizado |
La cláusula 10 es la que protege al comprador del fallo real más común. Se cambia un controlador en la fábrica por un retraso de suministro, nadie actualiza la documentación, y dieciocho meses después la grúa en planta ya no coincide con el expediente declarado. Según el Reglamento de Máquinas eso es un problema de conformidad. Según el CRA es un fallo de documentación que se sitúa en el tramo de 10 millones de EUR.
Los pedidos que se hacen ahora caen en la ventana en la que los dos regímenes se solapan, y la secuencia importa más que el papeleo.
| Etapa | Momento | Qué tiene que estar listo |
|---|---|---|
| Pedido y congelación del diseño | T4 de 2026 a T1 de 2027 | Inventario de componentes y declaraciones de proveedores fijados con el pedido, no después |
| Aplicación del Reglamento de Máquinas | 20 de enero de 2027 | Evidencia de la sección 1.1.9 del Anexo III: arquitectura de conectividad, intervenciones registradas, software de seguridad protegido |
| Obligación de notificación del CRA sobre la flota existente | Ya en vigor desde el 11 de septiembre de 2026 | Un contacto nominado y un proceso escrito de clasificación para cada grúa conectada que ya esté en la UE |
| Obligaciones principales del CRA | 11 de diciembre de 2027 | Evaluación de la conformidad del CRA, declaración, CE, SBOM, periodo de soporte declarado |
| Primer ciclo de auditoría del CRA | 2028 | Pruebas de que el proceso de vulnerabilidades se ejecutó de verdad, no solo de que se escribió |
La consecuencia práctica es que una grúa entregada en el segundo semestre de 2027 tiene que cumplir el Reglamento de Máquinas en la entrega y estará dentro del régimen del CRA en pocos meses. Diseñar el expediente una vez, para ambos, es más barato que adaptar uno dentro del otro. El sistema de control es donde se solapan: la 1.1.9 pregunta si una intervención puede corromper una función de seguridad, y el CRA pregunta si usted puede enterarse y corregirlo.
El cumplimiento cibernético de grúas no es un truco europeo para mantener fuera a las grúas chinas. Es una ley de documentación y de procesos, y una fábrica que ya construye un expediente CE en condiciones está más cerca del cumplimiento de lo que sugiere el plazo. Lo que sí castiga es la disposición en la que se apoya actualmente la mayoría de los exportadores: un PLC y una pasarela de terceros, una contraseña compartida, una vía de actualización sin documentar y nadie que se haga cargo de la pregunta.
La obligación de notificar es la parte que hay que arreglar primero, porque ya está en vigor y montarla bien cuesta casi nada. Un contacto nominado, un breve proceso escrito de clasificación y una regla de que cualquier aviso de un cliente sobre un comportamiento anómalo de la grúa llegue a ese contacto en la hora siguiente. Eso es una semana de trabajo. La alternativa es descubrir la obligación en medio de un incidente, con un reloj de 24 horas ya en marcha y un importador preguntando por qué no se le avisó.
Sí, si alguna de sus partes es un producto con elementos digitales que se conecta directa o indirectamente a otro dispositivo. Una grúa con un PLC y un HMI en una red local, sin ruta a internet, sigue dentro del ámbito. El reglamento cubre también la conexión indirecta, y el portátil de un técnico enchufado al armario es una conexión. Lo que cambia sin acceso a internet es el riesgo práctico, no el ámbito legal.
No. Si la grúa lleva su nombre o su marca comercial, usted es el fabricante según el CRA, y la obligación de notificar es suya. Su distribuidor es un importador si introduce el producto en el mercado, lo que le impone deberes de verificación, pero no transfiere sus obligaciones. Poner su marca en la máquina y el nombre de su distribuidor en el papeleo no mueve la responsabilidad.
El radiomando es equipo radioeléctrico y también un producto con elementos digitales. Los requisitos de ciberseguridad de la Directiva de Equipos Radioeléctricos se aplican desde el 1 de agosto de 2025 mediante el Reglamento Delegado 2022/30, con las normas armonizadas EN 18031-1 y EN 18031-2. El CRA añade una capa horizontal separada que cubre todo el producto y su ciclo de vida. No dé por hecho que un certificado cierra el otro; la guía de la Comisión sobre la combinación de instrumentos es que el fabricante debe demostrar las sinergias.
Aun así notifica. El plazo de 72 horas es para la notificación completa, no para la corrección. El informe final sobre una vulnerabilidad explotada activamente vence como muy tarde 14 días después de que exista una medida correctiva, que es otro reloj distinto y reconoce que una corrección lleva más tiempo que una notificación. Lo que no debe hacer es esperar a la corrección antes de avisar a nadie.
No. La IEC 62443 no está referenciada como norma armonizada que otorgue presunción automática de conformidad bajo el CRA. Lo que sí establece el Reglamento de Máquinas es que la certificación bajo un esquema adoptado en virtud del Reglamento (UE) 2019/881 otorga presunción de conformidad con las secciones 1.1.9 y 1.2.1 del Anexo III. La IEC 62443 es la vía práctica para construir el proceso, y un comprador puede exigirla, pero no es la puerta legal. Para un polipasto vendido como producto separado, se aplica la misma lógica a su propio controlador y su propia declaración.
Sí. La Comisión declaró el 11 de septiembre de 2026 que las obligaciones de notificación se aplican a todos los productos con elementos digitales puestos a disposición en la UE, incluidos los que ya están en el mercado. La obligación recae en el fabricante, no en la fecha de venta. En la práctica, la mayoría de las grúas de 2018 no tienen conexión remota ni forma de que usted se entere de una vulnerabilidad explotada, lo que es un argumento para documentar ese hecho en lugar de suponer que la pregunta no se hará.
Artículos relacionados:
Alcance del CBAM para grúas: qué significa el trílogo de octubre para los compradores desde 2028
Normas europeas de grúas en 2026: prEN 15011, el Reglamento de Máquinas y qué cambia
Automatización y operación remota de grúas en 2026: qué recibe realmente el comprador
Modernización frente a sustitución de grúas en 2026: coste, paradas y cumplimiento
Repuestos, redes de servicio y disponibilidad: qué determina realmente el tiempo de recuperación
Grúas especiales: máquinas con cuchara, para prefabricados, decapado y sala blanca