Aplicación del Reglamento CRA en los Estados de la UE
El Reglamento CRA se aplica directamente en todos los Estados miembros y no tiene que transponerse. No obstante, cada Estado debe adoptar algunas medidas nacionales: designar las autoridades de vigilancia del mercado y la autoridad que notifica los organismos de evaluación de la conformidad, fijar las sanciones y organizar el CSIRT que recibe las notificaciones. Para cada Estado miembro: el acto nacional (o el proyecto), las autoridades designadas y el enlace a la fuente.
Desde el 11 de septiembre de 2026, las vulnerabilidades y los incidentes se notifican a través de la plataforma única de ENISA al CSIRT designado como coordinador con arreglo a la Directiva SRI 2, también en los Estados que aún no han adoptado medidas propias.
Medidas en vigor: 3 · Medidas parciales en vigor: 2 · Proyecto en el parlamento: 3 · Texto en preparación: 6 · Ninguna medida identificada: 13 · Descargar la tabla (CSV)
Gesetz zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung) Ley de aplicación del Reglamento (UE) 2024/2847 de Ciberresiliencia BT-Drs. 21/6134 Fuente oficial (se abre en una pestaña nueva)
Vigilancia del mercado, autoridad notificante y CSIRT para las notificaciones: Oficina Federal de Seguridad de la Información (BSI).
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · Proyecto de ley del Gobierno presentado el 26 de mayo de 2026 y aprobado por el Bundestag el 15 de octubre de 2026, modificado solo en cuanto a la entrada en vigor (recomendación de la Comisión de Interior, BT-Drs. 21/8622); faltan el paso por el Bundesrat, cuya próxima sesión plenaria está fijada para el 20 de noviembre de 2026, y la promulgación. Modifica la ley del BSI (BSIG) y regula el procedimiento sancionador. Las disposiciones sobre la notificación de organismos y sobre las notificaciones de los fabricantes entran en vigor al día siguiente de la promulgación, porque las referencias al 11 de junio y al 11 de septiembre de 2026 han quedado superadas; el resto, incluida la vigilancia del mercado, desde el 11 de diciembre de 2027.
Autoridad notificante: Cancillería Federal (Bundeskanzleramt). Vigilancia del mercado: por designar.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · La Cancillería Federal indica que la autoridad notificante está adscrita a ella y que las demás competencias se fijarán en los próximos meses con normas de aplicación; aún no se ha publicado ningún proyecto de ley.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
Návrh zákona o požadavcích na kybernetickou bezpečnost výrobků s digitálními prvky Proyecto de ley sobre requisitos de ciberseguridad de los productos con elementos digitales Fuente oficial (se abre en una pestaña nueva)
Autoridad notificante y notificaciones: NÚKIB. Vigilancia del mercado: autoridades sectoriales ya existentes (por ejemplo, la Inspección Comercial Checa).
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El Ministerio de Industria y Comercio sometió el borrador a consulta interministerial el 3 de julio de 2026. Establece las infracciones de los operadores económicos y de los organismos notificados, con multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial, y se aplicaría en su mayor parte a partir del 11 de diciembre de 2027.
Autoridad notificante y, en el futuro, vigilancia del mercado: Autoridad de Seguridad Digital (adscrita al Comisionado de Comunicaciones), según el Comisionado. Notificaciones: CSIRT nacional de la Autoridad.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · En un artículo publicado el 23 de septiembre de 2026 en el sitio de la Autoridad de Seguridad Digital, el Comisionado de Comunicaciones indicó que la Autoridad ejerce como autoridad notificante y ejercerá como autoridad de vigilancia del mercado, mientras que su CSIRT nacional recibe las notificaciones de los fabricantes. No se ha identificado ningún acto publicado que establezca estas competencias o las sanciones.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún acto de aplicación. El Centro Nacional de Ciberseguridad (NCSC-HR) ha indicado que es el CSIRT coordinador para las notificaciones.
Udkast til forslag til lov om supplerende bestemmelser til forordningen om cyberrobusthed Proyecto de ley de disposiciones complementarias al Reglamento de Ciberresiliencia Fuente oficial (se abre en una pestaña nueva)
Según el proyecto: notificación, vigilancia del mercado y coordinación nacional a cargo de la Styrelsen for Samfundssikkerhed (Agencia Danesa de Resiliencia); las autoridades de vigilancia de la IA para los productos que son sistemas de IA de alto riesgo; el DANAK evalúa a los organismos de evaluación de la conformidad. Notificaciones: CSIRT nacional (Centro de Ciberseguridad).
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El Ministerio de Resiliencia y Preparación sometió el proyecto a consulta pública del 5 de octubre al 2 de noviembre de 2026. Prevé multas por los incumplimientos del reglamento, responsabilidad penal de las personas jurídicas y un plazo de prescripción de cinco años; la entrada en vigor propuesta es el 1 de marzo de 2027, pero las normas sobre vigilancia del mercado y sanciones se aplicarían desde el 11 de diciembre de 2027.
Zákon, ktorým sa mení a dopĺňa zákon č. 56/2018 Z. z. o posudzovaní zhody výrobku, sprístupňovaní určeného výrobku na trhu a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony Ley que modifica la Ley n.º 56/2018 sobre la evaluación de la conformidad de los productos y otras leyes 318/2025 Z. z. Fuente oficial (se abre en una pestaña nueva)
Vigilancia del mercado: Oficina de Seguridad Nacional (NBÚ), desde el 1 de enero de 2026. La Oficina de Normalización, Metrología y Ensayos (ÚNMS) puede sancionar a los organismos notificados.
1 de enero de 2026
11 etapas, 6 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
21 de octubre de 2025 · Adopción del acto nacional Nacional (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
1 de enero de 2026 · Entrada en vigor del acto nacional Nacional (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · La Ley n.º 318/2025, en vigor desde el 1 de enero de 2026, designó a la NBÚ como autoridad de vigilancia del mercado para los productos con elementos digitales y permite a la ÚNMS sancionar a los organismos notificados conforme al artículo 64 del CRA. La ley general sobre la ciberseguridad de los productos con elementos digitales (UV-23199/2026), aprobada por el Gobierno, fue remitida a segunda lectura por el Consejo Nacional el 17 de septiembre de 2026 y se aplicaría desde el 1 de enero de 2027.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · Según la Oficina Gubernamental de Seguridad de la Información (URSIV), se está preparando un decreto del Gobierno; el texto aún no es público. Fuente secundaria.
Proyecto de Real Decreto por el que se designa a la autoridad notificante y a la autoridad de vigilancia del mercado para los productos con elementos digitales Fuente oficial (se abre en una pestaña nueva)
Según el proyecto: autoridad notificante, el Centro Criptológico Nacional (CCN); vigilancia del mercado, la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (SETID), con INCIBE como laboratorio técnico de apoyo; oficina de enlace única, la Dirección General de Consumo.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El proyecto de real decreto del Ministerio para la Transformación Digital estuvo en audiencia pública hasta el 23 de enero de 2026 y recibió el informe de la CNMC el 13 de mayo de 2026; entraría en vigor el día siguiente al de su publicación en el BOE. No regula las sanciones. A finales de octubre de 2026 aún no se ha aprobado.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
Vigilancia del mercado, autoridad notificante y notificaciones: Traficom (Centro Nacional de Ciberseguridad NCSC-FI).
1 de junio de 2026
10 etapas, 5 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
1 de junio de 2026 · Entrada en vigor del acto nacional Nacional (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Notas · Primer Estado miembro con una ley de aplicación completa. Prevé multas administrativas de hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial; los incumplimientos de las obligaciones de notificación se sancionan desde el 11 de septiembre de 2026.
Autoridad notificante y CSIRT: ANSSI. Vigilancia del mercado: ANFR con el apoyo técnico de la ANSSI, según el ministerio (aún no fijada por un acto).
12 de octubre de 2026
11 etapas, 6 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
9 de octubre de 2026 · Adopción del acto nacional Nacional (pasada)
12 de octubre de 2026 · Entrada en vigor del acto nacional Nacional (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El decreto solo regula el procedimiento de notificación de los organismos de evaluación de la conformidad, encomendado a la ANSSI. Faltan aún las normas sobre vigilancia del mercado y sanciones.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
2025. évi CXXXV. törvény az Európai Unió kiberrezilienciáról szóló rendeletének magyarországi végrehajtásáról és egyes kiberbiztonsági rendelkezések módosításáról Ley CXXXV de 2025 sobre la aplicación en Hungría del Reglamento de la UE de Ciberresiliencia y por la que se modifican determinadas disposiciones de ciberseguridad Magyar Közlöny 2025/158 Fuente oficial (se abre en una pestaña nueva) · Ficha en la base de datos
Vigilancia del mercado y autoridad notificante: Autoridad de Supervisión de Actividades Reguladas (SZTFH).
6 de enero de 2026
11 etapas, 6 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
10 de diciembre de 2025 · Adopción del acto nacional Nacional (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
6 de enero de 2026 · Entrada en vigor del acto nacional Nacional (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Notas · Ley de aplicación que también modifica la ley de ciberseguridad (Ley LXIX de 2024), en vigor desde el 6 de enero de 2026. Las normas sobre la notificación de organismos se aplican desde el 11 de junio de 2026 y las de vigilancia del mercado y multas desde el 11 de diciembre de 2027 (multas desde 500.000 forintos hasta los máximos del reglamento, es decir, 15 millones de euros o el 2,5 % del volumen de negocios mundial; sin multas para los organismos públicos financiados por el presupuesto).
Notificaciones: National Cyber Security Centre (NCSC). Vigilancia del mercado y autoridad notificante: por designar.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El 11 de septiembre de 2026 el NCSC publicó directrices nacionales sobre las notificaciones. Aún no hay proyecto de ley; la estrategia nacional 2030 prevé la ley sobre autoridades y sanciones antes de que acabe 2027.
Schema di decreto legislativo recante disposizioni per l'adeguamento della normativa nazionale al regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza) Proyecto de decreto legislativo de adaptación al Reglamento (UE) 2024/2847 de Ciberresiliencia Atto del Governo n. 447 Fuente oficial (se abre en una pestaña nueva)
Según el proyecto: autoridad notificante y de vigilancia del mercado es la Agencia para la Ciberseguridad Nacional (ACN), que puede apoyarse en la Guardia di Finanza; el organismo nacional de acreditación evalúa y controla los organismos de evaluación de la conformidad; las autoridades de IA para los productos que también son sistemas de IA de alto riesgo; Banca d'Italia, CONSOB e IVASS para las entidades que supervisan; el Garante de protección de datos en su ámbito. Notificaciones de los consumidores: CSIRT Italia.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · Proyecto de decreto legislativo en ejercicio de la delegación del artículo 15 de la ley de delegación europea 2025 (Ley n.º 36, de 17 de marzo de 2026). Aprobado en examen preliminar por el Consejo de Ministros el 2 de octubre de 2026 y remitido a las Cámaras el 9 de octubre de 2026; en la Cámara de Diputados lo examinan las comisiones conjuntas de Asuntos Constitucionales y de Transportes, que deben emitir su dictamen antes del 18 de noviembre de 2026. Después volverá al Consejo de Ministros para su aprobación definitiva. Cada autoridad aplicará las sanciones del reglamento con sus propios procedimientos, los consumidores podrán notificar vulnerabilidades e incidentes directamente al CSIRT Italia y las infracciones podrán ser objeto de acciones de representación.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún acto de aplicación. CERT.LV ha publicado orientaciones para los fabricantes y tramita las notificaciones.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
Autoridad notificante: Malta Digital Innovation Authority (MDIA), con la evaluación y el control de los organismos encomendados al National Accreditation Board. Vigilancia del mercado (desde el 11 de diciembre de 2027): MDIA. CSIRT coordinador (desde el 11 de diciembre de 2027): el CSIRT nacional (CSIRTMalta, dentro de MITA).
–
10 etapas, 5 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de septiembre de 2026 · Publicación del acto nacional Nacional (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Notas · Reglamento publicado en la Gaceta Oficial n.º 21.717 de 11 de septiembre de 2026 e incorporado a la legislación subsidiaria como S.L. 591.06. La designación de la autoridad notificante (reglamento 8) se aplica desde la publicación; las normas sobre competencias, evaluación de las normas armonizadas, marcado CE, apoyo a las pequeñas empresas, espacios controlados de pruebas, vigilancia del mercado, CSIRT coordinador y sanciones administrativas (reglamentos 3 a 7 y 9 a 12) se aplican desde el 11 de diciembre de 2027. Sanciones conforme a la ley de la MDIA (cap. 591).
Vigilancia del mercado y autoridad notificante: Inspección Nacional de Infraestructuras Digitales (RDI).
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · Presentado el 18 de diciembre de 2025 y aprobado por la Cámara de Representantes el 10 de septiembre de 2026; en el Senado, las comisiones de Digitalización y de Asuntos Económicos presentaron sus observaciones el 27 de octubre de 2026 y el informe está en preparación. La entrada en vigor se fijará por real decreto, posiblemente por partes.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las orientaciones del Gobierno señalan a CERT Polska (CSIRT NASK) como coordinador para las notificaciones de vulnerabilidades.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · No se ha identificado ningún proyecto de ley de aplicación. Las notificaciones de los fabricantes se dirigen al CSIRT coordinador designado con arreglo a la Directiva SRI 2.
Kompletterande bestämmelser till EU:s cyberresiliensförordning (SOU 2025:115) Disposiciones complementarias al Reglamento de Ciberresiliencia de la UE (SOU 2025:115) Fuente oficial (se abre en una pestaña nueva)
Vigilancia del mercado y autoridad notificante: las designa el Gobierno; la comisión de investigación formula propuestas en su informe.
–
9 etapas, 4 ya pasadas
10 de diciembre de 2024 · Entrada en vigor del reglamento UE (pasada)
11 de diciembre de 2025 · Plazo del acto de ejecución sobre las categorías de productos importantes y críticos (adoptado como Reglamento 2025/2392) UE (pasada)
11 de junio de 2026 · Se aplican las normas sobre organismos de evaluación de la conformidad UE (pasada)
11 de septiembre de 2026 · Obligación de notificar vulnerabilidades explotadas e incidentes graves a través de la plataforma única de la ENISA UE (pasada)
11 de diciembre de 2026 · Los Estados miembros procuran contar con un número suficiente de organismos notificados UE (próxima)
11 de diciembre de 2027 · El reglamento se aplica en su totalidad UE (próxima)
11 de junio de 2028 · Expiran los certificados de examen UE de tipo expedidos sobre ciberseguridad con arreglo a otros actos de la UE UE (próxima)
11 de septiembre de 2028 · Informe de la Comisión sobre la eficacia de la plataforma única de notificación UE (próxima)
11 de diciembre de 2030 · Primer informe de evaluación y revisión del reglamento (después cada cuatro años) UE (próxima)
Medidas nacionales de aplicación aún no completas
Notas · El informe de la comisión de investigación (diciembre de 2025) propone una nueva ley y una nueva ordenanza, con sanciones aplicables también a las autoridades públicas. La consulta terminó el 22 de abril de 2026; aún no hay proyecto del Gobierno ante el Riksdag.
Datos verificados en las fuentes oficiales el 29 de octubre de 2026. Prevalece siempre el texto publicado en el diario oficial de cada Estado.