El CRA pide saber de qué está hecho tu producto.
Para quien fabrica, importa o integra productos con elementos digitales: HodeiShield ingiere el SBOM de proveedores o de un activo propio, lo cruza con CVE y te alerta por componente. No sustituye tu documentación técnica ni tu notificación.
- SBOM solo en JSON (CycloneDX o SPDX), con subida autenticada
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué exige el CRA, en breve
El CRA fija requisitos de ciberseguridad para productos con elementos digitales durante todo su ciclo de vida.
Resumen informativo, no asesoramiento jurídico. Si tu producto entra en el ámbito y en qué categoría depende del texto oficial.
- Saber de qué está hecho
- El fabricante identifica y documenta las vulnerabilidades y los componentes del producto, incluida una lista de materiales de software (SBOM) en un formato de uso común y legible por máquina (anexo I, parte II).
- Diligencia con componentes de terceros
- Quien integra componentes de terceros debe actuar con la diligencia debida para que no comprometan la ciberseguridad del producto (artículo 13).
- Corregir y notificar
- Las vulnerabilidades se corrigen sin demora, también con actualizaciones de seguridad (anexo I, parte II). Las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto se notifican a la vez al CSIRT coordinador y a ENISA, por la plataforma única, con una alerta temprana en 24 horas (artículo 14).
- Documentar y marcar
- Documentación técnica, evaluación de conformidad y marcado CE según la categoría del producto. Un servicio en la nube por sí solo (SaaS) queda en principio fuera de su ámbito, pero el tratamiento remoto que un producto necesita para funcionar forma parte de ese producto (artículo 3, punto 2, y considerandos 11 y 12).
Del SBOM a la evidencia de componentes
Los pasos que cubre la plataforma y los que siguen siendo tuyos.
1
No cubreObtener el SBOM
Lo genera tu build o te lo entrega el proveedor. HodeiShield no lo genera a partir del código.
2
DirectoSubida autenticada
SBOM en JSON CycloneDX o SPDX, asociado a un proveedor o a un activo propio.
3
DirectoCruce con CVE
Los componentes se contrastan con OSV.dev y con la sincronización diaria de CVE y CISA KEV.
4
DirectoAlerta por componente
La CVE que afecta a un componente se convierte en una alerta ligada al proveedor, enrutada a tus destinos.
5
DirectoInventario y descarga
Los componentes y su estado frente a CVE quedan consultables por proveedor, y el SBOM original se puede descargar.
6
No cubreLo que queda de tu lado
Documentación técnica y notificación CRA: corregir, notificar a ENISA o al CSIRT y mantener el expediente.
El SBOM no se atesta: el Trust Center no firma su contenido.
De cada obligación del CRA a una capacidad de HodeiShield
Con la fase del ciclo y el alcance real de cada una.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Identificar y documentar los componentes, incluido un SBOM
Anexo I, parte II
Qué hace HodeiShield:Ingiere y analiza el SBOM de un proveedor o de un activo propio. No lo genera a partir del código fuente.
Docs · Cadena SBOM, CVE y alerta (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Abordar las vulnerabilidades sin demora
Anexo I, parte II
Qué hace HodeiShield:Alertas por componente con CVE, KEV, probabilidad de explotación (EPSS) y radio de impacto. Las alertas se enrutan a 9 destinos y notifican o crean un ticket en tu sistema según tu regla. No es remediación.
Docs · Conectores (se abre en una pestaña nueva)FasePREDICTACTAlcanceParcial - Obligación:
Saber si una vulnerabilidad se explota activamente
Art. 14
Qué hace HodeiShield:Marca los componentes con CVE en el catálogo CISA KEV. La notificación a ENISA y al CSIRT es tuya.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Diligencia debida con los componentes de terceros
Art. 13
Qué hace HodeiShield:Cuestionarios a proveedores, escaneo externo periódico y SBOM en el mismo grafo de dependencias declaradas.
Docs · Cadena SBOM, CVE y alerta (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Reunir la evidencia de componentes
Anexo VII
Qué hace HodeiShield:Inventario de componentes de cada SBOM con su estado frente a CVE, y descarga del SBOM original. No es la documentación técnica ni la declaración UE de conformidad.
Docs · Cadena SBOM, CVE y alerta (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Política de divulgación coordinada de vulnerabilidades
Anexo I, parte II
Qué hace HodeiShield:Fuera de HodeiShield.
FaseFuera del cicloAlcanceNo cubre - Obligación:
Evaluación de conformidad, declaración UE y marcado CE
Cap. III
Qué hace HodeiShield:Fuera de HodeiShield.
FaseFuera del cicloAlcanceNo cubre
Lo que HodeiShield no hace con el CRA
Qué esperar y qué no.
No genera tu SBOM
Ingiere SBOM en JSON CycloneDX o SPDX. No los construye a partir de tu repositorio ni de tu compilación.
No notifica a ENISA ni al CSIRT
Te dice qué componentes tienen CVE y cuáles están en KEV. La notificación de vulnerabilidades explotadas e incidentes graves la haces tú.
No sustituye la documentación técnica ni el marcado CE
El inventario reúne evidencia de componentes. La evaluación de conformidad y la declaración UE siguen siendo del fabricante.
No monitoriza de forma continua
La sincronización de CVE es diaria y el cruce se hace con el SBOM que has subido. Un SBOM desactualizado da un resultado desactualizado.
Preguntas sobre el CRA
Para fabricantes, importadores e integradores.
¿Genera HodeiShield el SBOM de mi producto?
No. Ingiere SBOM en JSON CycloneDX o SPDX que subes tú o que te entrega un proveedor, los cruza con CVE y avisa por componente.
¿Qué evidencia de componentes da?
El inventario de componentes de cada SBOM con su estado frente a CVE, y la descarga del SBOM original. No es tu documentación técnica ni la declaración UE de conformidad.
¿Cuándo se aplica el CRA?
El Reglamento (UE) 2024/2847 entró en vigor el 10 de diciembre de 2024. Las normas sobre organismos de evaluación de la conformidad (capítulo IV) se aplican desde el 11 de junio de 2026; las obligaciones de notificación del fabricante (artículo 14), desde el 11 de septiembre de 2026, también a los productos comercializados antes del 11 de diciembre de 2027; y el resto, desde el 11 de diciembre de 2027 (artículos 69 y 71).
Solo uso software de terceros. ¿Me afecta?
El CRA se dirige a fabricantes, importadores y distribuidores de productos con elementos digitales. Si solo usas software, te llega por tus proveedores y por tus obligaciones de cadena de suministro, por ejemplo en NIS2.
¿Se atesta el SBOM?
No. El SBOM se usa para detectar CVE y alertar, pero el Trust Center no firma su contenido.
Sube un SBOM y mira qué componentes te exponen
En la demo ingerimos un SBOM de ejemplo, lo cruzamos con CVE y llegamos al inventario de componentes.
Sin compromiso. Datos de ejemplo.