El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act o CRA, establece requisitos horizontales de ciberseguridad para productos con elementos digitales que se comercializan en la Unión Europea. Su objetivo es que esos productos salgan al mercado con un nivel adecuado de seguridad y que los fabricantes mantengan la capacidad de corregir vulnerabilidades durante el periodo de soporte.The Regulation (EU) 2024/2847, known as the Cyber Resilience Act or CRA, establishes horizontal cybersecurity requirements for products with digital elements marketed in the European Union. Its aim is to ensure that these products reach the market with an adequate level of security and that manufacturers can remedy vulnerabilities throughout the support period.Le règlement (UE) 2024/2847, appelé Cyber Resilience Act ou CRA, établit des exigences horizontales de cybersécurité pour les produits comportant des éléments numériques commercialisés dans l’Union européenne. Il vise à garantir un niveau de sécurité adéquat lors de leur mise sur le marché et la capacité des fabricants à corriger les vulnérabilités pendant la période de support.Il regolamento (UE) 2024/2847, noto come Cyber Resilience Act o CRA, stabilisce requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali commercializzati nell’Unione europea. L’obiettivo è immettere sul mercato prodotti con un livello di sicurezza adeguato e garantire che i fabbricanti possano correggere le vulnerabilità durante il periodo di supporto.Die Verordnung (EU) 2024/2847, bekannt als Cyber Resilience Act (CRA), legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der Europäischen Union vermarktet werden. Ziel ist ein angemessenes Sicherheitsniveau beim Marktzugang sowie die Fähigkeit der Hersteller, Schwachstellen während des Supportzeitraums zu beheben.
El Reglamento de Ejecución (UE) 2025/2392 complementa el CRA: concreta técnicamente qué productos pertenecen a determinadas categorías importantes o críticas.The Implementing Regulation (EU) 2025/2392 complements the CRA by technically specifying which products fall within certain important or critical categories.Le règlement d’exécution (UE) 2025/2392 complète le CRA en précisant techniquement les produits relevant de certaines catégories importantes ou critiques.Il regolamento di esecuzione (UE) 2025/2392 integra il CRA precisando tecnicamente quali prodotti rientrano in determinate categorie importanti o critiche.Die Durchführungsverordnung (EU) 2025/2392 ergänzt den CRA und präzisiert technisch, welche Produkte bestimmten wichtigen oder kritischen Kategorien angehören.
Qué regula el CRAWhat the CRA regulatesCe que réglemente le CRAChe cosa disciplina il CRAWas der CRA regelt
El CRA regula la comercialización de productos con elementos digitales. En términos prácticos, alcanza productos de hardware o software cuya finalidad prevista incluye una conexión directa o indirecta, física o lógica, a un dispositivo o una red. La conexión puede ser una función central —por ejemplo, una pasarela de comunicaciones— o una prestación accesoria del producto.The CRA governs the marketing of products with digital elements. In practice, it covers hardware or software products whose intended purpose includes a direct or indirect, physical or logical connection to a device or network. Connectivity may be the core function, such as a communications gateway, or an ancillary feature.Le CRA régit la commercialisation de produits comportant des éléments numériques. Il vise notamment les matériels ou logiciels dont l’utilisation prévue comprend une connexion directe ou indirecte, physique ou logique, à un appareil ou à un réseau. Cette connexion peut être une fonction principale, telle qu’une passerelle de communication, ou une fonction accessoire.Il CRA disciplina la commercializzazione dei prodotti con elementi digitali. In pratica riguarda hardware o software il cui uso previsto comprende una connessione diretta o indiretta, fisica o logica, a un dispositivo o a una rete. La connessione può essere una funzione principale, come un gateway di comunicazione, oppure una funzione accessoria.Der CRA regelt die Vermarktung von Produkten mit digitalen Elementen. Er erfasst Hardware- und Softwareprodukte, deren vorgesehener Zweck eine direkte oder indirekte, physische oder logische Verbindung mit einem Gerät oder Netzwerk umfasst. Die Verbindung kann eine Kernfunktion sein, etwa bei einem Kommunikationsgateway, oder eine Zusatzfunktion.
El Reglamento busca corregir una situación frecuente: un producto podía conectarse a redes, gestionar datos o recibir instrucciones remotas, pero su fabricante no siempre tenía que acreditar de forma sistemática la seguridad del diseño, el mantenimiento de vulnerabilidades o la disponibilidad de actualizaciones durante su vida útil.The Regulation addresses a common situation: products could connect to networks, manage data or receive remote instructions without their manufacturers necessarily having to demonstrate systematically secure design, vulnerability management or the availability of updates throughout their service life.Le règlement cherche à corriger une situation fréquente : des produits pouvaient se connecter à des réseaux, gérer des données ou recevoir des instructions à distance sans que leurs fabricants soient systématiquement tenus de démontrer la sécurité de la conception, la gestion des vulnérabilités ou la disponibilité des mises à jour durant leur vie utile.Il regolamento intende correggere una situazione frequente: prodotti in grado di connettersi alle reti, gestire dati o ricevere istruzioni da remoto senza che il fabbricante dovesse sempre dimostrare sistematicamente la sicurezza della progettazione, la gestione delle vulnerabilità o la disponibilità di aggiornamenti durante la vita utile.Die Verordnung soll eine häufige Situation beheben: Produkte konnten sich mit Netzwerken verbinden, Daten verarbeiten oder Fernbefehle empfangen, ohne dass der Hersteller die Sicherheit der Entwicklung, das Schwachstellenmanagement oder die Verfügbarkeit von Updates über die Nutzungsdauer systematisch nachweisen musste.
El CRA lleva esas cuestiones al marco de acceso al mercado y las conecta con la documentación técnica, la evaluación de conformidad y el marcado CE.The CRA brings these matters into market-access rules and links them to technical documentation, conformity assessment and CE marking.Le CRA inscrit ces questions dans les conditions d’accès au marché et les relie à la documentation technique, à l’évaluation de la conformité et au marquage CE.Il CRA inserisce questi aspetti nelle condizioni di accesso al mercato e li collega alla documentazione tecnica, alla valutazione della conformità e alla marcatura CE.Der CRA verankert diese Aspekte im Marktzugang und verbindet sie mit technischer Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.
La obligación principal recae sobre el fabricante, entendido en general como quien desarrolla o manda desarrollar el producto y lo comercializa bajo su nombre o marca. También establece deberes para importadores y distribuidores. Una empresa que modifica un producto de forma sustancial o lo comercializa con su propia marca puede asumir responsabilidades propias de fabricante.The main obligation rests with the manufacturer, generally the party that develops or commissions a product and markets it under its own name or brand. Importers and distributors also have duties. A company that substantially modifies a product or markets it under its own brand may assume the obligations of a manufacturer.La responsabilité principale incombe au fabricant, c’est-à-dire, en règle générale, à celui qui conçoit ou fait concevoir le produit et le commercialise sous son nom ou sa marque. Les importateurs et distributeurs ont également des obligations. Une entreprise qui modifie substantiellement un produit ou le commercialise sous sa propre marque peut assumer les responsabilités d’un fabricant.L’obbligo principale ricade sul fabbricante, ossia in generale su chi sviluppa o fa sviluppare il prodotto e lo commercializza con il proprio nome o marchio. Sono previsti obblighi anche per importatori e distributori. Un’azienda che modifica sostanzialmente il prodotto o lo commercializza con il proprio marchio può assumere le responsabilità del fabbricante.Die Hauptpflicht liegt beim Hersteller, also grundsätzlich bei dem Unternehmen, das ein Produkt selbst entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Auch Importeure und Händler haben Pflichten. Wer ein Produkt wesentlich verändert oder unter eigener Marke vertreibt, kann Herstellerpflichten übernehmen.
Por eso, en una cadena de suministro HVAC conviene distinguir quién fabrica el equipo, quién integra el control, quién suministra el software y quién lo comercializa bajo cada marca.For HVAC supply chains it is therefore important to distinguish who makes the equipment, who integrates the controls, who supplies the software and who markets the product under each brand.Dans la chaîne d’approvisionnement CVC, il convient donc de distinguer le fabricant de l’équipement, l’intégrateur des commandes, le fournisseur de logiciels et l’entreprise qui commercialise le produit sous chaque marque.Per la filiera HVAC è quindi opportuno distinguere chi fabbrica l’apparecchiatura, chi integra i controlli, chi fornisce il software e chi commercializza il prodotto con ciascun marchio.In der HLK-Lieferkette sollte daher geklärt werden, wer das Gerät herstellt, wer die Steuerung integriert, wer die Software liefert und wer es unter der jeweiligen Marke vertreibt.
Ámbito de aplicación y exclusionesScope and exclusionsChamp d’application et exclusionsAmbito di applicazione ed esclusioniAnwendungsbereich und Ausnahmen
La evaluación empieza por identificar si el producto tiene elementos digitales y si se comercializa en la Unión.The assessment starts by identifying whether the product contains digital elements and is marketed in the Union.L’analyse commence par déterminer si le produit comporte des éléments numériques et s’il est commercialisé dans l’Union.La valutazione inizia verificando se il prodotto contiene elementi digitali ed è commercializzato nell’Unione.Zu Beginn ist festzustellen, ob das Produkt digitale Elemente enthält und in der Union vermarktet wird.
Entre otros supuestos, el CRA coordina su aplicación con ciertos productos sujetos a normativa sectorial de la Unión, como determinados productos sanitarios, vehículos, equipos aeronáuticos o productos destinados a fines de defensa o seguridad nacional.Among other cases, the CRA coordinates its application with certain products covered by sector-specific EU legislation, such as some medical devices, vehicles, aeronautical equipment or products intended for defence or national-security purposes.Le CRA articule notamment son application avec celle des règles sectorielles de l’Union concernant certains dispositifs médicaux, véhicules, équipements aéronautiques ou produits destinés à la défense ou à la sécurité nationale.Tra gli altri casi, il CRA coordina la propria applicazione con le norme settoriali dell’Unione relative a determinati dispositivi medici, veicoli, apparecchiature aeronautiche o prodotti destinati alla difesa o alla sicurezza nazionale.Der CRA stimmt seine Anwendung unter anderem mit sektorspezifischen EU-Vorschriften ab, etwa für bestimmte Medizinprodukte, Fahrzeuge, Luftfahrtausrüstung oder Produkte für Verteidigungs- und nationale Sicherheitszwecke.
La definición del producto y de su finalidad prevista tiene importancia práctica. Un controlador que solo regula un equipo de manera local plantea un análisis diferente del de una plataforma que permite gestionar una instalación desde internet, autenticar usuarios, actualizar firmware o transmitir datos operativos a un servicio remoto. La arquitectura y el uso previsto ayudan a identificar riesgos; no son, por sí solos, una exención.How the product and its intended purpose are defined matters in practice. A controller operating equipment only locally requires a different analysis from a platform that manages an installation over the internet, authenticates users, updates firmware or sends operating data to a remote service. Architecture and intended use help identify risks; neither, by itself, grants an exemption.La définition du produit et de son utilisation prévue est déterminante. Un régulateur qui ne commande qu’un appareil localement appelle une analyse différente de celle d’une plateforme qui gère une installation via internet, authentifie des utilisateurs, met à jour le micrologiciel ou transmet des données d’exploitation à un service distant. L’architecture et l’usage prévu aident à identifier les risques, sans constituer à eux seuls une exemption.La definizione del prodotto e dell’uso previsto è importante. Un controllore che regola solo localmente un’apparecchiatura richiede un’analisi diversa da una piattaforma che gestisce un impianto via Internet, autentica utenti, aggiorna il firmware o trasmette dati operativi a un servizio remoto. L’architettura e l’uso previsto aiutano a individuare i rischi, ma non costituiscono di per sé un’esenzione.Die Produktdefinition und der vorgesehene Verwendungszweck sind praktisch entscheidend. Eine rein lokal arbeitende Regelung ist anders zu bewerten als eine Plattform, die Anlagen über das Internet verwaltet, Benutzer authentifiziert, Firmware aktualisiert oder Betriebsdaten an einen Ferndienst sendet. Architektur und Zweckbestimmung helfen bei der Risikoermittlung, stellen aber allein keine Ausnahme dar.
Reglamento (UE) 2024/2847 — CRARegulation (EU) 2024/2847 — CRARèglement (UE) 2024/2847 — CRARegolamento (UE) 2024/2847 — CRAVerordnung (EU) 2024/2847 — CRA
Fija los requisitos horizontales de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea.It establishes horizontal cybersecurity requirements for products with digital elements marketed in the European Union.Il établit les exigences horizontales de cybersécurité applicables aux produits comportant des éléments numériques commercialisés dans l’Union européenne.Stabilisce i requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali commercializzati nell’Unione europea.Sie legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, die in der Europäischen Union vermarktet werden.
Su función es integrar la seguridad en el diseño, desarrollo y mantenimiento del producto durante el periodo de soporte.Its purpose is to integrate security into product design, development and maintenance throughout the support period.Il vise à intégrer la sécurité à la conception, au développement et à la maintenance du produit pendant la période de support.La sua funzione è integrare la sicurezza nella progettazione, nello sviluppo e nella manutenzione del prodotto durante il periodo di supporto.Damit soll Sicherheit während Entwurf, Entwicklung und Wartung über den Supportzeitraum hinweg integriert werden.
Exige:It requires:Il exige :Richiede:Es gelten folgende Anforderungen:
- evaluar riesgosassess risksévaluer les risquesvalutare i rischiRisiken bewerten
- cumplir requisitos esencialesmeet essential requirementsrespecter les exigences essentiellesrispettare i requisiti essenzialigrundlegende Anforderungen erfüllen
- gestionar vulnerabilidadesmanage vulnerabilitiesgérer les vulnérabilitésgestire le vulnerabilitàSchwachstellen verwalten
- distribuir actualizaciones de seguridaddistribute security updatesdiffuser des mises à jour de sécuritédistribuire aggiornamenti di sicurezzaSicherheitsupdates bereitstellen
- proporcionar información clara a los usuariosprovide clear information to usersfournir des informations claires aux utilisateursfornire informazioni chiare agli utentiNutzer klar informieren
También asigna obligaciones a fabricantes, importadores y distribuidores, y establece cómo demostrar la conformidad y aplicar el marcado CE cuando corresponda. En HVAC puede afectar a equipos conectados, controladores, pasarelas y programas informáticos.It also assigns obligations to manufacturers, importers and distributors, and sets out how to demonstrate conformity and apply CE marking where required. In HVAC, connected equipment, controllers, gateways and software may be affected.Il fixe aussi des obligations pour les fabricants, importateurs et distributeurs et précise comment démontrer la conformité et apposer, le cas échéant, le marquage CE. Dans le secteur CVC, les équipements connectés, régulateurs, passerelles et logiciels peuvent être concernés.Stabilisce inoltre obblighi per fabbricanti, importatori e distributori e indica come dimostrare la conformità e applicare, quando previsto, la marcatura CE. Nel settore HVAC può interessare apparecchiature connesse, controllori, gateway e software.Außerdem legt sie Pflichten für Hersteller, Importeure und Händler fest und regelt den Konformitätsnachweis sowie gegebenenfalls die CE-Kennzeichnung. Im HLK-Bereich können vernetzte Geräte, Regler, Gateways und Software betroffen sein.
Dos reglamentos, dos funcionesTwo regulations, two functionsDeux règlements, deux fonctionsDue regolamenti, due funzioniZwei Verordnungen, zwei Aufgaben
Ciberresiliencia de los productos con elementos digitalesCyber resilience of products with digital elementsCyberrésilience des produits comportant des éléments numériquesCiberresilienza dei prodotti con elementi digitaliCyberresilienz von Produkten mit digitalen Elementen
Reglamento (UE) 2024/2847 · CRARegulation (EU) 2024/2847 · CRARèglement (UE) 2024/2847 · CRARegolamento (UE) 2024/2847 · CRAVerordnung (EU) 2024/2847 · CRA
Establece el marco generalEstablishes the general frameworkÉtablit le cadre généralDefinisce il quadro generaleLegt den allgemeinen Rahmen fest
- Requisitos esenciales de ciberseguridadEssential cybersecurity requirementsExigences essentielles de cybersécuritéRequisiti essenziali di cibersicurezzaGrundlegende Cybersicherheitsanforderungen
- Obligaciones de fabricantes, importadores y distribuidoresDuties of manufacturers, importers and distributorsObligations des fabricants, importateurs et distributeursObblighi di fabbricanti, importatori e distributoriPflichten der Hersteller, Importeure und Händler
- Gestión de vulnerabilidades, actualizaciones y periodo de soporteVulnerability management, updates and support periodGestion des vulnérabilités, mises à jour et période de supportGestione delle vulnerabilità, aggiornamenti e periodo di supportoSchwachstellenmanagement, Updates und Supportzeitraum
Reglamento de Ejecución (UE) 2025/2392Implementing Regulation (EU) 2025/2392Règlement d’exécution (UE) 2025/2392Regolamento di esecuzione (UE) 2025/2392Durchführungsverordnung (EU) 2025/2392
Concreta las categorías de productosSpecifies product categoriesPrécise les catégories de produitsSpecifica le categorie di prodottiPräzisiert die Produktkategorien
- Productos importantes y productos críticosImportant and critical productsProduits importants et critiquesProdotti importanti e criticiWichtige und kritische Produkte
- Clasificación según la funcionalidad principalClassification based on the main functionClassement selon la fonctionnalité principaleClassificazione in base alla funzionalità principaleEinstufung nach Hauptfunktion
- Ejemplos: pasarela de red HVAC y dispositivo industrial de ciberseguridadExamples: HVAC network gateway and industrial cybersecurity deviceExemples : passerelle de réseau CVC et dispositif de cybersécurité industrielleEsempi: gateway di rete HVAC e dispositivo di cibersicurezza industrialeBeispiele: HLK-Netzwerkgateway und industrielles Cybersicherheitsgerät
La norma de ejecución no sustituye al CRA: ayuda a determinar qué productos requieren una evaluación de conformidad más exigente. Un equipo conectado puede estar sujeto al CRA sin pertenecer a una categoría importante o crítica.The implementing act does not replace the CRA: it helps determine which products require a more demanding conformity assessment. Connected equipment may fall within the CRA without being an important or critical product.Le règlement d’exécution ne remplace pas le CRA : il aide à identifier les produits nécessitant une évaluation de conformité plus stricte. Un équipement connecté peut relever du CRA sans appartenir à une catégorie importante ou critique.Il regolamento di esecuzione non sostituisce il CRA: aiuta a identificare i prodotti che richiedono una valutazione di conformità più rigorosa. Un apparecchio connesso può rientrare nel CRA senza essere importante o critico.Die Durchführungsverordnung ersetzt den CRA nicht: Sie hilft festzustellen, für welche Produkte eine strengere Konformitätsbewertung erforderlich ist. Vernetzte Geräte können dem CRA unterliegen, ohne wichtig oder kritisch eingestuft zu sein.
Reglamento de Ejecución (UE) 2025/2392Implementing Regulation (EU) 2025/2392Règlement d’exécution (UE) 2025/2392Regolamento di esecuzione (UE) 2025/2392Durchführungsverordnung (EU) 2025/2392
Desarrolla el CRA al describir técnicamente las categorías de productos con elementos digitales importantes y críticos. Su función es ayudar a determinar si la funcionalidad principal de un producto coincide con alguna de esas categorías. Esa clasificación importa porque puede activar procedimientos de evaluación de la conformidad más exigentes que los aplicables a productos ordinarios.It develops the CRA by providing technical descriptions of the categories of important and critical products with digital elements. It helps determine whether a product’s main function matches one of those categories. The classification matters because it may trigger more demanding conformity-assessment procedures than those for ordinary products.Il complète le CRA en décrivant techniquement les catégories de produits importants et critiques comportant des éléments numériques. Il aide à déterminer si la fonctionnalité principale d’un produit correspond à l’une de ces catégories. Cette classification peut entraîner des procédures d’évaluation de conformité plus strictes que pour les produits ordinaires.Sviluppa il CRA descrivendo tecnicamente le categorie di prodotti importanti e critici con elementi digitali. Serve a stabilire se la funzionalità principale di un prodotto corrisponde a una di tali categorie. Questa classificazione può comportare procedure di valutazione della conformità più rigorose rispetto ai prodotti ordinari.Sie konkretisiert den CRA durch technische Beschreibungen der Kategorien wichtiger und kritischer Produkte mit digitalen Elementen. Damit lässt sich feststellen, ob die Hauptfunktion eines Produkts einer solchen Kategorie entspricht. Diese Einstufung kann strengere Konformitätsbewertungsverfahren auslösen als bei gewöhnlichen Produkten.
El Reglamento no crea los requisitos generales de ciberseguridad ni convierte automáticamente en importantes o críticos todos los productos conectados. Una bomba de calor conectada puede quedar sujeta al CRA sin pertenecer necesariamente a una categoría reforzada.The implementing act does not create the general cybersecurity requirements or automatically turn all connected products into important or critical products. A connected heat pump may be subject to the CRA without necessarily belonging to a reinforced category.Le règlement d’exécution ne crée pas les exigences générales de cybersécurité et ne classe pas automatiquement tous les produits connectés comme importants ou critiques. Une pompe à chaleur connectée peut relever du CRA sans appartenir à une catégorie renforcée.Il regolamento di esecuzione non introduce i requisiti generali di cibersicurezza né classifica automaticamente tutti i prodotti connessi come importanti o critici. Una pompa di calore connessa può essere soggetta al CRA senza rientrare in una categoria rafforzata.Die Durchführungsverordnung schafft keine allgemeinen Cybersicherheitsanforderungen und stuft nicht alle vernetzten Produkte automatisch als wichtig oder kritisch ein. Eine vernetzte Wärmepumpe kann dem CRA unterliegen, ohne einer besonders regulierten Kategorie anzugehören.
Categorías de Bombas de CalorHeat-pump product categoriesCatégories de produits liés aux pompes à chaleurCategorie di prodotti per pompe di caloreProduktkategorien bei Wärmepumpen
La clasificación se analiza para cada producto con elementos digitales según su funcionalidad principal; no se asigna de forma automática a toda la instalación HVAC.Each product with digital elements is classified according to its main function; a classification is not automatically assigned to the entire HVAC installation.Le classement s’examine pour chaque produit comportant des éléments numériques selon sa fonctionnalité principale ; il ne s’applique pas automatiquement à toute l’installation CVC.La classificazione viene esaminata per ogni prodotto con elementi digitali in base alla sua funzionalità principale; non si applica automaticamente all’intero impianto HVAC.Die Einstufung wird für jedes Produkt mit digitalen Elementen anhand seiner Hauptfunktion geprüft; sie wird nicht automatisch auf die gesamte HLK-Anlage übertragen.
Producto con elementos digitales no clasificado como importante o crítico. Una bomba de calor cuya función principal sea climatizar puede quedar en esta situación aunque incorpore Wi-Fi, una aplicación o acceso remoto. Esas prestaciones no la convierten automáticamente en un producto importante o crítico. Si entra en el ámbito del CRA, deberá cumplir los requisitos generales de ciberseguridad que le correspondan, pero no las exigencias adicionales asociadas a las categorías reforzadas.Product with digital elements not classified as important or critical. A heat pump whose main function is heating or cooling may fall here even with Wi-Fi, an app or remote access. Those features do not automatically make it important or critical. If it is within the CRA scope, it must meet the applicable general cybersecurity requirements, but not the extra requirements of reinforced categories.Produit comportant des éléments numériques non classé comme important ou critique. Une pompe à chaleur dont la fonction principale est le chauffage ou la climatisation peut relever de ce cas, même avec Wi-Fi, application ou accès à distance. Ces fonctions ne la rendent pas automatiquement importante ou critique. Si elle relève du CRA, elle devra satisfaire aux exigences générales applicables, sans les exigences supplémentaires des catégories renforcées.Prodotto con elementi digitali non classificato come importante o critico. Una pompa di calore la cui funzione principale è climatizzare può rientrare in questo caso anche con Wi-Fi, app o accesso remoto. Tali funzioni non la rendono automaticamente importante o critica. Se rientra nel CRA, deve rispettare i requisiti generali applicabili, ma non quelli aggiuntivi delle categorie rafforzate.Produkt mit digitalen Elementen ohne Einstufung als wichtig oder kritisch. Eine Wärmepumpe, deren Hauptfunktion die Klimatisierung ist, kann auch mit WLAN, App oder Fernzugriff hierunter fallen. Diese Funktionen machen sie nicht automatisch wichtig oder kritisch. Fällt sie unter den CRA, gelten die allgemeinen Anforderungen, nicht jedoch die zusätzlichen Anforderungen der verstärkten Kategorien.
Producto importante de clase I: gestión de redes. Podría encajar aquí un sistema digital cuya función principal sea gestionar la red de comunicaciones de una instalación HVAC, por ejemplo, supervisando las comunicaciones entre varios equipos y sistemas. Un controlador que solo regula una bomba de calor no basta para asignarle esta categoría.Class I important product: network management. A digital system mainly managing an HVAC installation’s communications network, for instance by monitoring communications among several devices, might qualify. A controller that merely regulates a heat pump is not enough to assign this category.Produit important de classe I : gestion de réseau. Un système numérique dont la fonction principale consiste à gérer le réseau de communication d’une installation CVC, par exemple en surveillant les échanges entre appareils, pourrait relever de cette catégorie. Un régulateur qui se contente de piloter une pompe à chaleur n’y entre pas pour cette seule raison.Prodotto importante di classe I: gestione della rete. Potrebbe rientrarvi un sistema digitale la cui funzione principale è gestire la rete di comunicazione di un impianto HVAC, per esempio monitorando le comunicazioni fra dispositivi. Un controllore che si limita a regolare una pompa di calore non è sufficiente per tale classificazione.Wichtiges Produkt der Klasse I: Netzwerkmanagement. Ein digitales System, dessen Hauptfunktion die Verwaltung des Kommunikationsnetzes einer HLK-Anlage ist, etwa durch Überwachung der Kommunikation zwischen Geräten, könnte dazugehören. Ein Regler, der lediglich eine Wärmepumpe steuert, erfüllt dies nicht allein.
Producto importante de clase I: VPN. El ejemplo sería un producto dedicado principalmente a establecer conexiones VPN seguras para el mantenimiento remoto de equipos HVAC. La mera posibilidad de acceder a una bomba de calor a distancia no hace que el equipo sea un producto VPN.Class I important product: VPN. An example would be a product chiefly intended to establish secure VPN connections for remote HVAC equipment maintenance. Merely allowing remote access to a heat pump does not make it a VPN product.Produit important de classe I : VPN. Il pourrait s’agir d’un produit destiné principalement à établir des connexions VPN sécurisées pour la maintenance à distance des équipements CVC. Le simple accès à distance à une pompe à chaleur n’en fait pas un produit VPN.Prodotto importante di classe I: VPN. Un esempio è un prodotto dedicato principalmente a creare connessioni VPN sicure per la manutenzione remota di apparecchiature HVAC. La sola possibilità di accedere da remoto a una pompa di calore non ne fa un prodotto VPN.Wichtiges Produkt der Klasse I: VPN. Ein Beispiel wäre ein Produkt, dessen Hauptzweck sichere VPN-Verbindungen für die Fernwartung von HLK-Geräten sind. Der bloße Fernzugriff auf eine Wärmepumpe macht diese nicht zu einem VPN-Produkt.
Producto importante de clase II: cortafuegos, IDS o IPS. Un equipo dedicado a proteger la red de control HVAC frente a accesos o intrusiones podría encajar en estas categorías si cumple sus descripciones técnicas. La bomba de calor conectada a esa red no adquiere por ello la misma clasificación.Class II important product: firewall, IDS or IPS. Equipment designed to protect an HVAC control network against unauthorised access or intrusions may qualify if it meets the technical descriptions. A heat pump connected to that network does not thereby acquire the same classification.Produit important de classe II : pare-feu, IDS ou IPS. Un équipement dédié à la protection du réseau de commande CVC contre les accès ou intrusions pourrait relever de ces catégories s’il répond à leurs descriptions techniques. La pompe à chaleur reliée à ce réseau ne reçoit pas automatiquement le même classement.Prodotto importante di classe II: firewall, IDS o IPS. Un dispositivo dedicato a proteggere la rete di controllo HVAC da accessi o intrusioni può rientrare in queste categorie se ne soddisfa le descrizioni tecniche. La pompa di calore collegata alla rete non assume per questo la medesima classificazione.Wichtiges Produkt der Klasse II: Firewall, IDS oder IPS. Ein Gerät zum Schutz des HLK-Steuernetzes gegen unerlaubte Zugriffe oder Eindringversuche kann dazugehören, wenn es die technischen Beschreibungen erfüllt. Die verbundene Wärmepumpe übernimmt diese Einstufung dadurch nicht.
Producto crítico: pasarela de medición inteligente. Una pasarela de un sistema de medición de calefacción podría entrar en esta categoría si realiza las funciones y cumple las condiciones técnicas descritas en el Reglamento. La clasificación correspondería a la pasarela, no a la bomba de calor asociada.Critical product: smart metering gateway. A gateway for a heating metering system could belong to this category if it performs the functions and satisfies the technical conditions specified in the Regulation. The gateway, not the associated heat pump, would be classified.Produit critique : passerelle de comptage intelligent. La passerelle d’un système de comptage du chauffage pourrait relever de cette catégorie si elle remplit les fonctions et conditions techniques prévues par le règlement. Le classement s’appliquerait à la passerelle et non à la pompe à chaleur associée.Prodotto critico: gateway di misurazione intelligente. Un gateway di un sistema di contabilizzazione del riscaldamento potrebbe appartenere a questa categoria se svolge le funzioni e soddisfa le condizioni tecniche previste dal regolamento. La classificazione riguarderebbe il gateway, non la pompa di calore associata.Kritisches Produkt: Smart-Meter-Gateway. Ein Gateway eines Wärmemesssystems kann in diese Kategorie fallen, wenn es die in der Verordnung beschriebenen Funktionen und technischen Voraussetzungen erfüllt. Eingestuft würde das Gateway, nicht die zugehörige Wärmepumpe.
Producto crítico: hardware con elemento seguro. Un módulo cuyo propósito sea proteger claves criptográficas u otros datos sensibles puede encajar en esta categoría si cumple los requisitos técnicos aplicables. La presencia de un componente seguro dentro de una bomba de calor no convierte automáticamente al equipo completo en producto crítico.Critical product: hardware with a secure element. A module designed to protect cryptographic keys or other sensitive data may qualify if it meets the applicable technical requirements. Incorporating a secure component into a heat pump does not automatically make the whole product critical.Produit critique : matériel comportant un élément sécurisé. Un module destiné à protéger des clés cryptographiques ou d’autres données sensibles peut relever de cette catégorie s’il respecte les exigences techniques applicables. La présence d’un composant sécurisé dans une pompe à chaleur ne rend pas automatiquement l’ensemble du produit critique.Prodotto critico: hardware con elemento sicuro. Un modulo destinato a proteggere chiavi crittografiche o altri dati sensibili può rientrare nella categoria se soddisfa i requisiti tecnici applicabili. La presenza di un componente sicuro in una pompa di calore non rende automaticamente critico l’intero prodotto.Kritisches Produkt: Hardware mit Sicherheitselement. Ein Modul zum Schutz kryptografischer Schlüssel oder anderer sensibler Daten kann bei Erfüllung der technischen Anforderungen dazugehören. Eine sichere Komponente innerhalb einer Wärmepumpe macht das gesamte Gerät nicht automatisch kritisch.
Clasificación CRA en productos HVACCRA classification of HVAC productsClassification CRA des produits CVCClassificazione CRA dei prodotti HVACCRA-Einstufung von HLK-Produkten
La función principal determina la categoríaThe main function determines the categoryLa fonction principale détermine la catégorieLa funzione principale determina la categoriaDie Hauptfunktion bestimmt die Kategorie
Bomba de calor que climatiza, incluso con aplicación o acceso remoto: requisitos generales del CRA si entra en su ámbito.Heat pump for heating or cooling, even with an app or remote access: general CRA requirements apply if it is within scope.Pompe à chaleur destinée à climatiser, même avec application ou accès distant : exigences générales du CRA si elle relève de son champ.Pompa di calore destinata alla climatizzazione, anche con app o accesso remoto: requisiti generali del CRA se rientra nel suo ambito.Wärmepumpe für die Klimatisierung, auch mit App oder Fernzugriff: allgemeine CRA-Anforderungen, sofern sie darunter fällt.
Sistema dedicado a gestionar las comunicaciones HVAC.System dedicated to managing HVAC communications.Système dédié à la gestion des communications CVC.Sistema dedicato alla gestione delle comunicazioni HVAC.System zur Verwaltung der HLK-Kommunikation.
Producto dedicado a conexiones seguras para mantenimiento remoto.Product dedicated to secure remote-maintenance connections.Produit dédié aux connexions sécurisées de maintenance à distance.Prodotto dedicato a connessioni sicure per la manutenzione remota.Produkt für sichere Verbindungen zur Fernwartung.
Equipo dedicado a proteger la red de control frente a intrusiones.Equipment dedicated to protecting the control network from intrusions.Équipement dédié à protéger le réseau de commande contre les intrusions.Dispositivo dedicato alla protezione della rete di controllo dalle intrusioni.Gerät zum Schutz des Steuernetzes vor Angriffen.
Pasarela de medición de calefacción que cumpla la descripción técnica.Heating metering gateway that meets the technical description.Passerelle de comptage du chauffage conforme à la description technique.Gateway per la misurazione del riscaldamento conforme alla descrizione tecnica.Wärmemess-Gateway, das die technische Beschreibung erfüllt.
Módulo de protección de claves criptográficas o datos sensibles.Module protecting cryptographic keys or sensitive data.Module de protection des clés cryptographiques ou des données sensibles.Modulo che protegge chiavi crittografiche o dati sensibili.Modul zum Schutz kryptografischer Schlüssel oder sensibler Daten.
No se clasifica toda la instalación: se clasifica el producto cuya funcionalidad principal coincide con la descripción técnica. Wi-Fi, una aplicación o acceso remoto no convierten por sí solos una bomba de calor en producto importante o crítico.The entire installation is not classified: classification applies to the product whose main function matches the technical description. Wi-Fi, an app or remote access alone do not make a heat pump important or critical.Le classement ne concerne pas toute l’installation : il s’applique au produit dont la fonction principale correspond à la description technique. Wi-Fi, application ou accès distant ne rendent pas à eux seuls une pompe à chaleur importante ou critique.Non si classifica l’intero impianto: viene classificato il prodotto la cui funzione principale corrisponde alla descrizione tecnica. Wi-Fi, app o accesso remoto non rendono di per sé una pompa di calore importante o critica.Nicht die gesamte Anlage wird eingestuft, sondern das Produkt, dessen Hauptfunktion der technischen Beschreibung entspricht. WLAN, App oder Fernzugriff allein machen eine Wärmepumpe nicht wichtig oder kritisch.
Seguridad desde el diseño y requisitos esencialesSecurity by design and essential requirementsSécurité dès la conception et exigences essentiellesSicurezza fin dalla progettazione e requisiti essenzialiSicherheit durch Gestaltung und grundlegende Anforderungen
El fabricante debe diseñar, desarrollar y producir el producto de modo que cumpla los requisitos esenciales de ciberseguridad del anexo I. Debe realizar una evaluación de riesgos y utilizar sus resultados durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento.The manufacturer must design, develop and produce the product so that it meets the essential cybersecurity requirements in Annex I. It must carry out a risk assessment and use its results during planning, design, development, production, delivery and maintenance.Le fabricant doit concevoir, développer et produire le produit de façon à respecter les exigences essentielles de cybersécurité de l’annexe I. Il doit évaluer les risques et exploiter les résultats pendant la planification, la conception, le développement, la production, la livraison et la maintenance.Il fabbricante deve progettare, sviluppare e produrre il prodotto in conformità ai requisiti essenziali di cibersicurezza dell’allegato I. Deve valutare i rischi e utilizzare i risultati nelle fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione.Der Hersteller muss das Produkt so konzipieren, entwickeln und herstellen, dass es die grundlegenden Cybersicherheitsanforderungen des Anhangs I erfüllt. Er muss Risiken bewerten und die Ergebnisse bei Planung, Entwurf, Entwicklung, Produktion, Auslieferung und Wartung berücksichtigen.
Entre los principios que recoge el anexo están los siguientes:The principles set out in the Annex include:L’annexe prévoit notamment les principes suivants :Tra i principi dell’allegato figurano i seguenti:Der Anhang enthält unter anderem folgende Grundsätze:
- El producto debe comercializarse sin vulnerabilidades conocidas que puedan explotarse.The product must be marketed without known exploitable vulnerabilities.Le produit doit être commercialisé sans vulnérabilités connues exploitables.Il prodotto deve essere commercializzato senza vulnerabilità note sfruttabili.Das Produkt muss ohne bekannte ausnutzbare Schwachstellen vermarktet werden.
- Debe ofrecer una configuración segura por defecto, salvo las excepciones que contempla el Reglamento.It must provide a secure default configuration, subject to the Regulation’s exceptions.Il doit offrir une configuration sécurisée par défaut, sous réserve des exceptions prévues par le règlement.Deve offrire una configurazione sicura per impostazione predefinita, salvo le eccezioni previste dal regolamento.Es muss grundsätzlich eine sichere Standardeinstellung bieten, vorbehaltlich der vorgesehenen Ausnahmen.
- Debe permitir eliminar o reducir las superficies de ataque y limitar el impacto de incidentes.It must reduce or eliminate attack surfaces and limit the impact of incidents.Il doit permettre d’éliminer ou de réduire les surfaces d’attaque et de limiter l’impact des incidents.Deve consentire di eliminare o ridurre le superfici di attacco e limitare l’impatto degli incidenti.Angriffsflächen müssen beseitigt oder verringert und die Auswirkungen von Vorfällen begrenzt werden.
- Debe proteger la confidencialidad, integridad y disponibilidad de los datos y de las funciones del producto.It must protect the confidentiality, integrity and availability of data and product functions.Il doit protéger la confidentialité, l’intégrité et la disponibilité des données et des fonctions du produit.Deve tutelare riservatezza, integrità e disponibilità dei dati e delle funzioni del prodotto.Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Produktfunktionen müssen geschützt werden.
- Debe limitar el acceso a personas, programas o dispositivos autorizados mediante mecanismos adecuados de autenticación y control.It must restrict access to authorised people, programs or devices using appropriate authentication and access controls.Il doit limiter l’accès aux personnes, logiciels ou appareils autorisés au moyen de mécanismes adaptés d’authentification et de contrôle.Deve limitare l’accesso a persone, programmi o dispositivi autorizzati mediante adeguati meccanismi di autenticazione e controllo.Der Zugriff muss durch geeignete Authentifizierungs- und Kontrollmechanismen auf berechtigte Personen, Programme und Geräte begrenzt werden.
- Debe proteger los datos almacenados, transmitidos o tratados mediante medidas apropiadas, como el uso de cifrado cuando corresponda.It must protect stored, transmitted or processed data through appropriate measures, including encryption where appropriate.Il doit protéger les données stockées, transmises ou traitées par des mesures appropriées, telles que le chiffrement lorsque nécessaire.Deve proteggere i dati archiviati, trasmessi o trattati con misure appropriate, come la cifratura quando necessario.Gespeicherte, übertragene oder verarbeitete Daten müssen durch geeignete Maßnahmen geschützt werden, bei Bedarf durch Verschlüsselung.
- Debe reducir los efectos adversos de incidentes para la disponibilidad de funciones esenciales y permitir, cuando proceda, restaurar el servicio.It must minimise adverse incident effects on essential-function availability and, where appropriate, enable service restoration.Il doit limiter les effets défavorables des incidents sur la disponibilité des fonctions essentielles et permettre, le cas échéant, de rétablir le service.Deve ridurre gli effetti negativi degli incidenti sulla disponibilità delle funzioni essenziali e consentire, quando opportuno, il ripristino del servizio.Negative Folgen von Vorfällen für die Verfügbarkeit wesentlicher Funktionen müssen minimiert und Dienste gegebenenfalls wiederhergestellt werden können.
- Debe permitir que se instalen actualizaciones de seguridad y facilitar que el usuario las reciba.It must support the installation of security updates and make it easy for users to receive them.Il doit permettre l’installation de mises à jour de sécurité et faciliter leur réception par les utilisateurs.Deve consentire l’installazione degli aggiornamenti di sicurezza e facilitarne la ricezione da parte degli utenti.Die Installation von Sicherheitsupdates muss möglich sein, und Nutzer müssen diese einfach erhalten können.
Gestión de vulnerabilidades y periodo de soporteVulnerability management and support periodGestion des vulnérabilités et période de supportGestione delle vulnerabilità e periodo di supportoSchwachstellenmanagement und Supportzeitraum
Una de las obligaciones más relevantes consiste en mantener un proceso eficaz para gestionar vulnerabilidades durante el periodo de soporte. El fabricante debe identificar y documentar vulnerabilidades y componentes del producto, entre otros medios mediante una lista de materiales de software —Software Bill of Materials o SBOM— en un formato legible por máquina que incluya, como mínimo, las dependencias de nivel superior.One of the main obligations is to maintain an effective vulnerability-management process throughout the support period. The manufacturer must identify and document product vulnerabilities and components, including through a machine-readable Software Bill of Materials (SBOM) that includes at least top-level dependencies.L’une des principales obligations consiste à maintenir un processus efficace de gestion des vulnérabilités pendant la période de support. Le fabricant doit identifier et documenter les vulnérabilités et les composants du produit, notamment au moyen d’une nomenclature logicielle (SBOM) lisible par machine comprenant au minimum les dépendances de premier niveau.Uno degli obblighi principali consiste nel mantenere un processo efficace di gestione delle vulnerabilità durante il periodo di supporto. Il fabbricante deve identificare e documentare le vulnerabilità e i componenti del prodotto, anche tramite una Software Bill of Materials (SBOM) leggibile da macchina che includa almeno le dipendenze di primo livello.Eine wichtige Pflicht ist ein wirksames Schwachstellenmanagement während des gesamten Supportzeitraums. Der Hersteller muss Produktschwachstellen und Komponenten erfassen und dokumentieren, unter anderem durch eine maschinenlesbare Software Bill of Materials (SBOM) mit mindestens den direkten Abhängigkeiten.
El periodo de soporte debe reflejar cuánto tiempo se espera que el producto siga utilizándose. Para fijarlo, el fabricante debe considerar, entre otras cosas, las expectativas razonables de los usuarios, la naturaleza y finalidad del producto y la legislación de la Unión que pueda determinar su vida útil. No es correcto elegir un plazo breve únicamente para reducir costes si resulta incompatible con el uso que cabe esperar del equipo. La fecha de fin del periodo debe comunicarse de manera clara al usuario.The support period must reflect how long the product is expected to remain in use. In setting it, the manufacturer must consider users’ reasonable expectations, the product’s nature and purpose, and any EU legislation determining its service life. Choosing an unjustifiably short period merely to reduce costs is inappropriate when inconsistent with expected use. Users must be clearly informed of the support end date.La période de support doit correspondre à la durée d’utilisation prévisible du produit. Pour la fixer, le fabricant doit prendre en compte les attentes raisonnables des utilisateurs, la nature et la finalité du produit et toute législation de l’Union pouvant déterminer sa durée de vie. Une période trop courte choisie uniquement pour réduire les coûts n’est pas justifiée si elle contredit l’utilisation attendue. La date de fin doit être communiquée clairement.Il periodo di supporto deve riflettere il tempo durante il quale si prevede che il prodotto sia utilizzato. Il fabbricante deve considerare le aspettative ragionevoli degli utenti, la natura e la finalità del prodotto e la normativa dell’Unione che possa determinarne la vita utile. Non è corretto scegliere un periodo breve solo per ridurre i costi se incompatibile con l’uso previsto. La data di termine del supporto deve essere comunicata chiaramente.Der Supportzeitraum muss widerspiegeln, wie lange das Produkt voraussichtlich genutzt wird. Dabei sind berechtigte Nutzererwartungen, Art und Zweck des Produkts sowie unionsrechtliche Vorgaben zur Lebensdauer zu berücksichtigen. Ein kurzer Zeitraum darf nicht allein zur Kostensenkung festgelegt werden, wenn dies mit der erwarteten Nutzung unvereinbar ist. Das Supportende muss klar kommuniziert werden.
Información, documentación y marcadoInformation, documentation and markingInformations, documentation et marquageInformazioni, documentazione e marcaturaInformation, Dokumentation und Kennzeichnung
Antes de comercializar el producto, el fabricante debe preparar documentación técnica que permita acreditar la conformidad, debe facilitar información e instrucciones para el usuario. Según el producto, pueden abarcar:Before placing the product on the market, the manufacturer must prepare technical documentation proving conformity and provide user information and instructions. Depending on the product, these may include:Avant la commercialisation, le fabricant doit préparer une documentation technique permettant de démontrer la conformité et fournir des informations et instructions aux utilisateurs. Selon le produit, elles peuvent comprendre :Prima della commercializzazione, il fabbricante deve predisporre la documentazione tecnica che dimostri la conformità e fornire informazioni e istruzioni all’utente. A seconda del prodotto, possono includere:Vor der Vermarktung muss der Hersteller technische Unterlagen zum Konformitätsnachweis erstellen und Nutzerinformationen sowie Anleitungen bereitstellen. Je nach Produkt können diese enthalten:
- La identidad y los datos de contacto del fabricante.The manufacturer’s identity and contact details.L’identité et les coordonnées du fabricant.L’identità e i contatti del fabbricante.Name und Kontaktdaten des Herstellers.
- La finalidad prevista y las funciones relevantes para la seguridad.The intended purpose and security-relevant functions.L’utilisation prévue et les fonctions pertinentes pour la sécurité.La finalità prevista e le funzioni rilevanti per la sicurezza.Vorgesehener Zweck und sicherheitsrelevante Funktionen.
- El periodo de soporte y su fecha de finalización.The support period and its end date.La période de support et sa date de fin.Il periodo di supporto e la relativa data di fine.Supportzeitraum und Enddatum.
- Las instrucciones para instalar actualizaciones y gestionar la configuración segura.Instructions for installing updates and managing secure settings.Les instructions d’installation des mises à jour et de configuration sécurisée.Le istruzioni per installare gli aggiornamenti e gestire una configurazione sicura.Anleitungen zur Installation von Updates und Verwaltung sicherer Einstellungen.
- El canal para comunicar vulnerabilidades.The channel for reporting vulnerabilities.Le canal de signalement des vulnérabilités.Il canale per segnalare le vulnerabilità.Die Meldestelle für Schwachstellen.
- Los pasos para retirar de forma segura datos personales o información almacenada al desinstalar el producto.Steps for securely removing personal data or stored information when uninstalling the product.Les étapes de suppression sécurisée des données personnelles ou stockées lors de la désinstallation.Le procedure per eliminare in sicurezza dati personali o informazioni memorizzate durante la disinstallazione.Schritte zur sicheren Entfernung personenbezogener oder gespeicherter Daten bei Deinstallation.
Fechas de aplicaciónApplication datesDates d’applicationDate di applicazioneAnwendungsdaten
El CRA entró en vigor el 10 de diciembre de 2024, veinte días después de su publicación. Sin embargo, la aplicación de sus obligaciones se escalona:The CRA entered into force on 10 December 2024, twenty days after publication. However, its obligations apply in stages:Le CRA est entré en vigueur le 10 décembre 2024, vingt jours après sa publication. L’application de ses obligations est toutefois échelonnée :Il CRA è entrato in vigore il 10 dicembre 2024, venti giorni dopo la pubblicazione. L’applicazione dei suoi obblighi è tuttavia graduale:Der CRA trat am 10. Dezember 2024 in Kraft, zwanzig Tage nach seiner Veröffentlichung. Die Pflichten werden jedoch gestaffelt angewendet:
Se aplican las disposiciones sobre notificación de organismos de evaluación de conformidad.The provisions on notification of conformity-assessment bodies apply.Les dispositions concernant la notification des organismes d’évaluation de la conformité s’appliquent.Si applicano le disposizioni sulla notifica degli organismi di valutazione della conformità.Die Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen gelten.
Empiezan las obligaciones de notificación del artículo 14 sobre vulnerabilidades explotadas activamente e incidentes graves.Article 14 reporting obligations begin for actively exploited vulnerabilities and severe incidents.Les obligations de notification de l’article 14 commencent pour les vulnérabilités exploitées activement et les incidents graves.Iniziano gli obblighi di notifica dell’articolo 14 per vulnerabilità sfruttate attivamente e incidenti gravi.Die Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle beginnen.
Comienza la aplicación general del Reglamento.General application of the Regulation begins.L’application générale du règlement commence.Inizia l’applicazione generale del regolamento.Die allgemeine Anwendung der Verordnung beginnt.
En general, los productos comercializados antes del 11 de diciembre de 2027 solo quedan sometidos a las obligaciones del CRA si después de esa fecha sufren una modificación sustancial.In general, products placed on the market before 11 December 2027 become subject to the CRA obligations only if they undergo a substantial modification after that date.En règle générale, les produits commercialisés avant le 11 décembre 2027 ne sont soumis aux obligations du CRA que s’ils subissent une modification substantielle après cette date.In generale, i prodotti commercializzati prima dell’11 dicembre 2027 sono soggetti agli obblighi del CRA solo se subiscono una modifica sostanziale dopo tale data.Im Allgemeinen unterliegen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, den CRA-Pflichten nur, wenn sie nach diesem Datum wesentlich verändert werden.
Aplicación al sector HVACApplication to the HVAC sectorApplication au secteur CVCApplicazione al settore HVACAnwendung im HLK-Sektor
En HVAC conviene analizar los productos por separado y por función. Una bomba de calor conectada, un termostato con aplicación, un controlador de una UTA, un BMS y una pasarela de comunicaciones pueden compartir instalación, pero no necesariamente tienen la misma clasificación ni el mismo papel en la cadena de suministro.In HVAC, products should be analysed separately according to their function. A connected heat pump, an app-controlled thermostat, an air handling unit (AHU) controller, a BMS and a communications gateway may share one installation, but they do not necessarily have the same classification or supply-chain role.En CVC, chaque produit doit être analysé séparément selon sa fonction. Une pompe à chaleur connectée, un thermostat doté d’une application, un régulateur de centrale de traitement d’air (CTA), un BMS et une passerelle de communication peuvent coexister dans une installation sans avoir nécessairement la même classification ni le même rôle dans la chaîne d’approvisionnement.Nel settore HVAC i prodotti vanno esaminati singolarmente in base alla funzione. Una pompa di calore connessa, un termostato con app, un controllore di un’unità di trattamento aria (UTA), un BMS e un gateway di comunicazione possono far parte dello stesso impianto senza avere necessariamente la stessa classificazione o lo stesso ruolo nella filiera.Im HLK-Bereich sollten Produkte einzeln nach ihrer Funktion untersucht werden. Eine vernetzte Wärmepumpe, ein App-Thermostat, eine Regelung für ein Lüftungsgerät, ein BMS und ein Kommunikationsgateway können zur gleichen Anlage gehören, müssen aber nicht dieselbe Einstufung oder Rolle in der Lieferkette haben.
Un análisis inicial debería contestar estas preguntas:An initial assessment should answer the following questions:Une première analyse devrait répondre aux questions suivantes :Una prima analisi dovrebbe rispondere alle seguenti domande:Eine erste Prüfung sollte folgende Fragen beantworten:
- ¿Tiene elementos digitales y conectividad directa o indirecta? Identificar interfaces locales, redes, acceso remoto, servicios en la nube y comunicaciones con aplicaciones.Does it have digital elements and direct or indirect connectivity? Identify local interfaces, networks, remote access, cloud services and app communications.Comporte-t-il des éléments numériques et une connectivité directe ou indirecte ? Identifier les interfaces locales, réseaux, accès distants, services cloud et communications avec les applications.Contiene elementi digitali e connettività diretta o indiretta? Identificare interfacce locali, reti, accesso remoto, servizi cloud e comunicazioni con le app.Verfügt es über digitale Elemente und direkte oder indirekte Konnektivität? Lokale Schnittstellen, Netze, Fernzugriffe, Cloud-Dienste und App-Kommunikation erfassen.
- ¿Quién lo comercializa y bajo qué marca? Determinar si el fabricante del equipo, el integrador o el proveedor de software asume responsabilidades de fabricante.Who markets it and under what brand? Determine whether the equipment maker, system integrator or software supplier bears manufacturer responsibilities.Qui le commercialise et sous quelle marque ? Déterminer si le fabricant de l’équipement, l’intégrateur ou le fournisseur de logiciels assume les responsabilités du fabricant.Chi lo commercializza e con quale marchio? Stabilire se le responsabilità del fabbricante spettano al produttore dell’apparecchiatura, all’integratore o al fornitore del software.Wer vertreibt es unter welcher Marke? Feststellen, ob Gerätehersteller, Systemintegrator oder Softwarelieferant Herstellerpflichten übernimmt.
- ¿Cuál es su funcionalidad principal? Compararla con las descripciones del CRA y del Reglamento 2025/2392.What is its main function? Compare it with the CRA and Regulation 2025/2392 descriptions.Quelle est sa fonctionnalité principale ? La comparer aux descriptions du CRA et du règlement 2025/2392.Qual è la sua funzionalità principale? Confrontarla con le descrizioni del CRA e del regolamento 2025/2392.Was ist seine Hauptfunktion? Mit den Beschreibungen des CRA und der Verordnung 2025/2392 abgleichen.
- ¿Qué riesgos introduce su conexión? Revisar accesos, credenciales, actualizaciones, pérdida de conectividad, datos y posibilidad de alterar funciones del equipo.What risks does its connectivity introduce? Review access, credentials, updates, connection loss, data and the potential to alter equipment functions.Quels risques apporte sa connexion ? Examiner les accès, identifiants, mises à jour, pertes de connexion, données et possibilités de modifier les fonctions de l’équipement.Quali rischi introduce la connessione? Esaminare accessi, credenziali, aggiornamenti, perdita di connettività, dati e possibilità di modificare le funzioni dell’apparecchiatura.Welche Risiken entstehen durch die Vernetzung? Zugänge, Anmeldedaten, Updates, Verbindungsverlust, Daten und mögliche Änderungen der Gerätefunktionen prüfen.
- ¿Quién soportará el producto y durante cuánto tiempo? Establecer cómo se gestionarán avisos, parches y fin de soporte.Who will support the product, and for how long? Define how advisories, patches and end of support will be managed.Qui assurera le support du produit et pendant combien de temps ? Définir la gestion des avis, correctifs et de la fin du support.Chi fornirà supporto al prodotto e per quanto tempo? Definire la gestione di avvisi, patch e fine supporto.Wer übernimmt den Support und für welchen Zeitraum? Verfahren für Meldungen, Patches und Supportende festlegen.
- ¿Qué documentación entregará cada proveedor? Acordar la información técnica y de seguridad necesaria para que el fabricante o integrador pueda justificar la conformidad.What documentation will each supplier provide? Agree on the technical and security information required for the manufacturer or integrator to demonstrate conformity.Quelle documentation fournira chaque fournisseur ? Convenir des informations techniques et de sécurité nécessaires au fabricant ou à l’intégrateur pour démontrer la conformité.Quale documentazione fornirà ciascun fornitore? Concordare le informazioni tecniche e di sicurezza necessarie al fabbricante o all’integratore per dimostrare la conformità.Welche Unterlagen liefert jeder Zulieferer? Technische und Sicherheitsinformationen vereinbaren, mit denen Hersteller oder Integrator die Konformität nachweisen können.
Un equipo HVAC conectado puede quedar dentro del ámbito general del CRA aunque no pertenezca a las categorías importantes o críticas. La clasificación reforzada se decide examinando su funcionalidad principal y la descripción técnica de la categoría pertinente. Por ejemplo, un producto que incorpore un sistema de gestión de red o una función VPN podría requerir un análisis específico de esa función; la mera presencia de Ethernet, Wi-Fi o acceso remoto no demuestra por sí sola que el equipo pertenezca a esas categorías.Connected HVAC equipment may fall within the general scope of the CRA without belonging to an important or critical category. Reinforced classification depends on its main function and the relevant category’s technical description. For example, a product incorporating a network-management system or VPN function may require a specific analysis; Ethernet, Wi-Fi or remote access alone do not prove that it belongs to those categories.Un équipement CVC connecté peut relever du CRA sans appartenir aux catégories importantes ou critiques. Le classement renforcé dépend de sa fonctionnalité principale et de la description technique de la catégorie. Par exemple, un produit intégrant un système de gestion de réseau ou une fonction VPN peut nécessiter une analyse spécifique ; la seule présence d’Ethernet, du Wi-Fi ou d’un accès distant ne suffit pas à établir ce classement.Un’apparecchiatura HVAC connessa può rientrare nell’ambito generale del CRA senza appartenere a una categoria importante o critica. La classificazione rafforzata dipende dalla funzione principale e dalla descrizione tecnica pertinente. Un prodotto con gestione della rete o funzione VPN può richiedere un’analisi specifica; la semplice presenza di Ethernet, Wi-Fi o accesso remoto non dimostra da sola l’appartenenza a tali categorie.Vernetzte HLK-Geräte können in den allgemeinen Anwendungsbereich des CRA fallen, ohne wichtig oder kritisch zu sein. Die strengere Einstufung richtet sich nach der Hauptfunktion und der technischen Kategorienbeschreibung. Ein Produkt mit Netzwerkmanagement oder VPN-Funktion kann eine besondere Prüfung erfordern; Ethernet, WLAN oder Fernzugriff allein belegen diese Einstufung nicht.
La consecuencia práctica para fabricantes e integradores es que deben empezar la evaluación desde la arquitectura del producto y la cadena de suministro. No basta con pedir al proveedor una declaración genérica de cumplimiento. Hace falta obtener información sobre componentes de software, actualizaciones, controles de acceso, periodos de soporte, vulnerabilidades conocidas y procedimientos de notificación. Esa información debe permitir al responsable del producto documentar su propia evaluación y responder ante una incidencia.In practical terms, manufacturers and integrators must start the assessment with the product architecture and supply chain. Requesting a generic compliance statement from a supplier is not enough. Information is needed about software components, updates, access controls, support periods, known vulnerabilities and reporting procedures. The party responsible for the product must be able to document its own assessment and respond to an incident.En pratique, fabricants et intégrateurs doivent commencer l’évaluation par l’architecture du produit et la chaîne d’approvisionnement. Une simple déclaration générale de conformité du fournisseur ne suffit pas. Il faut obtenir des informations sur les composants logiciels, mises à jour, contrôles d’accès, périodes de support, vulnérabilités connues et procédures de notification. Elles doivent permettre au responsable du produit de documenter son analyse et de réagir à un incident.In pratica, fabbricanti e integratori devono partire dall’architettura del prodotto e dalla filiera. Non basta chiedere al fornitore una dichiarazione generica di conformità. Occorrono informazioni sui componenti software, sugli aggiornamenti, sui controlli di accesso, sui periodi di supporto, sulle vulnerabilità note e sulle procedure di notifica. Devono consentire al responsabile del prodotto di documentare la propria valutazione e rispondere a un incidente.Für Hersteller und Integratoren bedeutet das, bei Produktarchitektur und Lieferkette anzusetzen. Eine allgemeine Konformitätserklärung eines Zulieferers reicht nicht aus. Benötigt werden Angaben zu Softwarekomponenten, Updates, Zugriffskontrollen, Supportzeiträumen, bekannten Schwachstellen und Meldeverfahren. Damit muss der Produktverantwortliche seine eigene Bewertung dokumentieren und auf Vorfälle reagieren können.
Conclusión técnicaTechnical conclusionConclusion techniqueConclusione tecnicaTechnisches Fazit
El CRA convierte la ciberseguridad de los productos digitales en una condición que debe demostrarse durante el diseño, la comercialización y el soporte del producto. Exige evaluación de riesgos, seguridad por defecto, gestión de vulnerabilidades, actualizaciones, documentación e información clara sobre el periodo de soporte. El Reglamento de Ejecución 2025/2392 precisa qué productos entran en categorías importantes o críticas y, por tanto, cuándo puede exigirse una evaluación más rigurosa.The CRA makes cybersecurity a demonstrable condition for digital products throughout design, marketing and support. It requires risk assessment, secure defaults, vulnerability management, updates, documentation and clear information about the support period. Implementing Regulation 2025/2392 specifies which products belong to important or critical categories and therefore when stricter assessment may be required.Le CRA fait de la cybersécurité des produits numériques une exigence qui doit être démontrée pendant leur conception, leur commercialisation et leur support. Il impose l’évaluation des risques, des paramètres sécurisés par défaut, la gestion des vulnérabilités, des mises à jour, de la documentation et des informations claires sur la période de support. Le règlement d’exécution 2025/2392 précise quels produits sont importants ou critiques et donc quand une évaluation renforcée peut être nécessaire.Il CRA rende la cibersicurezza dei prodotti digitali una condizione da dimostrare in fase di progettazione, commercializzazione e supporto. Richiede valutazione dei rischi, sicurezza predefinita, gestione delle vulnerabilità, aggiornamenti, documentazione e informazioni chiare sul periodo di supporto. Il regolamento di esecuzione 2025/2392 specifica quali prodotti sono importanti o critici e quando può essere necessaria una valutazione più rigorosa.Der CRA macht Cybersicherheit zu einer nachzuweisenden Voraussetzung für digitale Produkte während Entwicklung, Vermarktung und Support. Er verlangt Risikobewertung, sichere Voreinstellungen, Schwachstellenmanagement, Updates, Dokumentation und klare Angaben zum Supportzeitraum. Die Durchführungsverordnung 2025/2392 legt fest, welche Produkte wichtig oder kritisch sind und wann eine strengere Bewertung nötig werden kann.
Evita ambientes poco ventilados y a quien no te mantenga informado.
Avoid poorly ventilated environments and those who do not keep you informed.
Évitez les environnements mal aérés et ceux qui ne vous tiennent pas informé.
Evita ambientes poco ventilados y a quien no te mantenga informado.Avoid poorly ventilated environments and those who do not keep you informed.Évitez les environnements mal aérés et ceux qui ne vous tiennent pas informé.Evita gli ambienti poco ventilati e chi non ti tiene informato.Meide schlecht belüftete Räume und Menschen, die dich nicht auf dem Laufenden halten.
