Servicios Cómo funciona Por qué yo Gestiones en China Taobao / Plataformas Precios Ferias
Contacto Consulta gratis
Guías prácticas

Ciberseguridad obligatoria para productos conectados: la RED desde 2025 y el CRA hasta 2027

TuSocioEnChina.com 27 de julio de 2026 2 min de lectura

Si importas cualquier cosa que se conecte por wifi o Bluetooth, dos normas europeas te afectan directamente y muchos proveedores chinos todavía no las han asimilado. Una ya es obligatoria desde agosto de 2025; la otra tiene su primer hito en septiembre de 2026 y aplicación plena en diciembre de 2027. Esta guía pone las fechas, lo que hay que pedir al fabricante y cómo saber si el certificado que te han mandado sirve.

De todas las novedades normativas de los últimos años, esta es la que más desprevenidos ha pillado a los importadores españoles de electrónica. Y lo entiendo: no se anuncio con titulares, no cambia el aspecto del producto y muchos proveedores chinos siguen mandando la misma documentación de siempre como si nada hubiera pasado.

La fecha que ya paso: 1 de agosto de 2025

Desde ese día, cualquier equipo radioeléctrico que se conecte a internet debe cumplir los apartados d, e y f del artículo 3.3 de la RED: proteger la red, proteger los datos personales del usuario y proteger frente al fraude. Afecta a auriculares, cámaras, relojes, robots, domotica, juguetes conectados y a casi todo lo que lleve wifi o Bluetooth. No es opcional y no tiene periodo de gracia adicional.

Cómo saber en dos minutos si el certificado que te han mandado sirve

Abre la declaración UE de conformidad y busca dos cosas: que mencione el Reglamento Delegado 2022/30 y que cite las normas EN 18031. Si solo aparecen EMC, LVD y la RED genérica, ese documento esta desactualizado para un producto conectado. Es una comprobación de dos minutos que te ahorra un contenedor inmovilizado y una conversación muy incomoda con un cliente grande.

Y lo que viene: el calendario del CRA

El Reglamento de Ciberresiliencia entro en vigor en diciembre de 2024. El 11 de septiembre de 2026 arrancan las obligaciones de notificación de vulnerabilidades e incidentes graves, con plazos de 24 y 72 horas. El 11 de diciembre de 2027 será obligatorio para todo producto con elementos digitales. Ojo con un detalle: si vendes con tu marca algo fabricado por otro, el CRA te considera fabricante a ti.

Que haría yo hoy si importo producto conectado

Revisar las declaraciones de conformidad de todo lo que tengo en catalogo, mandar la lista de documentos a cada proveedor por escrito, y usar la respuesta como criterio de selección. Un fabricante que en 2026 no sabe que son las EN 18031 no va a estar listo para diciembre de 2027, y eso te dice más de el que cualquier auditoría. Conviene integrarlo en el proceso de verificación del proveedor desde el primer contacto.

Guías relacionadas

marcado CE por categoría · GPSR y responsabilidad del importador · laboratorios para certificar producto · cámaras IP y videovigilancia. Ver todas las guías en el hub de importación desde China.

Preguntas frecuentes

¿Qué exige exactamente la ciberseguridad de la directiva RED y desde cuándo?

El marco es el Reglamento Delegado UE 2022/30, que activa tres apartados del artículo 3.3 de la directiva RED 2014/53/UE: FECHA DE Aplicación:

  • OBLIGATORIA: 1 de agosto de 2025; la Comisión amplio el periodo transitorio doce meses en 2023, de ahi que muchas fichas antiguas citen 2024
  • DE LA RED: el equipo no debe dañar la red ni hacer un uso indebido de sus recursos degradando el servicio
  • DE DATOS Y PRIVACIDAD: salvaguardas para proteger los datos personales del usuario y del abonado
  • CONTRA EL FRAUDE: medidas para evitar el uso fraudulento del equipo
  • A QUE PRODUCTOS AFECTA: a los equipos radioeléctricos que puedan conectarse a internet, directa o indirectamente — es decir, prácticamente toda la electrónica de consumo conectada: auriculares, cámaras, relojes, robots, juguetes conectados, domotica
  • COMO SE DEMUESTRA: con las normas armonizadas EN 18031-1, EN 18031-2 y EN 18031-3, publicadas el 28 de enero de 2025 mediante la Decisión de Ejecución 2025/138, con restricciones
¿Qué son las restricciones de las EN 18031 y por qué importan tanto?

Es el detalle que separa un expediente valido de uno que no lo es: QUE SIGNIFICA LA Armonización:

  • CON RESTRICCIONES: cuando la Comisión armonizo las tres normas EN 18031, lo hizo senalando que determinadas clausulas no dan presunción de conformidad automática; en la práctica, no basta con decir "cumplimos EN 18031"
  • AUTOEVALUACION POSIBLE PERO CONDICIONADA: el fabricante puede usar el modulo A de autodeclaración si implementa integramente las normas en el diseño y las restricciones no afectan a su producto; si se aparta de ellas o usa otro estándar como el ETSI EN 303 645, necesita un organismo notificado
  • DE RIESGOS ES LA BASE: las EN 18031 exigen que el fabricante identifique los activos a proteger y documente las medidas; sin ese análisis no hay forma de aplicar la norma correctamente
  • LO QUE ESTO IMPLICA PARA TI COMO IMPORTADOR: pedir la declaración UE de conformidad y comprobar que cita expresamente el Reglamento Delegado 2022/30 y las normas EN 18031 aplicadas; si solo menciona EMC, LVD y la RED genérica, ese producto no está cubierto para vender desde agosto de 2025
¿Y el Reglamento de Ciberresiliencia (CRA)? ¿Cuándo me afecta?

El Reglamento UE 2024/2847 es una norma horizontal mucho más amplia que la RED, y su calendario ya ha empezado:

  • ENTRADA EN VIGOR: 10 de diciembre de 2024
  • AMBITO: todo producto hardware o software con conexión de datos directa o indirecta
  • PARA MARCA PROPIA: a efectos del CRA, es fabricante quien comercializa el producto con su nombre o marca aunque lo haya desarrollado un tercero — si vendes con tu marca lo que fábrica una empresa china, las obligaciones de fabricante son tuyas, no suyas
¿Qué le pido al proveedor chino y cómo compruebo qué sirve?

La lista concreta que conviene mandar por escrito antes de confirmar pedido: Declaración:

  • UE DE CONFORMIDAD ACTUALIZADA: debe citar la directiva RED 2014/53/UE, el Reglamento Delegado 2022/30 y las normas EN 18031 aplicadas; una declaración anterior a 2025 sirve de poco para un producto conectado
  • INFORMES DE ENSAYO DEL LABORATORIO: con el número de expediente y el nombre del laboratorio; comprobar que el modelo del informe coincide exactamente con la referencia que vas a importar, no con una "similar"
  • DE RIESGOS DE CIBERSEGURIDAD: el documento base de las EN 18031; si el fabricante no sabe de que le hablas, no esta preparado
  • POLITICA DE ACTUALIZACIONES: durante cuanto tiempo dará actualizaciones de seguridad y por que via; es un dato que el CRA convertira en obligatorio y que ya deberias exigir
  • COMPORTAMIENTO POR DEFECTO DEL PRODUCTO: sin contrasenas por defecto no modificables, sin puertos abiertos innecesarios y con la posibilidad de funcionar sin nube si el producto lo permite

Artículos relacionados

¿Listo para importar de China?

Cuéntame tu proyecto

Te ayudo a encontrar proveedor, negociar precios, controlar calidad y organizar el envío desde China a España o Portugal.

Revisar la conformidad de mi producto conectado

⚠️ SERVICIO LIMITADO HASTA EL 5 DE SEPTIEMBRE — Atendemos consultas y solicitudes, pero no podemos garantizar gestiones urgentes. Operativa habitual al 100 % a partir del 6 de septiembre.