¿Vendes una aplicación o un producto conectado en la UE? Encuentra y corrige sus vulnerabilidades a tiempo para tu documentación técnica del CRA, y sigue probando tu aplicación durante todo su período de soporte.
Para equipos que publican aplicaciones móviles y para fabricantes de productos conectados que se controlan desde una aplicación.
El Reglamento de Ciberresiliencia (CRA) se aplica a la mayoría de los productos con elementos digitales que se comercializan en la UE. Eso incluye las aplicaciones móviles y sus soluciones de tratamiento remoto de datos, por ejemplo el backend que desarrollas para tu producto y sin el que la aplicación no podría cumplir alguna de sus funciones. A partir del 11 de diciembre de 2027, esos productos deben cumplir los requisitos esenciales del anexo I:
El anexo VII exige que tu documentación técnica incluya los informes de las pruebas realizadas para verificar que cumples estos requisitos. Sin ellos no puedes declarar la conformidad del producto ni colocar el marcado CE.
Según tu producto, las pruebas pueden incluir:
Indica qué probamos: la aplicación en cada plataforma, la build y las interfaces incluidas en el alcance, y el resultado de cada requisito aplicable del anexo I, haya o no vulnerabilidades. Cada hallazgo incluye evidencias, pasos para reproducirlo, impacto, puntuación CVSS con su vector, referencias a CWE y OWASP MASWE y cómo corregirlo.
Revisamos tu SBOM, o te ayudamos a generarlo si todavía no lo tienes, y te indicamos qué vulnerabilidades conocidas afectan a tu aplicación y cómo corregirlas.
Recoge el alcance y la build probados, los resultados y las prioridades, para la dirección y los perfiles no técnicos.
Si incluyes el retest, te enviamos una nueva versión del informe con el estado de cada hallazgo en la nueva build, para que tu documentación técnica recoja la versión corregida.
Nuestro equipo viene de laboratorios de certificación de seguridad, con experiencia en esquemas como Common Criteria, EMVCo SBMP y LINCE. Por eso redactamos los informes pensando en quien los va a revisar: tu propio equipo y, si llega el caso, un organismo notificado o una autoridad de vigilancia del mercado.
Vinculamos tus pruebas a OWASP MASVS y MASTG, el estándar y la guía de pruebas que nuestro equipo ayuda a escribir. Los mismos especialistas que contribuyen al estándar prueban tu aplicación. OWASP reconoció este trabajo al nombrar a vulnit OWASP MAS Advocate.
El CRA espera pruebas periódicas, no un informe puntual. Probamos cada versión que acuerdes con nosotros, te explicamos cómo corregir lo que encontramos y, si incluyes el retest, comprobamos las correcciones.
Conoce al equipoLas obligaciones de notificación de vulnerabilidades aprovechadas activamente y de incidentes graves se aplican desde el 11 de septiembre de 2026. Los requisitos esenciales y la evaluación de la conformidad se aplican desde el 11 de diciembre de 2027.
La mayoría de las aplicaciones móviles están en la categoría general, en la que el fabricante puede hacer su propia evaluación. Algunos productos son importantes o críticos, por ejemplo los de hogar inteligente con funciones de seguridad, como cerraduras o cámaras, y pueden requerir otro procedimiento, incluida la evaluación por terceros. El procedimiento depende de la función y la clasificación del producto. No somos un organismo notificado: aportamos la evidencia técnica para tu documentación. Consulta la guía de la Comisión Europea sobre la evaluación de la conformidad.
Empezamos por ahí. En la llamada para definir el alcance vemos qué exige el CRA a tu producto y qué pruebas necesita tu documentación técnica. Si necesitas más apoyo antes de las pruebas, podemos empezar con una consultoría previa y planificar las pruebas después.
Vinculamos las pruebas acordadas a los requisitos aplicables del anexo I, con OWASP MASVS y MASTG como referencias de seguridad móvil. Contribuimos a OWASP MAS y estamos al tanto de las normas armonizadas del CRA que afectan a estas pruebas a medida que se adoptan.
Este servicio incluye un pentest de tu aplicación, el análisis de tu SBOM y un informe preparado para tu documentación técnica, con el resultado de cada requisito aplicable del anexo I. Si no tienes que cumplir el CRA, te basta con un pentest de aplicaciones móviles.
Te ayudamos a generarlo. Si ya tienes un SBOM o un listado de las librerías y SDK que usa la aplicación, partimos de ahí. En los dos casos lo revisamos en busca de vulnerabilidades conocidas y analizamos cuáles afectan a tu aplicación.
Las builds de la aplicación (APK o AAB para Android, IPA para iOS), usuarios de prueba y acceso al entorno que prefieras, ya sea producción o un entorno de pruebas. Si tienes SBOM, envíanoslo; si no, te ayudamos a generarlo. Lo concretamos en la propuesta.
No es imprescindible. Si nos lo das, también lo revisamos.
Cuando hace falta. En Android trabajamos sobre todo con Chameleon, nuestro entorno de análisis, que reproduce un dispositivo físico con sus capacidades de hardware. Si encontramos alguna limitación relevante para tu aplicación, usamos dispositivos físicos. En iOS usamos dispositivos físicos.
Sí, para cubrir más partes de tu aplicación y profundizar más en el mismo tiempo. Usamos proveedores de IA que no entrenan sus modelos con tus datos. Trabajamos solo con las cuentas que nos das o que creamos nosotros, nunca con cuentas de otros usuarios reales. Nuestros especialistas dirigen el trabajo y validan cada resultado. Si tu política no permite usar IA externa, dínoslo al acordar el alcance y trabajamos sin ella.
Depende del número de aplicaciones y de plataformas, de su complejidad (por ejemplo, criptografía propia o funciones de hardware como Bluetooth o la cámara), de las interfaces de backend incluidas y de la frecuencia de las pruebas. Te enviamos una propuesta con un precio cerrado y el calendario. Las pruebas suelen llevar entre una y dos semanas por plataforma, con el informe incluido, según la complejidad de tu aplicación. Normalmente podemos empezar la misma semana en que aceptas la propuesta; la fecha de inicio depende de la carga del equipo y la indicamos en la propuesta.
El retest se presupuesta aparte, a tarifa reducida. En la propuesta te damos dos opciones: solo las pruebas o las pruebas con una ronda de retest, para que sepas el coste total desde el principio.
Sí. Si planificas con nosotros las pruebas de todo el período de soporte, acordamos condiciones especiales para ese período.
Recibes un informe por plataforma con todos los hallazgos detallados. Si además quieres usarlos desde tus herramientas, también te los damos en CSV o JSON.
En inglés por defecto. Si lo necesitas en español, dínoslo.
Acordamos las condiciones de confidencialidad antes de que compartas builds o documentación. Tenemos un NDA tipo, pero si prefieres usar el tuyo, lo revisamos sin problema.
Cuéntanos cómo es tu aplicación y a qué producto pertenece. Te respondemos en un plazo de un día laborable para acordar una llamada y definir el alcance.
Habla con nuestro equipo