El 10 de diciembre de 2024 entr贸 en vigor el Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, m谩s conocido como Reglamento de Ciberresiliencia (CRA, por sus siglas en ingl茅s). Establece requisitos de ciberseguridad para los productos con elementos digitales y modifica el ordenamiento anterior, principalmente el Reglamento (UE) n.潞 168/2013, el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828.
El Reglamento de Ciberresiliencia representa un cambio significativo en la normativa de ciberseguridad en la UE con obligaciones claras para fabricantes y distribuidores, que repercuten en la mejor protecci贸n de consumidores y empresas al exigir productos m谩s seguros en el mercado. En este blog ya se hab铆a prestado atenci贸n a la Propuesta de la Comisi贸n
El Reglamento de Ciberresiliencia introduce normas horizontales aplicables a m煤ltiples sectores, estableciendo requisitos m铆nimos de ciberseguridad en toda la UE para
- Mejorar la ciberseguridad de muchos productos y evitar la falta de actualizaciones de seguridad oportunas.
- Facilitar que los productos digitales sean seguros a lo largo de su ciclo de vida.
- Exigir a los fabricantes una supervisi贸n continua de sus productos tras su comercializaci贸n.
- Obligar a la certificaci贸n de productos cr铆ticos mediante organismos de certificaci贸n especializados.
Tambre
El CRA define los productos digitales en su art铆culo 3, como: 芦Programas inform谩ticos o equipos inform谩ticos y sus soluciones de procesamiento de datos remoto, incluidos los componentes consistentes en programas inform谩ticos o equipos inform谩ticos que se introduzcan en el mercado por separado.禄
En t茅rminos simples, los productos digitales son cualquier producto de software o hardware que incorpore elementos digitales y est茅 conectado directa o indirectamente a otro dispositivo o red.
El Reglamento se aplica a todos los productos digitales que puedan suponer un riesgo para la ciberseguridad dentro del mercado de la UE. No obstante, establece excepciones para algunos sectores ya regulados, como los productos sanitarios, la aviaci贸n y la automoci贸n. Tambi茅n quedan excluidos ciertos productos de software de c贸digo abierto que ya cuentan con normas espec铆ficas. Adem谩s, introduce disposiciones particulares para repuestos de componentes, estableciendo que estos quedan exentos de los requisitos del CRA si cumplen dos condiciones:
- Ser utilizados para reparar productos comercializados antes de la entrada en vigor del CRA.
- Haber sido ya sometidos a un procedimiento de evaluaci贸n de conformidad compatible con el CRA.
En relaci贸n con los fabricantes, los principales (no los 煤nicos) sometidos al Reglamento, los art铆culos 13 a 15 detallan sus principales obligaciones:
- Evaluaci贸n de riesgos de ciberseguridad: Los fabricantes deben realizar una evaluaci贸n integral de riesgos en todas las fases del ciclo de vida del producto, desde su planificaci贸n hasta su mantenimiento. Esta evaluaci贸n debe documentarse y actualizarse peri贸dicamente.
- Dise帽o seguro desde el origen: Los productos deben desarrollarse con medidas de ciberseguridad adecuadas desde su concepci贸n, asegurando que las posibles amenazas sean identificadas y mitigadas.
- Gesti贸n de vulnerabilidades: Los fabricantes deben detectar, notificar y corregir vulnerabilidades en sus productos, incluyendo componentes de terceros o de c贸digo abierto.
- Documentaci贸n t茅cnica: Toda la informaci贸n sobre la gesti贸n de ciberseguridad debe estar registrada y justificada en la documentaci贸n del producto.
- Certificaci贸n de productos cr铆ticos: Aquellos productos con especial relevancia para la ciberseguridad deber谩n someterse a una evaluaci贸n por parte de Organismos de Certificaci贸n de la Conformidad acreditados en cada Estado miembro.
Marcado CE y conformidad (desarrollado en siguientes entradas)
Los productos con especial relevancia para la ciberseguridad deber谩n llevar el marcado CE (Conformit茅 Europ茅ene), indicando su conformidad con los requisitos del CRA. Para ello, los fabricantes deber谩n (de modo previo y como requisito para la comercializaci贸n en la UE de ese producto):
- Realizar una evaluaci贸n de conformidad para demostrar que el producto cumple con los est谩ndares de ciberseguridad.
- Emitir una Declaraci贸n UE de conformidad, un documento que certifica el cumplimiento del reglamento.
- Insertar un marcado o certificado聽
Conexi贸n con la Directiva sobre responsabilidad por productos defectuosos
Fiume Arno, traversata di Pisa
El CRA complementa lo dispuesto en la Directiva (UE) 2024/2853 sobre responsabilidad por los da帽os causados por productos defectuosos, que establece la responsabilidad objetiva del fabricante. Esto significa que, conforme a la Directiva, los fabricantes ser谩n responsables de los da帽os derivados de fallos de seguridad en sus productos, incluso sin necesidad de demostrar culpa o falta de diligencia. Por tanto, si un producto presenta vulnerabilidades tras su comercializaci贸n debido a fallos de seguridad, el fabricante podr铆a ser considerado responsable conforme a la Directiva, sin embargo, las obligaciones relativas a actualizaciones de seguridad est谩n definidas espec铆ficamente en el CRA.
Entrada en vigor y aplicaci贸n
Si bien el CRA entr贸 en vigor el 10 de diciembre de 2024, sus principales requisitos ser谩n exigibles a partir del 27 de diciembre de 2027. Esto brinda a las empresas un per铆odo de adaptaci贸n para cumplir con las nuevas obligaciones.