Requisitos esenciales y deberes del fabricante · techo del Reglamento

Conducta

Incumplir los requisitos esenciales de ciberseguridad del anexo I o las obligaciones de los artículos 13 y 14: deberes del fabricante y notificación

Importe

Hasta 15 000 000 EUR o, si el infractor es una empresa, hasta el 2,5 % del volumen de negocio total anual mundial del ejercicio financiero anterior, la cuantía que sea superior

Art. 64.2

Resto de la cadena y organismos notificados · techo del Reglamento

Conducta

Incumplir las obligaciones del resto de la cadena y de los organismos notificados: arts. 18 a 23, 28, 30, 31, 32, 33.5, 39, 41, 47, 49 y 53

Importe

Hasta 10 000 000 EUR o el 2 % del volumen de negocio total anual mundial del ejercicio financiero anterior, la cuantía que sea superior

Art. 64.3

Información engañosa a las autoridades · techo del Reglamento

Conducta

Presentar información incorrecta, incompleta o engañosa a organismos notificados y a las autoridades de vigilancia del mercado en respuesta a una solicitud

Importe

Hasta 5 000 000 EUR o el 1 % del volumen de negocio total anual mundial del ejercicio financiero anterior, la cuantía que sea superior

Art. 64.4

Los dos informes finales no comparten reloj ni disparador, y ahí es donde se falla. El de la vulnerabilidad son catorce días desde que existe una medida correctora o paliativa: puede vencer meses después, o no vencer nunca mientras no haya remedio. El del incidente es un mes desde que se presentó la notificación de las 72 horas, y vence haya parche o no. Un procedimiento interno que trate «el informe final» como un hito único llegará tarde a uno de los dos.

Alerta temprana de una vulnerabilidad aprovechada activamente

Plazo

24 horas

Desde cuándo corre

Desde que el fabricante tiene conocimiento de la vulnerabilidad aprovechada activamente

Art. 14.2.a)

Notificación de la vulnerabilidad

Plazo

72 horas

Desde cuándo corre

Desde el conocimiento de la vulnerabilidad, no desde la alerta temprana

Art. 14.2.b)

Informe final de la vulnerabilidad

Plazo

14 días

Desde cuándo corre

Desde que se dispone de una medida correctora o paliativa. No desde el conocimiento ni desde la notificación: si no hay remedio, no corre

Art. 14.2.c)

Alerta temprana de un incidente grave que repercute en la seguridad del producto

Plazo

24 horas

Desde cuándo corre

Desde que el fabricante tiene conocimiento del incidente. Debe indicar ya si se sospecha que se debe a actos ilegales o malintencionados

Art. 14.4.a)

Notificación del incidente

Plazo

72 horas

Desde cuándo corre

Desde el conocimiento del incidente

Art. 14.4.b)

Informe final del incidente

Plazo

1 mes

Desde cuándo corre

Desde que se presentó la notificación del incidente de las 72 horas, no desde el conocimiento ni desde el cierre

Art. 14.4.c)

Informe provisional con actualizaciones de la situación

Plazo

Sin plazo: lo pide el CSIRT designado como coordinador cuando lo necesita

Desde cuándo corre

Lo fija quien lo pide

Art. 14.6

El CSIRT designado como coordinador y la ENISA, simultáneamente

Cuándo

Todas las notificaciones del art. 14, por la plataforma única de notificación que gestiona la ENISA. No son dos envíos: es uno que llega a ambos por diseño

En España

Qué CSIRT ocupa este papel depende del art. 12.1 de la Directiva NIS2, que España no ha transpuesto, así que la designación formal a efectos del CRA está pendiente. Los CSIRT de referencia hoy son INCIBE-CERT para el sector privado, que es donde está el fabricante típico, y CCN-CERT para el sector público. La ENISA sí es destinataria directa y europea, sin ventanilla española.

ENISA · Agencia de la Unión Europea para la Ciberseguridad ↗ INCIBE-CERT ↗ CCN-CERT ↗

Art. 14.1, 14.3 y 14.7 · art. 16

Los usuarios del producto

Cuándo

Una vez el fabricante tiene conocimiento de la vulnerabilidad o del incidente. A los afectados y, cuando proceda, a todos. Si no lo hace a tiempo, el CSIRT puede informarles en su lugar

Art. 14.8

El público

Cuándo

Cuando haga falta sensibilizar para prevenir o mitigar un incidente, o la divulgación sea de interés público. Decide el CSIRT coordinador, previa consulta al fabricante, y puede informar él o exigir al fabricante que lo haga

Art. 17.2

Las autoridades de vigilancia del mercado

Cuándo

Por vía distinta del art. 14: importadores y distribuidores que detectan un riesgo de ciberseguridad significativo avisan inmediatamente, y el fabricante que cesa su actividad avisa antes de que el cese surta efecto

En España

Pendiente. El art. 52.2 obliga a cada Estado a designar una o varias autoridades de vigilancia del mercado, y no se ha verificado contra fuente primaria española que España lo haya hecho. Sí está cerrado en el texto que, si el producto es además un sistema de IA de alto riesgo, quien vigila es la autoridad designada bajo el Reglamento de IA.

Art. 19.5 · art. 20.4 · art. 13.23

Fabricantes

Fabricante: quien desarrolla o fabrica el producto, o para quien se diseña, y lo comercializa con su nombre o marca, «ya sea de manera remunerada, monetizada o gratuita» (art. 3.13)

Importadores y distribuidores

Importador y distribuidor: el primero introduce en el mercado un producto con nombre o marca de alguien establecido fuera de la Unión; el segundo lo comercializa «sin influir sobre sus propiedades» (arts. 3.16 y 3.17)

Representantes autorizados

Representante autorizado: establecido en la Unión y con mandato escrito, pero con un núcleo indelegable: diseño, evaluación de riesgos, gestión de vulnerabilidades y conformidad de la producción se quedan con el fabricante (arts. 3.15 y 18.2)

Quien modifica sustancialmente

Quien modifica sustancialmente un producto ya comercializado pasa a ser fabricante y asume los artículos 13 y 14, sea importador, distribuidor o un tercero cualquiera (arts. 21 y 22)

Administradores de código abierto

Administrador de comunidad de programas informáticos de código abierto: persona jurídica que da soporte sistemático y sostenido a productos destinados a actividades comerciales. Régimen propio y más ligero (arts. 3.14 y 24)

Exclusiones

Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (Reglamento de Ciberresiliencia)

Identificador

CELEX 32024R2847

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Ciberseguridad de producto de la primera a la última página: requisitos esenciales del anexo I, gestión de vulnerabilidades durante todo el ciclo de vida, notificación de vulnerabilidades explotadas y marcado CE de ciberresiliencia.

Valoración del curador · nivel 5 de 5

Notificar al CSIRT coordinador y a la ENISA Ciber

Notificar simultáneamente al CSIRT designado como coordinador y a la ENISA toda vulnerabilidad aprovechada activamente y todo incidente grave que repercuta en la seguridad del producto, por la plataforma única de la ENISA.

Art. 14.1 y 14.3

Cascada de plazos de notificación Ciber

Cumplir las dos cascadas de plazos: alerta temprana a las 24 horas, notificación a las 72, e informe final: a los 14 días de que haya remedio si es una vulnerabilidad, a un mes de la notificación si es un incidente.

Art. 14.2 y 14.4

Aviso a los usuarios del producto Ciber

Informar a los usuarios afectados de la vulnerabilidad o el incidente y de las medidas que pueden adoptar. Si el fabricante no lo hace a tiempo, puede hacerlo el CSIRT en su lugar.

Art. 14.8

Alcance retroactivo al parque ya vendido Ciber

El deber de notificar alcanza a todos los productos ya comercializados antes del 11 de diciembre de 2027, no solo a los nuevos. Es la única obligación del Reglamento que mira hacia atrás.

Art. 69.3

Puerta de comercialización Ciber

No comercializar un producto que no cumpla los requisitos esenciales del anexo I, parte I, y no tener procesos de gestión de vulnerabilidades conformes con la parte II. Son dos conformidades distintas: el producto y los procesos.

Art. 6 y anexo I

Comercializar sin vulnerabilidades aprovechables conocidas Ciber

Es una condición de puesta en el mercado, no una tarea de mantenimiento. Convierte el inventario de vulnerabilidades del producto en un requisito previo a vender.

Anexo I, parte I, punto 2, letra a)

Configuración segura por defecto y actualizaciones automáticas Ciber

Estado seguro de fábrica con posibilidad de restablecerlo, y actualizaciones de seguridad automáticas habilitadas por defecto, con mecanismo de exclusión voluntaria claro y opción de posponerlas.

Anexo I, parte I, punto 2, letras b) y c)

Control de acceso, confidencialidad e integridad Ciber

Protección frente al acceso no autorizado con aviso de los intentos, cifrado en reposo o en tránsito con mecanismos de última tecnología, y protección de datos, comandos, programas y configuración frente a manipulación, con aviso de corrupción de datos.

Anexo I, parte I, punto 2, letras d), e) y f)

Superficie de ataque, resiliencia y registros Ciber

Disponibilidad de las funciones esenciales incluso tras un incidente y frente a denegación de servicio, diseño que limite las interfaces externas, mitigación del aprovechamiento de vulnerabilidades, y registro de la actividad interna pertinente con exclusión voluntaria del usuario.

Anexo I, parte I, punto 2, letras h) a l)

Nomenclatura de materiales del software (SBOM) Ciber

Identificar y documentar vulnerabilidades y componentes en un formato comúnmente utilizado y legible por máquina, que incluya al menos las dependencias de máximo nivel del producto.

Anexo I, parte II, punto 1

Subsanar sin demora y separar las actualizaciones de seguridad Ciber

Abordar y corregir las vulnerabilidades sin demora y, cuando sea técnicamente viable, entregar las actualizaciones de seguridad separadas de las de funcionalidad. Más exámenes y pruebas de seguridad periódicos.

Anexo I, parte II, puntos 2 y 3

Divulgación coordinada de vulnerabilidades Ciber

Política de divulgación coordinada, publicación de información sobre las vulnerabilidades ya solucionadas, y una dirección de contacto para que cualquiera pueda reportar. La publicación puede retrasarse en casos justificados hasta que los usuarios puedan parchear.

Anexo I, parte II, puntos 4, 5 y 6

Actualizaciones gratuitas y distribuidas de forma segura Ciber

Mecanismos de distribución segura, y difusión sin demora y gratuita de las actualizaciones de seguridad. Solo cabe pactar otra cosa en productos a medida con usuario profesional: no se puede cobrar por un parche de seguridad de un producto de consumo.

Anexo I, parte II, puntos 7 y 8

Evaluación de riesgos documentada Ciber

Hacer una evaluación de riesgos de ciberseguridad, documentarla, mantenerla actualizada durante el período de soporte e incorporarla a la documentación técnica, justificando por escrito cada requisito esencial que no aplique.

Art. 13.2 a 13.4

Período de soporte mínimo de cinco años Ciber

Fijar un período de soporte de al menos cinco años, publicar su fecha final con mes y año en el momento de la compra, y mantener disponibles las actualizaciones de seguridad diez años tras su publicación. El mínimo de cinco años solo cede si se prevé que el producto se use menos tiempo: entonces el período de soporte es el tiempo de utilización previsto.

Art. 13.8, 13.9 y 13.19

Diligencia debida sobre componentes de terceros Ciber

Ejercer diligencia debida sobre los componentes de terceros, incluidos los de código abierto, y avisar aguas arriba a quien mantiene el componente cuando se le detecta una vulnerabilidad, compartiendo la corrección.

Art. 13.5 y 13.6

Punto de contacto único para los usuarios Ciber

Un canal identificable fácilmente que permita comunicarse directa y rápidamente con el fabricante y notificarle vulnerabilidades. No puede limitarse a herramientas automatizadas.

Art. 13.17

Evaluación de la conformidad y marcado CE Ciber

Someter el producto al procedimiento de evaluación de la conformidad que le corresponda y colocar el marcado CE. La clase II del anexo III no admite autoevaluación, y los productos críticos del anexo IV van a certificación europea. En la clase I la autoevaluación solo sobrevive mientras existan y se apliquen normas armonizadas.

Art. 32 y art. 30

Comprobaciones del importador Ciber

Comprobar antes de introducir el producto que el fabricante evaluó la conformidad, redactó la documentación técnica y colocó el marcado CE; avisar al fabricante de las vulnerabilidades que se conozcan e, inmediatamente, a las autoridades si hay riesgo significativo.

Art. 19

Comprobaciones del distribuidor Ciber

Comprobar el marcado CE y que fabricante e importador cumplieron sus deberes de identificación e información, y no comercializar el producto si hay motivos para creer que no es conforme.

Art. 20

Convertirse en fabricante por marca o por modificación Ciber

Quien pone su nombre o marca a un producto, o le hace una modificación sustancial, se convierte en fabricante y asume los artículos 13 y 14: del producto entero si la modificación afecta a su ciberseguridad en conjunto.

Arts. 21 y 22

Identificación de la cadena durante diez años Ciber

Identificar a petición de la autoridad quién suministró el producto y a quién se suministró, y poder hacerlo durante diez años.

Art. 23

Política de ciberseguridad del administrador de comunidad Ciber

Establecer y documentar de manera verificable una política de ciberseguridad, y cooperar con la autoridad de vigilancia. Del artículo 14 solo les alcanzan los apartados 1, 3 y 8, y en la medida en que participen en el desarrollo.

Art. 24

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Art. 6 y anexo I · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 13.2 a 13.4 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 13.5 y 13.6 · arts. 19, 20 y 23 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Anexo I, parte II, puntos 2 a 6 · art. 13.6 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Anexo I, parte II, punto 3 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 14.1 y 14.3 · art. 13.17 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 14 · art. 69.3 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 24 · categorización del curador, no de la norma

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

Anexo I, parte I, punto 2 · categorización del curador, no de la norma

Soporte y actualizaciones de seguridad del producto Compartida

Comprometer por cuánto tiempo se mantiene lo vendido y montar la infraestructura para sostenerlo. Es una decisión de producto y de precio, no una tarea de cumplimiento.

Art. 13.8, 13.9 y 13.19 · anexo I, parte II, puntos 7 y 8 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 32 y art. 30 · arts. 21 y 22 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Anexo I, parte II, punto 1 · categorización del curador, no de la norma

Fabricante

Quien desarrolla o fabrica el producto, o para quien se diseña, y lo comercializa con su nombre o marca. La definición cubre el suministro «ya sea de manera remunerada, monetizada o gratuita»: regalar el software no saca a nadie del Reglamento. También se llega aquí por asimilación, y esa es la puerta que más gente no ve venir: el importador, el distribuidor o cualquier tercero que ponga su nombre a un producto ya comercializado, o le haga una modificación sustancial, pasa a ser fabricante y asume los artículos 13 y 14.

Arts. 3.13, 21 y 22

Importador

Quien, estando establecido en la Unión, introduce en el mercado un producto que lleva el nombre o la marca de alguien establecido fuera de ella. Ni lo desarrolla ni influye sobre sus propiedades: lo que se le exige es comprobar antes de introducirlo que el fabricante hizo su trabajo.

Art. 3.16

Distribuidor

Quien forma parte de la cadena de suministro y comercializa el producto «sin influir sobre sus propiedades». En cuanto influye sobre ellas, poniéndole su nombre o modificándolo sustancialmente, deja de ser distribuidor y pasa a fabricante.

Art. 3.17

Representante autorizado

Quien, estando establecido en la Unión, ha recibido del fabricante un mandato escrito para tareas concretas. El mandato tiene un núcleo indelegable: el diseño, la evaluación de riesgos, la gestión de vulnerabilidades y la conformidad de la producción se quedan con el fabricante, haya representante o no.

Arts. 3.15 y 18.2

Administrador de código abierto

Persona jurídica, distinta del fabricante, que da soporte sistemático y sostenido a productos de código abierto destinados a actividades comerciales. Tiene régimen propio y mucho más ligero: su deber es documentar de manera verificable una política de ciberseguridad, del artículo 14 solo le alcanzan los apartados 1, 3 y 8, y queda fuera de las multas por cualquier infracción del Reglamento.

Arts. 3.14 y 24