No hay régimen sancionador europeo. El artículo 65 se limita a ordenar a los Estados que establezcan el suyo para los incumplimientos del título III y de los esquemas, con el estándar habitual de sanciones efectivas, proporcionadas y disuasorias, y que se lo comuniquen a la Comisión. No fija cuantías, ni suelo mínimo, ni criterios de graduación, así que la multa concreta depende por entero de la ley nacional de cada Estado. Es la diferencia con eIDAS, que desde 2024 sí impone un suelo europeo de cinco millones de euros.

No hay régimen de notificación de incidentes. La norma no define incidente notificable, no fija plazos ni destinatarios y no menciona a los CSIRT en ninguna obligación de aviso. Lo que a veces se confunde con eso es el artículo 56, apartado 8, que es otra cosa: obliga al titular de un certificado a informar de cualquier vulnerabilidad o irregularidad que se detecte después y que pueda afectar al cumplimiento de los requisitos de certificación, y va dirigido a quien expidió el certificado, no a una autoridad de respuesta a incidentes. Su disparador es la detección de un defecto en lo certificado, no la ocurrencia de un ataque, y su consecuencia natural es revisar, suspender o retirar el certificado, no coordinar una respuesta. El esquema EUCC concreta ese deber con un plazo blando, transmitir el informe de análisis de impacto sin demora indebida, y con uno duro de treinta días para proponer medidas correctoras ante una falta de conformidad. Quien tenga que notificar incidentes lo hará por NIS2, por el Reglamento de Ciberresiliencia o por la norma sectorial que le alcance, nunca por esta.

Fabricantes y proveedores que se certifican

Quien presenta un producto, servicio o proceso de TIC a certificación bajo un esquema europeo. Desde que lo presenta debe entregar toda la información del procedimiento, y desde que obtiene el certificado responde de él: informa de las vulnerabilidades que aparezcan después y mantiene disponible la información complementaria de ciberseguridad (art. 55, art. 56.7 y 56.8)

Fabricantes y proveedores que se autoevalúan

Quien se acoge a la autoevaluación de la conformidad y firma una declaración UE. Solo cabe en el nivel de garantía básico y para riesgo bajo, y solo si el esquema lo permite: el EUCC no lo permite. Al firmarla asume la responsabilidad de la conformidad y queda bajo control de la autoridad nacional (art. 53)

Proveedores de servicios de seguridad gestionados

Desde el 4 de febrero de 2025 pueden certificarse también los servicios de seguridad gestionados: respuesta a incidentes, pruebas de penetración, auditorías de seguridad y consultoría de asistencia técnica. Es objeto certificable nuevo, con objetivos de seguridad propios centrados en la competencia y la integridad del personal (art. 2.14 bis y art. 51 bis)

Proveedores de la cartera europea de identidad digital

eIDAS exige que la parte de ciberseguridad de la certificación de la cartera se haga conforme a los esquemas de este Reglamento. Es hoy el caso más claro de certificación no voluntaria por remisión de otra norma (Rgto. (UE) n.º 910/2014, art. 5 quater)

Fabricantes de productos con elementos digitales

El Reglamento de Ciberresiliencia presume conformes con sus requisitos esenciales los productos certificados o con declaración UE bajo un esquema europeo, en la medida en que el certificado los cubra. Y faculta a la Comisión para exigir, por acto delegado, certificado de nivel al menos sustancial a los productos críticos de su anexo IV (Rgto. (UE) 2024/2847, art. 27.8 y art. 8.1)

Entidades esenciales e importantes de NIS2

NIS2 permite a los Estados exigir a sus entidades esenciales e importantes que usen productos, servicios y procesos de TIC certificados bajo un esquema de este Reglamento, y faculta a la Comisión para imponerlo por acto delegado a categorías concretas de entidades (Directiva (UE) 2022/2555, art. 24)

Proveedores de sistemas de IA de alto riesgo

El Reglamento de IA presume que cumplen sus requisitos de ciberseguridad los sistemas de alto riesgo con certificado o declaración de conformidad bajo un esquema de este Reglamento cuyas referencias se hayan publicado en el Diario Oficial, en la medida en que los cubran (Rgto. (UE) 2024/1689, art. 42.2)

Organismos de evaluación de la conformidad

Acreditados por el organismo nacional de acreditación, con un máximo de cinco años renovables, y sujetos a los requisitos de independencia, competencia, confidencialidad y seguro del anexo. Para el nivel elevado necesitan además autorización de la autoridad nacional (art. 60 y anexo)

Autoridades nacionales de certificación

Designadas por cada Estado, supervisan a organismos, titulares de certificados y autoevaluadores, retiran certificados, tramitan reclamaciones e imponen las sanciones del Derecho nacional. Se someten a revisión interpares al menos cada cinco años (art. 58 y art. 59)

Exclusiones

Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.º 526/2013 (Reglamento sobre la Ciberseguridad)

Identificador

CELEX 32019R0881

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

El objeto entero de la norma es la ciberseguridad, pero casi nada de ella es exigible por sí misma. La certificación es voluntaria salvo que otra norma la imponga, y las obligaciones que muerden (sostener el certificado, avisar de las vulnerabilidades que aparezcan después, publicar el período de soporte y el canal de aviso) solo nacen cuando alguien decide certificarse o autoevaluarse. El resto es institucional: ENISA, las autoridades nacionales, los organismos de evaluación. Su peso real es estructural, porque es la moneda de conformidad que gastan otras normas: el Reglamento de Ciberresiliencia da presunción de conformidad a lo certificado, NIS2 permite a los Estados exigir productos certificados, el Reglamento de IA presume cumplido su requisito de ciberseguridad y eIDAS remite a estos esquemas para la parte ciber de la cartera de identidad digital.

Valoración del curador · nivel 3 de 5

Certificarse es voluntario, salvo que otra norma lo exija Ciber

Lo primero que hay que saber: este Reglamento no obliga a certificar nada. Lo que hace es crear el marco y decir que lo certificado bajo un esquema europeo se considera conforme con los requisitos de ese esquema. La obligación llega por otra puerta, la de una norma de la Unión o nacional que sí lo imponga, y hoy la más clara es la certificación de la parte ciber de la cartera europea de identidad digital.

Literal de la norma La certificación de la ciberseguridad será voluntaria, salvo que se disponga otra cosa en el Derecho de la Unión o de los Estados miembros.

Art. 56.1 y 56.2

Tres niveles de garantía y quién puede firmar cada uno Ciber

El nivel de garantía es básico, sustancial o elevado, y refleja el riesgo del uso previsto, no la calidad del producto. Cada nivel exige una profundidad de evaluación distinta: en básico basta con revisar la documentación técnica; en sustancial hay que demostrar que no hay vulnerabilidades conocidas públicamente y comprobar que las funcionalidades de seguridad se aplican bien; en elevado se añaden pruebas de penetración contra atacantes expertos. Y cambia quién firma: básico y sustancial los expide un organismo de evaluación acreditado, mientras que el elevado solo lo expide la autoridad nacional, o un organismo con su aprobación caso a caso o por delegación general.

Literal de la norma indica el nivel en el que se ha evaluado un producto, servicio o proceso de TIC o un servicio de seguridad gestionado, pero, como tal, no mide la seguridad del producto, servicio o proceso de TIC o del servicio de seguridad gestionado en cuestión

Art. 52 · art. 56.4 a 56.6

Autoevaluación y declaración UE de conformidad Ciber

Un esquema puede permitir que el propio fabricante o proveedor evalúe la conformidad y firme una declaración UE, pero solo en el nivel básico y para riesgo bajo. Firmarla no es un trámite: se asume la responsabilidad de la conformidad, hay que conservar la declaración, la documentación técnica y la información pertinente a disposición de la autoridad nacional durante el plazo que fije el esquema, y hay que remitir copia de la declaración a esa autoridad y a ENISA. Las declaraciones se reconocen en todos los Estados.

Literal de la norma La autoevaluación de la conformidad únicamente se autorizará en relación con los productos, servicios y procesos de TIC o los servicios de seguridad gestionados que presenten un riesgo bajo correspondientes al nivel de garantía «básico».

Art. 53

Entregar toda la información del procedimiento

Quien presenta algo a certificación tiene que poner a disposición del organismo que evalúa, o de la autoridad nacional si es ella quien expide, toda la información necesaria para el procedimiento. En el EUCC esto llega hasta el código fuente cuando la evaluación lo requiere, con salvaguardias contra la divulgación no autorizada.

Art. 56.7

El certificado como prueba frente a otras normas Ciber

Aquí está el valor práctico del marco. Cuando otro acto de la Unión lo prevea, el certificado o la declaración UE sirven para demostrar la presunción de conformidad con los requisitos de ese acto, y en ausencia de armonización puede preverlo también el Derecho nacional. Es la razón de que certificarse ahorre trabajo: el Reglamento de Ciberresiliencia y el Reglamento de IA reconocen esa presunción sobre sus propios requisitos de ciberseguridad.

Literal de la norma Cuando un acto jurídico específico de la Unión así lo prevea, podrá utilizarse la certificación o la declaración de conformidad de la UE en virtud de un esquema europeo de certificación de la ciberseguridad para demostrar la presunción de conformidad con los requisitos de dicho acto jurídico.

Art. 54.3 y 54.4

Qué tiene que acreditar un esquema sobre un producto Ciber

Los diez objetivos de seguridad que todo esquema sobre productos, servicios o procesos de TIC debe estar diseñado para cumplir. No obligan directamente al fabricante, pero son lo que el esquema le va a exigir: protección de los datos almacenados, transmitidos o tratados durante todo el ciclo de vida, acceso solo por quien tiene derecho, detección y documentación de dependencias y vulnerabilidades conocidas, registro y verificabilidad de accesos, ausencia de vulnerabilidades conocidas, restauración rápida tras un incidente, seguridad por defecto y desde el diseño, y entrega con software y hardware actualizados y con mecanismos de actualización de seguridad.

Art. 51

Qué tiene que acreditar un esquema sobre un servicio gestionado Ciber

Los objetivos propios de los servicios de seguridad gestionados, que el Reglamento (UE) 2025/37 añadió en 2025. El primero no es técnico: el servicio se presta con la competencia, la pericia y la experiencia necesarias, por personal con conocimientos suficientes en el ámbito específico y con el máximo nivel de integridad profesional. A partir de ahí, procedimientos internos que sostengan la calidad, protección de los datos a los que el proveedor accede al prestar el servicio, restauración rápida, control de acceso, registro evaluable, y que lo que el proveedor despliegue en casa del cliente sea seguro desde el diseño y por defecto.

Literal de la norma que los servicios de seguridad gestionados se presten con la competencia, pericia y experiencia necesarias, y, en particular, que el personal encargado de prestar dichos servicios posea un nivel suficiente y adecuado de competencia y conocimientos técnicos en el ámbito específico, así como una experiencia suficiente y adecuada, y actúe con el máximo nivel de integridad profesional

Art. 51 bis

Avisar de la vulnerabilidad que aparece después Ciber

La obligación más viva del Reglamento y la que más se confunde con una notificación de incidentes. El titular del certificado informa a quien se lo expidió de cualquier vulnerabilidad o irregularidad que se detecte después y que pueda afectar al cumplimiento de los requisitos de certificación. No hay plazo en el Reglamento; lo pone el esquema. Quien lo recibe lo traslada sin demora indebida a la autoridad nacional.

Literal de la norma El titular de un certificado europeo de ciberseguridad informará a la autoridad o al organismo a que se refiere el apartado 7 de cualquier vulnerabilidad o irregularidad que se detecte posteriormente relativa a la seguridad de los productos, servicios o procesos de TIC o los servicios de seguridad gestionados certificados que pueda afectar al cumplimiento de los requisitos de certificación.

Art. 56.8

Información complementaria de ciberseguridad Ciber

Cuatro cosas que hay que publicar sobre todo lo certificado o autoevaluado, en formato electrónico y manteniéndolas actualizadas al menos hasta que expire el certificado o la declaración: cómo configurar, instalar, desplegar, operar y mantener el producto de forma segura; durante cuánto tiempo habrá apoyo de seguridad y actualizaciones; a quién y por qué vía se le comunican vulnerabilidades; y dónde están los registros públicos de vulnerabilidades conocidas del producto. Es un compromiso de soporte publicado, no un anexo técnico.

Literal de la norma el período durante el cual se ofrecerá a los usuarios finales apoyo en materia de seguridad, en particular en lo que se refiere a la disponibilidad de actualizaciones relacionadas con la ciberseguridad

Art. 55

El certificado caduca y hay que renovarlo Ciber

El certificado se expide por el período que fije el esquema y se renueva solo si se siguen cumpliendo los requisitos. En el EUCC el máximo son cinco años, ampliables únicamente con aprobación de la autoridad nacional. La revisión del certificado puede confirmarlo, retirarlo, o retirarlo y expedir uno nuevo con el mismo alcance y más plazo, o con un alcance distinto. Los certificados expedidos se reconocen en todos los Estados miembros.

Literal de la norma El período máximo de validez de un certificado EUCC será de cinco años.

Art. 56.9 y 56.10 · Rgto. de Ejecución (UE) 2024/482, arts. 12 y 13

El EUCC no admite autoevaluación Ciber

El primer esquema operativo cierra la puerta a la autoevaluación: los certificados EUCC son sustancial o elevado, nunca básico, y siempre los expide un tercero. Sustancial corresponde a los niveles AVA_VAN 1 o 2 de los criterios comunes; elevado, a AVA_VAN 3, 4 o 5. Quien busque la vía de la declaración propia tendrá que esperar a otro esquema.

Literal de la norma No se permitirá la autoevaluación de la conformidad en el sentido del artículo 53 del Reglamento (UE) 2019/881.

Rgto. de Ejecución (UE) 2024/482, arts. 4 y 6

Compromisos firmados del solicitante

Sin esta declaración firmada no hay certificado. Cinco compromisos que atan sobre todo al marketing: dar información completa y correcta, no anunciar el producto como certificado antes de que lo esté, promocionar la certificación solo dentro del alcance que dice el certificado, dejar de promocionarla de inmediato si se suspende, se retira o expira, y garantizar que lo que se vende con referencia al certificado es estrictamente idéntico a lo que se evaluó.

Rgto. de Ejecución (UE) 2024/482, art. 9.2

Vigilar el producto certificado mientras dure el certificado Ciber

El certificado no es un punto final. El titular vigila de forma continua la información de vulnerabilidad de lo certificado, incluidas sus dependencias conocidas, tanto por sus propios medios como atendiendo a lo que le llegue de usuarios, investigadores o cualquier otra fuente, y vigila también la garantía que el certificado declara. Y coopera con el organismo de certificación, el laboratorio y la autoridad nacional en sus propias actividades de control.

Rgto. de Ejecución (UE) 2024/482, art. 27

Procedimiento de gestión de vulnerabilidades del titular Ciber

Un proceso completo, no un buzón. Hay que establecer y mantener los procedimientos de gestión de vulnerabilidades, apoyados en su caso en la norma EN ISO/IEC 30111; mantener y publicar métodos para recibir avisos de fuera; registrar toda vulnerabilidad posible que se detecte o reciba y analizar su impacto en un plazo proporcionado a lo explotable y grave que sea; avisar al titular de los certificados dependientes si el producto es compuesto; y elaborar un informe de impacto cuando la vulnerabilidad pueda afectar a la conformidad, que se transmite sin demora indebida. Si el informe concluye que no se puede subsanar, el certificado se retira; si se puede, el titular propone medidas correctoras y el organismo revisa el certificado. Y las vulnerabilidades residuales se siguen vigilando por si cambia el entorno operativo.

Literal de la norma El titular de un certificado EUCC mantendrá y publicará métodos adecuados para recibir información sobre vulnerabilidades relacionadas con sus productos de fuentes externas, en particular de usuarios, organismos de certificación e investigadores en materia de seguridad.

Rgto. de Ejecución (UE) 2024/482, arts. 33 a 36

Treinta días para proponer medidas correctoras Ciber

Cuando el organismo de certificación detecta que el producto certificado ha dejado de ser conforme, o que el titular no cumple sus compromisos y obligaciones, le fija un plazo que no puede pasar de treinta días para proponer medidas correctoras. Si no las propone, el certificado se suspende o se retira. Y si el incumplimiento es continuado o recurrente, se retira directamente. En emergencia, o si el titular no coopera, la suspensión puede llegar antes de que venza el plazo.

Rgto. de Ejecución (UE) 2024/482, arts. 28 y 29

Avisar a los compradores si el certificado se suspende Ciber

La suspensión dura como máximo cuarenta y dos días, prorrogables por la autoridad nacional hasta un año, y no afecta a la validez del certificado. Lo que sí obliga es a contarlo: el titular comunica a los compradores de los productos afectados la suspensión y los motivos, salvo las partes que contengan información delicada o cuya divulgación cree riesgo de seguridad, y pone además esa información a disposición del público. Hace falta saber quiénes son esos compradores antes de necesitarlo.

Literal de la norma Los titulares de la certificación comunicarán a los compradores de los productos de TIC afectados la suspensión y los motivos aducidos al respecto por el organismo de certificación, excepto aquellas partes de los motivos que contengan información delicada o cuya divulgación suponga un riesgo para la seguridad.

Rgto. de Ejecución (UE) 2024/482, art. 30

Publicar la vulnerabilidad tras la retirada Ciber

Retirado el certificado, el titular divulga y registra toda vulnerabilidad conocida públicamente y ya subsanada del producto, en la base de datos europea de vulnerabilidades que crea NIS2 o en los registros en línea a los que remite el artículo 55 de este Reglamento.

Rgto. de Ejecución (UE) 2024/482, art. 39

Conservar registros y una muestra del producto

El titular guarda de forma segura, al menos durante los cinco años siguientes a la retirada del certificado, los registros de la información que aportó durante la certificación y una muestra del producto certificado, y los pone a disposición del organismo o de la autoridad nacional cuando se los pidan. La información del artículo 55 se publica además en un lenguaje fácilmente accesible para los usuarios.

Rgto. de Ejecución (UE) 2024/482, art. 41

Los esquemas nacionales decaen cuando llega el europeo Ciber

Cuando un esquema europeo cubre un tipo de producto, servicio o proceso, los esquemas nacionales sobre lo mismo dejan de surtir efectos en la fecha que fije el acto de ejecución, y los Estados no pueden crear otros nuevos. Los certificados nacionales ya expedidos siguen válidos hasta caducar, pero si se revisan, el nuevo certificado sale ya bajo el esquema europeo. Lo que no cubre ningún esquema europeo sigue como estaba.

Literal de la norma Los Estados miembros se abstendrán de introducir nuevos esquemas nacionales de certificación de la ciberseguridad para los productos, servicios y procesos de TIC y los servicios de seguridad gestionados cubiertos por un esquema europeo de certificación de la ciberseguridad en vigor.

Art. 57

Supervisión de la autoridad nacional

La autoridad nacional controla que lo certificado siga conforme, que quien se autoevalúa cumpla lo que firmó, y que los organismos de evaluación estén a la altura. Para eso puede pedir cualquier información a organismos, titulares y autoevaluadores, auditarlos, entrar en sus locales, retirar certificados e imponer las sanciones del Derecho nacional. Tramita además las reclamaciones e informa cada año a ENISA y al grupo europeo de sus actividades.

Art. 58.7 y 58.8

Acreditación e independencia de quien evalúa

El organismo de evaluación se acredita por un máximo de cinco años renovables y cumple el anexo: tercero independiente de lo que evalúa, sin intervenir en el diseño, la fabricación o el mantenimiento de eso mismo, sin prestar consultoría sobre ello, con imparcialidad garantizada, con remuneración de sus directivos y evaluadores desligada del número y del resultado de las evaluaciones, con seguro de responsabilidad y con secreto profesional sobre lo que conoce. Y con condiciones de tasas que tengan en cuenta a las pequeñas y medianas empresas.

Art. 60 · anexo

Notificación de los organismos a la Comisión

La autoridad nacional notifica a la Comisión qué organismos ha acreditado y autorizado para cada esquema, y comunica sin demora indebida cualquier cambio. Desde el Reglamento de Ejecución (UE) 2024/3143 la notificación viaja por el sistema electrónico común de comercialización de productos, con la información tasada de su anexo, y cada organismo recibe un número de identificación único aunque esté notificado bajo varios esquemas o varios actos de la Unión. Si la notificación se restringe, se suspende o se retira, la autoridad se ocupa de que los registros del organismo se conserven de forma segura.

Art. 61 · Rgto. de Ejecución (UE) 2024/3143

Revisión interpares de las autoridades

Las autoridades nacionales se revisan entre ellas al menos cada cinco años, con dos autoridades de otros Estados y la Comisión. El Reglamento de Ejecución (UE) 2025/2540 puso calendario y método: cuestionario de autoevaluación, revisión documental, entrevistas y visita in situ de tres días laborables como máximo, cada autoridad paga su participación, y se evalúa entre otras cosas si la certificación y la supervisión están de verdad separadas cuando la autoridad hace las dos. En los organismos de certificación de nivel elevado hay una evaluación por pares equivalente, con el mismo ritmo de cinco años.

Art. 59 · Rgto. de Ejecución (UE) 2025/2540

El régimen sancionador lo escribe cada Estado

El Reglamento no fija ni una cifra. Ordena a los Estados establecer sanciones para los incumplimientos del título III y de los esquemas, que sean efectivas, proporcionadas y disuasorias, y comunicarlas a la Comisión sin demora. Todo lo demás depende de la ley nacional.

Literal de la norma Los Estados miembros establecerán el régimen de sanciones aplicables a los incumplimientos del presente título y de los esquemas europeos de certificación de la ciberseguridad y adoptarán toda medida necesaria para garantizar su aplicación. Las sanciones establecidas serán efectivas, proporcionadas y disuasorias.

Art. 65

La Comisión revisa si un esquema debe ser obligatorio

El interruptor que puede convertir todo esto en obligatorio. La Comisión evalúa periódicamente la eficacia y el uso de los esquemas adoptados y si alguno debe hacerse obligatorio por el Derecho de la Unión, con prioridad para los sectores del anexo II de la Directiva (UE) 2016/1148. La primera evaluación vencía el 31 de diciembre de 2023 y las siguientes van como mínimo cada dos años. Al hacerla tiene que pesar el coste para fabricantes y usuarios, los intereses de las pymes y las microempresas, y proponer la transición más rápida y eficaz de lo voluntario a lo obligatorio.

Art. 56.3

Dónde se comprueba que un certificado sigue vivo

ENISA mantiene el sitio web con los esquemas, los certificados europeos y las declaraciones UE, incluidos los retirados, caducados y los esquemas que ya no valen. Bajo el EUCC publica además el estado de cada certificado (en vigor, suspendido, retirado o expirado), el informe de certificación, la declaración de seguridad y las listas de organismos acreditados y autorizados, en inglés como mínimo, e identificando qué versiones del producto cubre cada certificado. Los organismos y las autoridades le informan sin demora de cualquier decisión que cambie ese estado.

Art. 50 · Rgto. de Ejecución (UE) 2024/482, art. 42

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 52 · art. 53 · art. 56 · Rgto. de Ejecución (UE) 2024/482, arts. 6, 9.2, 11, 12 y 13 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Art. 55.1.c) y d) · art. 56.8 · Rgto. de Ejecución (UE) 2024/482, arts. 33 a 36 y 39 · categorización del curador, no de la norma

Soporte y actualizaciones de seguridad del producto Compartida

Comprometer por cuánto tiempo se mantiene lo vendido y montar la infraestructura para sostenerlo. Es una decisión de producto y de precio, no una tarea de cumplimiento.

Art. 55.1.a) y b) · categorización del curador, no de la norma

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

Art. 51 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 51 bis, letra a) · categorización del curador, no de la norma

Sostener el certificado y avisar al mercado cuando decae

Tratar el certificado como algo que hay que mantener vivo y no como un documento archivado: alguien vigila la información de vulnerabilidad del producto certificado y sus dependencias, y también la garantía que el certificado declara. Cuando aparece una falta de conformidad, el reloj de treinta días para proponer medidas correctoras corre desde que lo dice el organismo de certificación, así que la capacidad de responder tiene que existir antes. Y cuando el certificado se suspende, hay que poder identificar y alcanzar a los compradores de los productos afectados, y publicar la información, en cuestión de días.

Rgto. de Ejecución (UE) 2024/482, arts. 27, 28, 29, 30 y 41 · categorización del curador, no de la norma

Fabricante o proveedor de TIC

Quien fabrica o proporciona un producto, un servicio o un proceso de TIC, o un servicio de seguridad gestionado. Es el término que engloba a las tres figuras siguientes, y por sí solo no le obliga nada: la norma no impone certificarse. Aparece nombrado directamente en dos sitios, el que le permite autoevaluarse y el que le exige publicar información complementaria de ciberseguridad de lo que ya está certificado o autoevaluado.

Art. 53.1 · art. 55.1

Proveedor de servicios de seguridad gestionados

Quien presta a un tercero servicios de gestión de riesgos de ciberseguridad: respuesta a incidentes, pruebas de penetración, auditorías de seguridad o consultoría de asistencia técnica. Es la figura que añadió el Reglamento (UE) 2025/37 en 2025, y su entrada cambia el objeto de la certificación: hasta entonces se certificaban cosas, ahora también se certifica a quien opera la seguridad de otro. Los objetivos que un esquema debe exigirle son distintos de los de un producto y empiezan por la competencia y la integridad profesional de las personas que prestan el servicio.

Literal de la norma servicio prestado a un tercero que consiste en llevar a cabo o prestar asistencia para actividades relacionadas con la gestión de riesgos de ciberseguridad, como, por ejemplo, la gestión de incidentes, las pruebas de penetración, las auditorías de seguridad y la consultoría relacionada con la asistencia técnica, incluidos los conocimientos específicos

Art. 2.14 bis) · art. 51 bis

Solicitante de la certificación

La persona física o jurídica que presenta un producto, servicio o proceso de TIC, o un servicio de seguridad gestionado, para que lo certifiquen. Su deber es entregar toda la información necesaria para el procedimiento, y en el esquema EUCC firma además una declaración de compromisos que le acompaña después: no anunciar como certificado lo que todavía no lo está, no ampliar el alcance de lo certificado al promocionarlo y garantizar que lo que vende es idéntico a lo que se evaluó.

Art. 56.7 · Rgto. de Ejecución (UE) 2024/482, art. 9.2

Titular de un certificado europeo de ciberseguridad

Quien ha obtenido el certificado y responde de él mientras dure. Aquí está el grueso de lo que la norma obliga de verdad: informar de cualquier vulnerabilidad o irregularidad que se detecte después y que pueda afectar al cumplimiento de los requisitos de certificación, y, bajo el esquema EUCC, mantener un procedimiento de gestión de vulnerabilidades, vigilar la garantía que el certificado declara, proponer medidas correctoras en un plazo de treinta días y avisar a sus compradores si el certificado se suspende.

Art. 56.8 · Rgto. de Ejecución (UE) 2024/482, arts. 27, 33 y 41

Emisor de una declaración UE de conformidad

El fabricante o proveedor que, en lugar de acudir a un tercero, se autoevalúa y firma él mismo la declaración. Solo cabe en el nivel de garantía básico y para riesgo bajo, y solo si el esquema lo permite. Al firmarla asume la responsabilidad de la conformidad, tiene que conservar la declaración, la documentación técnica y la información pertinente a disposición de la autoridad nacional de certificación durante el plazo que fije el esquema, y remitir copia de la declaración a esa autoridad y a ENISA.

Art. 53.2 y 53.3

Organismo de evaluación de la conformidad

Quien evalúa y expide los certificados. Tiene que estar acreditado por el organismo nacional de acreditación, por un máximo de cinco años renovables, y cumplir el anexo del Reglamento: ser un tercero independiente de lo que evalúa, no prestar consultoría sobre ello, no remunerar a sus evaluadores en función del número o el resultado de las evaluaciones y suscribir un seguro de responsabilidad. Para el nivel elevado necesita además autorización de la autoridad nacional, certificado a certificado o por delegación general. En el esquema EUCC se desdobla en dos: el organismo de certificación, que decide, y la ITSEF, que es el laboratorio que evalúa.

Art. 60 · anexo · art. 56.6

Autoridad nacional de certificación de la ciberseguridad

El organismo que cada Estado designa para supervisar el marco en su territorio. Controla a los organismos de evaluación, a los titulares de certificados y a quien se autoevalúa; puede auditarlos, entrar en sus locales, retirar certificados e imponer las sanciones que fije el Derecho nacional. Cuando además expide certificados de nivel elevado, esas actividades tienen que estar estrictamente separadas de las de supervisión. Se somete a revisión interpares al menos cada cinco años.

Art. 58 · art. 59

Organismo nacional de acreditación

El organismo de acreditación designado conforme al Reglamento (CE) n.º 765/2008. No es una figura propia de esta norma: se le encomienda acreditar a los organismos de evaluación de la conformidad y restringir, suspender o revocar esa acreditación cuando dejan de cumplir las condiciones o infringen el Reglamento.

Art. 60.1 y 60.4

Estado miembro

El Estado, cuando la norma le habla directamente. Designa a una o más autoridades nacionales de certificación e informa a la Comisión de su identidad, establece el régimen de sanciones aplicable a los incumplimientos del título III y de los esquemas, y se abstiene de crear nuevos esquemas nacionales sobre lo que ya cubre un esquema europeo.

Art. 58.1 · art. 65 · art. 57.2

Comisión Europea

Adopta los esquemas por acto de ejecución a partir de la propuesta que prepara ENISA, publica el programa de trabajo evolutivo que fija las prioridades y evalúa periódicamente si un esquema concreto debe pasar a ser obligatorio. Es quien tiene la llave de que este marco deje de ser voluntario.

Art. 47 · art. 49.7 · art. 56.3

ENISA

La Agencia de la Unión Europea para la Ciberseguridad. En el marco de certificación prepara las propuestas de esquema por encargo de la Comisión, las revisa al menos cada cinco años y mantiene el sitio web donde se publican los esquemas, los certificados europeos, las declaraciones UE de conformidad y los que han caducado o se han retirado. Ese sitio es el único punto donde se puede comprobar si el certificado que enseña un proveedor sigue vivo.

Art. 49 · art. 50 · Rgto. de Ejecución (UE) 2024/482, art. 42