El Reglamento Delegado no contiene régimen sancionador, y la Directiva que completa tampoco fija cuantías: se limita a exigir a las autoridades de vigilancia del mercado que impongan medidas correctoras y restrictivas sobre el equipo no conforme, que son cosa distinta de una multa. Prohibir la comercialización, retirar del mercado y recuperar el equipo ya vendido son las consecuencias que la norma europea sí tasa, y para un fabricante suelen pesar más que el importe.

No hay régimen de notificación de incidentes. Ni el Reglamento Delegado ni la Directiva que completa definen incidente notificable, fijan plazos, nombran a un CSIRT o crean un canal de aviso. Lo que a veces se confunde con eso es el artículo 10, apartado 11, de la Directiva, que es otra cosa: cuando el fabricante considera o tiene motivos para pensar que un equipo que ha introducido en el mercado no es conforme, adopta inmediatamente las medidas correctoras necesarias y, si el equipo presenta un riesgo, informa a las autoridades nacionales competentes de los Estados en los que lo comercializó, con detalle de la no conformidad, de las medidas adoptadas y de sus resultados. El disparador es la falta de conformidad del producto, no la ocurrencia de un ataque; el destinatario es la autoridad de vigilancia del mercado, no una autoridad de respuesta a incidentes; y la consecuencia natural es corregir, retirar o recuperar el equipo, no coordinar una respuesta. Los importadores y los distribuidores tienen deberes equivalentes en los artículos 12 y 13. Quien fabrique equipo radioeléctrico y tenga que notificar incidentes lo hará por otra norma, y desde el 11 de septiembre de 2026 lo más probable es que sea el artículo 14 del Reglamento de Ciberresiliencia, que sí crea ese régimen y alcanza también al parque ya vendido.

Equipo conectado a internet

Todo equipo radioeléctrico que pueda comunicarse por internet, ya sea directamente o a través de cualquier otro equipo. Es la categoría más ancha de las tres y activa el requisito de protección de la red, la letra d) (art. 1.1)

Equipo que trata datos personales, de tráfico o de localización

Cuatro grupos, si el equipo es capaz de tratar datos personales o datos de tráfico o de localización: el equipo conectado a internet, el diseñado o destinado exclusivamente al cuidado de niños, el regulado por la Directiva de juguetes 2009/48/CE, y el ponible, entendiendo por tal el que se lleva, se ajusta o cuelga de cualquier parte del cuerpo o de la ropa. Activa la letra e) (art. 1.2)

Equipo que mueve dinero

Equipo radioeléctrico conectado a internet que permite al titular o al usuario transferir dinero, valor monetario o monedas virtuales, tal como se definen en la Directiva (UE) 2019/713. Activa el requisito de protección contra el fraude, la letra f) (art. 1.3)

Fabricantes

Quien fabrica el equipo, o encarga su diseño o su fabricación, y lo comercializa bajo su nombre o marca. Es quien responde de que el equipo cumpla los requisitos activados, de evaluar la conformidad, de la documentación técnica, de la declaración UE y del marcado CE (art. 2.1.12) y art. 10 de la Directiva)

Importadores y distribuidores

El importador trae al mercado de la Unión equipo procedente de un tercer país y comprueba antes de introducirlo que el fabricante evaluó la conformidad, redactó la documentación técnica y colocó el marcado. El distribuidor comercializa y comprueba los papeles con la debida diligencia (arts. 12 y 13 de la Directiva)

Representantes autorizados

Establecidos en la Unión y con mandato escrito del fabricante. El mandato no puede incluir ni la obligación de diseñar y fabricar conforme a los requisitos esenciales ni la de elaborar la documentación técnica: esas se quedan con el fabricante (art. 11 de la Directiva)

Quien pone su marca o modifica el equipo

El importador o el distribuidor que introduce el equipo con su nombre o marca, o que modifica uno ya introducido de forma que pueda quedar afectada su conformidad, se considera fabricante y asume el artículo 10 entero (art. 14 de la Directiva)

Organismos notificados

Intervienen cuando la autoevaluación por control interno de la producción no está disponible: si el fabricante no aplica normas armonizadas, las aplica parcialmente o no existen, y en la práctica también si la presunción está restringida para su caso, la conformidad pasa por examen UE de tipo o por pleno aseguramiento de la calidad (art. 17.3 y 17.4 de la Directiva)

Autoridades de vigilancia del mercado

Evalúan el equipo del que sospechan, exigen medidas correctoras en un plazo proporcional al riesgo y, si no llegan, prohíben o restringen la comercialización, retiran el equipo o lo recuperan. En España es la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (art. 40 de la Directiva y art. 34 del reglamento del Real Decreto 188/2016)

Exclusiones

Reglamento Delegado (UE) 2022/30 de la Comisión, de 29 de octubre de 2021, que completa la Directiva 2014/53/UE del Parlamento Europeo y del Consejo en lo que respecta a la aplicación de los requisitos esenciales contemplados en el artículo 3, apartado 3, letras d), e) y f), de dicha Directiva

Identificador

CELEX 32022R0030

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Todo lo que hace esta norma es ciberseguridad: sus tres artículos no regulan otra cosa que a qué equipos radioeléctricos se les exige protección de la red, protección de los datos personales y de la privacidad, y protección contra el fraude. No llega al cinco por dos razones que conviene decir juntas. La primera es que no obliga por sí misma: es un interruptor, y los deberes que muerden (diseñar conforme, evaluar la conformidad, declarar, marcar, conservar) están en la Directiva 2014/53/UE, que no es una norma de ciberseguridad. La segunda es que el régimen tiene fecha de caducidad escrita: el Reglamento Delegado (UE) 2026/339 lo deroga con efectos del 11 de diciembre de 2027, cuando el Reglamento de Ciberresiliencia pasa a cubrir lo mismo. Lo que queda es un régimen de veintiocho meses de vigencia efectiva que sigue obligando hoy, y que seguirá sosteniendo la vigilancia del mercado de lo introducido durante esos meses después de derogado.

Valoración del curador · nivel 4 de 5

Protección de la red, para todo lo que llegue a internet Ciber

El requisito se enuncia en una línea y su alcance es enorme: el equipo no debe dañar la red ni su funcionamiento, ni utilizar inadecuadamente los recursos de la red de manera que cause una degradación inaceptable del servicio. Alcanza a todo equipo radioeléctrico que pueda comunicarse por internet, directamente o a través de cualquier otro equipo, así que la conexión indirecta a través de una pasarela cuenta igual que la directa. Lo que está detrás es el aparato que se convierte en parte de una red de bots o que satura la red del cliente.

Literal de la norma El requisito esencial establecido en el artículo 3, apartado 3, letra d), de la Directiva 2014/53/UE se aplicará a todo equipo radioeléctrico que pueda comunicarse por internet, ya sea directamente o a través de cualquier otro equipo («equipo radioeléctrico conectado a internet»).

Art. 1.1 · Directiva 2014/53/UE, art. 3.3.d)

Salvaguardias de datos personales y privacidad Ciber

El equipo debe contener salvaguardias que garanticen la protección de los datos personales y la privacidad del usuario y del abonado. Se activa para cuatro grupos, si el equipo es capaz de tratar datos personales o datos de tráfico o de localización: el conectado a internet, el diseñado o destinado exclusivamente al cuidado de niños, el regulado por la Directiva de juguetes 2009/48/CE y el ponible, que es el que se lleva, se ajusta o cuelga de cualquier parte del cuerpo o de la ropa. Los tres últimos grupos no necesitan estar conectados a internet para entrar: basta con que emitan o reciban ondas de radio y traten esos datos. Y ojo con la conjunción: hasta la corrección de 2023 el texto español pedía tratar datos personales «y» datos de tráfico o de localización; desde entonces dice «o», y basta una de las dos capacidades.

Literal de la norma el equipo radioeléctrico contenga salvaguardias que garanticen la protección de los datos personales y la privacidad del usuario y del abonado

Art. 1.2 · Directiva 2014/53/UE, art. 3.3.e)

Funcionalidades de protección contra el fraude Ciber

El equipo debe ser compatible con determinadas funcionalidades que garanticen la protección contra el fraude. Es la categoría más estrecha de las tres: solo alcanza al equipo conectado a internet que permita al titular o al usuario transferir dinero, valor monetario o monedas virtuales, tal como se definen en la Directiva (UE) 2019/713. No hace falta ser un terminal de pago: basta con que desde el aparato se pueda ordenar la transferencia.

Literal de la norma El requisito esencial establecido en el artículo 3, apartado 3, letra f), de la Directiva 2014/53/UE se aplicará a todo equipo radioeléctrico conectado a internet, si dicho equipo permite al titular o usuario transferir dinero, valor monetario o monedas virtuales, tal como se definen en el artículo 2, letra d), de la Directiva (UE) 2019/713.

Art. 1.3 · Directiva 2014/53/UE, art. 3.3.f)

Diseñar y fabricar conforme a los requisitos esenciales Ciber parcial

La obligación matriz, y la única que no admite mandato ni delegación: el fabricante garantiza que el equipo que introduce en el mercado ha sido diseñado y fabricado conforme a los requisitos esenciales. Es una condición de introducción en el mercado, no una tarea de mantenimiento, así que la decisión se toma en el diseño y no después.

Literal de la norma Cuando introduzcan equipos radioeléctricos en el mercado, los fabricantes garantizarán que han sido diseñados y fabricados de conformidad con los requisitos esenciales establecidos en el artículo 3.

Directiva 2014/53/UE, art. 10.1

Elegir vía de evaluación, y cuándo deja de poder elegirse Ciber

Aquí está la consecuencia práctica más cara de esta norma. Para los requisitos del artículo 3, apartado 3, y por tanto para los tres de ciberseguridad, el fabricante que ha aplicado normas armonizadas publicadas en el Diario Oficial puede acogerse al control interno de la producción del anexo II, que es autoevaluación sin tercero. Si no las ha aplicado, solo las ha aplicado parcialmente o no existen tales normas (los tres supuestos que enumera el artículo 17.4), la conformidad se evalúa por examen UE de tipo o por pleno aseguramiento de la calidad, y entra un organismo notificado. La lectura práctica alcanza un paso más: donde la presunción está restringida, la norma armonizada deja de cubrir ese punto, que queda como aplicación parcial, y también ahí hace falta el organismo notificado. La diferencia entre las dos vías se mide en meses y en dinero, y depende de detalles muy concretos de las normas EN 18031.

Directiva 2014/53/UE, art. 17.3 y 17.4

La presunción de conformidad y sus tres agujeros Ciber

El equipo conforme con una norma armonizada publicada en el Diario Oficial se presume conforme con los requisitos esenciales a los que esa norma se aplique. Para la ciberseguridad de los equipos radioeléctricos las normas son EN 18031-1, sobre la letra d), EN 18031-2, sobre la letra e), y EN 18031-3, sobre la letra f), publicadas el 30 de enero de 2025. Pero se publicaron con restricciones, y son tres. Primera: las secciones de «justificación» y «orientaciones» de las tres normas no dan presunción, porque no contienen especificaciones. Segunda: ninguna de las tres da presunción si, al aplicar sus cláusulas 6.2.5.1 y 6.2.5.2, se autoriza al usuario a no establecer ni utilizar una contraseña. Tercera: la EN 18031-2 no da presunción en los equipos para juguetes y cuidado infantil cubiertos por sus cláusulas 6.1.3 a 6.1.6 si no se garantiza el control de acceso parental o de los tutores, y la EN 18031-3 no la da en absoluto respecto de los criterios de evaluación de su cláusula 6.3.2.4, sobre actualizaciones seguras, porque la Comisión considera que ninguno de los cuatro métodos que ofrece basta por sí solo para tratar activos financieros. Donde la presunción no llega, hace falta organismo notificado.

Literal de la norma Los equipos radioeléctricos que sean conformes con normas armonizadas o partes de estas cuyas referencias se han publicado en el Diario Oficial de la Unión Europea se presumirán conformes con los requisitos esenciales establecidos en el artículo 3 a los que se apliquen dichas normas o partes de estas.

Directiva 2014/53/UE, art. 16 · Decisión de Ejecución (UE) 2025/138, anexo

Documentación técnica, declaración UE y marcado CE Ciber parcial

Elaborada la documentación técnica y superada la evaluación, el fabricante redacta la declaración UE de conformidad y coloca el marcado CE, que se pone antes de introducir el equipo en el mercado. Cada unidad va acompañada de la declaración, completa o en su versión simplificada con la dirección de internet donde está el texto íntegro. Cuando el equipo está sujeto a varios actos de la Unión que exigen declaración, se redacta una sola que los identifique todos. Si la vía de evaluación fue el pleno aseguramiento de la calidad, el marcado CE va seguido del número de identificación del organismo notificado.

Directiva 2014/53/UE, art. 10.3 y 10.9 · art. 18 · art. 20

Conservar el expediente diez años Ciber parcial

El fabricante conserva la documentación técnica y la declaración UE de conformidad hasta diez años después de la introducción en el mercado del equipo. Y sobre solicitud motivada de una autoridad nacional competente entrega, en papel o en formato electrónico, toda la información y la documentación necesarias para demostrar la conformidad, en una lengua que esa autoridad entienda fácilmente.

Literal de la norma Los fabricantes conservarán la documentación técnica y la declaración UE de conformidad hasta diez años después de la introducción en el mercado del equipo radioeléctrico.

Directiva 2014/53/UE, art. 10.4 y 10.12

Mantener la conformidad de la producción en serie Ciber parcial

El fabricante se asegura de que existan procedimientos para que la producción en serie siga siendo conforme. No es una comprobación de una vez: hay que mirar los cambios de diseño y los cambios en las normas armonizadas u otras especificaciones técnicas con las que se declaró la conformidad, y cuando los riesgos del equipo lo justifiquen, ensayar muestras de lo ya comercializado, investigar y llevar registro de reclamaciones, equipos no conformes y recuperaciones, informando a los distribuidores.

Directiva 2014/53/UE, art. 10.5

Corregir e informar cuando el equipo no es conforme Ciber parcial

Cuando el fabricante considera o tiene motivos para pensar que un equipo que ha introducido en el mercado no es conforme, adopta inmediatamente las medidas correctoras necesarias para que lo sea, lo retira del mercado o lo recupera, según proceda. Y si además el equipo presenta un riesgo, informa inmediatamente a las autoridades nacionales competentes de los Estados en los que lo comercializó, con detalle de la no conformidad, de las medidas correctoras adoptadas y de los resultados obtenidos. Cooperar con esa autoridad en cualquier acción para evitar el riesgo forma parte del mismo deber.

Directiva 2014/53/UE, art. 10.11 y 10.12

Qué puede y qué no puede delegarse en un representante Ciber parcial

El fabricante puede designar por mandato escrito a un representante autorizado establecido en la Unión, pero el mandato tiene un suelo y un techo. El techo: la obligación de diseñar y fabricar conforme a los requisitos esenciales y la de elaborar la documentación técnica no pueden formar parte de él. El suelo: el mandato debe permitir al representante, como mínimo, mantener la declaración UE y la documentación técnica a disposición de las autoridades durante diez años desde la introducción en el mercado, entregar la información que pidan de forma motivada y cooperar en cualquier acción para eliminar los riesgos del equipo.

Directiva 2014/53/UE, art. 11

Comprobaciones del importador antes de introducir Ciber parcial

El importador solo introduce en el mercado equipos conformes. Antes de hacerlo se asegura de que el fabricante llevó a cabo el procedimiento de evaluación de la conformidad, elaboró la documentación técnica, colocó el marcado CE y cumplió sus deberes de identificación e información. Si considera o tiene motivos para pensar que el equipo no cumple los requisitos esenciales, no lo introduce hasta que sea conforme, y si el equipo presenta un riesgo informa al fabricante y a las autoridades de vigilancia del mercado. Conserva copia de la declaración UE a disposición de esas autoridades durante diez años desde la introducción en el mercado.

Directiva 2014/53/UE, art. 12

Debida diligencia del distribuidor Ciber parcial

El distribuidor actúa con la debida diligencia y, antes de comercializar, comprueba que el equipo lleva el marcado CE, que va acompañado de los documentos exigidos y de instrucciones e información de seguridad en una lengua comprensible para los usuarios del Estado donde se venda, y que el fabricante y el importador cumplieron sus deberes de identificación. Si tiene motivos para pensar que el equipo no cumple los requisitos esenciales, no lo comercializa hasta que sea conforme, y si presenta un riesgo informa al fabricante o al importador y a las autoridades de vigilancia del mercado.

Directiva 2014/53/UE, art. 13

Convertirse en fabricante por marca o por modificación Ciber parcial

El importador o el distribuidor que introduce un equipo en el mercado con su nombre o su marca, o que modifica uno ya introducido de forma que pueda quedar afectada su conformidad, se considera fabricante y queda sujeto a las obligaciones del artículo 10. No hay régimen intermedio: se asume el paquete completo, del diseño conforme a la conservación del expediente durante diez años.

Literal de la norma A los efectos de la presente Directiva, se considerará fabricante y, por consiguiente, estará sujeto a las obligaciones del fabricante con arreglo al artículo 10, un importador o distribuidor que introduzca un equipo radioeléctrico en el mercado con su nombre o marca o que modifique un equipo radioeléctrico que ya se haya introducido en el mercado de forma que pueda quedar afectada su conformidad con la presente Directiva.

Directiva 2014/53/UE, art. 14

Saber a quién se compró y a quién se vendió, diez años Ciber parcial

Previa solicitud, todo agente económico identifica ante las autoridades de vigilancia del mercado a quién le suministró el equipo y a quién se lo suministró él. Y tiene que poder hacerlo durante diez años desde cada uno de esos dos momentos, que corren por separado. Alcanza a fabricantes, representantes autorizados, importadores y distribuidores por igual.

Directiva 2014/53/UE, art. 15

Qué pasa cuando la autoridad encuentra el incumplimiento Ciber parcial

Cuando la autoridad tiene motivos suficientes para pensar que un equipo presenta un riesgo o no cumple al menos uno de los requisitos esenciales aplicables, evalúa, y los agentes económicos cooperan. Si constata el incumplimiento, pide sin demora al agente económico las medidas correctoras necesarias para adaptar el equipo, retirarlo del mercado o recuperarlo, en un plazo razonable y proporcional a la naturaleza del riesgo. Si el agente no las adopta, la autoridad prohíbe o restringe la comercialización, retira el equipo o lo recupera, y lo comunica a la Comisión y a los demás Estados. Si nadie objeta en tres meses, la medida se considera justificada y los demás Estados adoptan las suyas.

Directiva 2014/53/UE, art. 40

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

Arts. 1.1, 1.2 y 1.3 · Directiva 2014/53/UE, art. 3.3.d), e) y f) · Decisión de Ejecución (UE) 2025/138, anexo · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Directiva 2014/53/UE, arts. 10.3, 10.4, 10.9, 14, 16, 17.3 y 17.4 · art. 18 · art. 20 · Decisión de Ejecución (UE) 2025/138, anexo · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Directiva 2014/53/UE, arts. 12.2, 12.8, 13.2 y 15 · categorización del curador, no de la norma

Fabricante

Quien fabrica el equipo radioeléctrico, o encarga su diseño o su fabricación, y lo comercializa bajo su nombre o marca. Es el destinatario real de esta norma: cuando el Reglamento Delegado activa un requisito esencial, quien tiene que diseñar y fabricar el equipo para cumplirlo, evaluar su conformidad, redactar la documentación técnica, firmar la declaración UE y colocar el marcado CE es él. Se llega también a esta figura por asimilación, poniendo el propio nombre a un equipo ajeno o modificándolo.

Literal de la norma toda persona física o jurídica que fabrique equipos radioeléctricos, o que encargue el diseño o la fabricación de los mismos, y los comercialice bajo su nombre o marca registrada

Directiva 2014/53/UE, art. 2.1.12) · art. 10 · art. 14

Representante autorizado

Quien, establecido en la Unión, ha recibido del fabricante un mandato escrito para actuar en su nombre en tareas concretas. El mandato tiene un núcleo que no se delega: la obligación de diseñar y fabricar conforme a los requisitos esenciales y la de elaborar la documentación técnica se quedan siempre con el fabricante. Lo que el mandato debe permitir como mínimo es conservar la declaración UE y la documentación técnica a disposición de las autoridades durante diez años, entregarlas cuando las pidan y cooperar en la eliminación de riesgos.

Literal de la norma toda persona física o jurídica establecida en la Unión que ha recibido un mandato por escrito de un fabricante para actuar en su nombre en tareas específicas

Directiva 2014/53/UE, art. 2.1.13) · art. 11

Importador

Quien, establecido en la Unión, introduce en el mercado equipos radioeléctricos procedentes de un tercer país. No diseña ni fabrica: lo que se le exige es comprobar antes de introducir el equipo que el fabricante hizo su trabajo, y no introducirlo si tiene motivos para pensar que no cumple los requisitos esenciales. Conserva copia de la declaración UE durante diez años y avisa a las autoridades de vigilancia del mercado cuando el equipo presenta un riesgo.

Literal de la norma toda persona física o jurídica establecida en la Unión que introduzca en el mercado de la Unión equipos radioeléctricos procedentes de un tercer país

Directiva 2014/53/UE, art. 2.1.14) · art. 12

Distribuidor

Quien está en la cadena de suministro, no es el fabricante ni el importador, y comercializa el equipo. Actúa con la debida diligencia: comprueba el marcado CE y que el equipo va acompañado de los documentos, las instrucciones y la información de seguridad exigidas, y que fabricante e importador cumplieron sus deberes de identificación. En cuanto pone su nombre al equipo o lo modifica de forma que pueda quedar afectada su conformidad, deja de ser distribuidor y pasa a ser fabricante.

Literal de la norma toda persona, física o jurídica integrada en la cadena de suministro, distinta del fabricante o del importador, que comercialice equipos radioeléctricos

Directiva 2014/53/UE, art. 2.1.15) · art. 13 · art. 14

Organismo notificado

El organismo de evaluación de la conformidad que un Estado ha notificado a la Comisión y a los demás Estados. Aquí no es una figura decorativa: los requisitos de ciberseguridad se pueden autoevaluar por control interno de la producción solo si el fabricante aplica normas armonizadas publicadas en el Diario Oficial. Si no las aplica, las aplica solo en parte o no existen, y en la práctica también donde la presunción está restringida para lo que a él le afecta, la conformidad tiene que pasar por un examen UE de tipo o por el pleno aseguramiento de la calidad, y ahí interviene el organismo notificado.

Directiva 2014/53/UE, art. 2.1.22) · art. 17.4 · anexos III y IV

Autoridad de vigilancia del mercado

Quien controla en cada Estado que el equipo puesto en el mercado cumpla los requisitos esenciales. Cuando tiene motivos suficientes para pensar que un equipo no cumple al menos uno de ellos, evalúa, pide al agente económico las medidas correctoras en un plazo proporcional al riesgo y, si no llegan, prohíbe o restringe la comercialización, retira el equipo del mercado o lo recupera. En España la ejerce la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.

Directiva 2014/53/UE, art. 39 · art. 40 · Real Decreto 188/2016, reglamento, art. 34