Evaluación de la conformidad con arreglo a la Ley de Ciberresiliencia de la UE
Sytance · Actualizado
La evaluación de la conformidad del CRA es el procedimiento jurídico que demuestra que un producto incluido en el ámbito de aplicación y los procesos del fabricante cumplen el anexo I. La categoría del producto determina qué vías de evaluación están disponibles o son obligatorias.
Objeto de la evaluación
El fabricante realizará una evaluación de la conformidad del producto con elementos digitales y de los procesos que haya implantado para determinar si se cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I.
Reglamento (UE) 2024/2847, artículo 32, apartado 1
El artículo 32 abarca ambos aspectos del anexo I. El producto debe cumplir los requisitos de ciberseguridad de los productos establecidos en la parte I. Los procesos del fabricante para la gestión de vulnerabilidades deben cumplir la parte II.
Una evaluación favorable respalda la documentación técnica, la declaración UE de conformidad y el marcado CE. No modifica la categoría del producto, que determina las vías de evaluación disponibles.
Vías de evaluación de la conformidad
El artículo 32 establece cuatro vías. La vía adecuada depende principalmente de la categoría del producto, del uso de normas armonizadas o especificaciones comunes y de si puede utilizarse un esquema de certificación de ciberseguridad aplicable.
Módulo A
Control interno. El fabricante evalúa el producto y declara su conformidad bajo su propia responsabilidad.
Módulo B más módulo C
Un organismo notificado examina el tipo. A continuación, el fabricante controla la producción con arreglo a ese tipo.
Módulo H
Aseguramiento completo de la calidad. Un organismo notificado evalúa el sistema de calidad del fabricante para los productos incluidos en el ámbito de aplicación.
Certificación de ciberseguridad
Puede utilizarse un esquema europeo de certificación de ciberseguridad aplicable cuando el artículo 27 o el artículo 8 habiliten esa vía.
Clasificación y selección de la vía
Los productos por defecto pueden recurrir al control interno. Los productos importantes y críticos están sujetos a vías de evaluación más estrictas, incluidos los productos de clase I cuyos requisitos aplicables no estén cubiertos íntegramente por las normas, especificaciones comunes o certificación pertinentes.
Los productos por defecto pueden utilizar las vías del artículo 32, apartado 1, incluido el módulo A. El fabricante puede optar por una vía más estricta.
Los productos de clase I solo pueden seguir sujetos al artículo 32, apartado 1, respecto de los requisitos cubiertos por las normas armonizadas, las especificaciones comunes o una certificación con un nivel de aseguramiento al menos sustancial que se hayan aplicado. Para los demás requisitos, se necesita el módulo B más C o el módulo H.
Los productos de clase II utilizan el módulo B más C, el módulo H o un esquema europeo de certificación de ciberseguridad aplicable con un nivel de aseguramiento al menos sustancial.
Los productos críticos del anexo IV deben certificarse con arreglo al artículo 8, apartado 1, cuando se active esa vía. Si no se cumplen las condiciones del artículo 8, apartado 1, siguen las vías para productos de clase II previstas en el artículo 32, apartado 3.
El software libre y de código abierto importante incluido en el anexo III puede utilizar las vías del artículo 32, apartado 1, si la documentación técnica exigida por el artículo 31 es pública cuando se introduce el producto en el mercado.
Normas y certificación
El artículo 27 explica cómo las normas, las especificaciones comunes y la certificación de ciberseguridad pueden respaldar la conformidad. No son equivalentes ni tienen todas el mismo efecto jurídico.
- Una norma armonizada otorga presunción de conformidad únicamente respecto de los requisitos del anexo I cubiertos por la referencia de la norma publicada.
- Una especificación común también puede generar presunción de conformidad para los requisitos que cubra.
- Un certificado europeo de ciberseguridad puede generar presunción de conformidad para los requisitos cubiertos.
- Un certificado especificado mediante un acto delegado con arreglo al artículo 27, apartado 9, con un nivel de aseguramiento al menos sustancial, puede eliminar la necesidad de una evaluación por terceros para los requisitos correspondientes.
Documentación, declaración y marcado CE
Antes de introducir el producto en el mercado, el fabricante elabora la documentación técnica y la declaración UE de conformidad. La declaración confirma que se han cumplido los requisitos aplicables del anexo I. La documentación se actualizará según corresponda durante el período de soporte.
- La documentación técnica contiene los datos o detalles utilizados para demostrar que el producto y los procesos cumplen el anexo I.
- La declaración UE de conformidad sigue la estructura del modelo del anexo V o, cuando se utilice, la vía simplificada del anexo VI.
- El marcado CE se coloca antes de introducir el producto en el mercado; en el caso del software, puede figurar en la declaración o en el sitio web que acompaña al producto de software.
- Si se utiliza el módulo H, el marcado CE va seguido del número de identificación del organismo notificado.