Categorías de productos importantes y críticos de la CRA
Sytance · Actualizado
Los productos importantes y críticos son productos sujetos a la CRA cuya funcionalidad principal corresponde a una categoría del anexo III o del anexo IV. El Reglamento de Ejecución (UE) 2025/2392 de la Comisión contiene las descripciones técnicas utilizadas para interpretar los nombres de esas categorías.
Descripciones técnicas del Reglamento 2025/2392
A más tardar el 11 de diciembre de 2025, la Comisión adoptará un acto de ejecución que especifique la descripción técnica de las categorías de productos con elementos digitales de las clases I y II que figuran en el anexo III y la descripción técnica de las categorías de productos con elementos digitales que figuran en el anexo IV. Dicho acto de ejecución se adoptará con arreglo al procedimiento de examen mencionado en el artículo 62(2).
Reglamento (UE) 2024/2847, artículo 7(4)
El Reglamento 2025/2392 es ese acto de ejecución. No sustituye a los anexos III o IV. Explica en términos técnicos qué significan los nombres de las categorías, para que un mismo producto se clasifique de manera coherente en toda la UE.
Las descripciones técnicas y su interpretación se explican en Descripciones técnicas del Reglamento 2025/2392.
Funcionalidad principal
Las preguntas frecuentes de la Comisión lo expresan de forma sencilla: el fabricante debe examinar la funcionalidad principal del producto. No basta con que el producto incluya una función. Un producto con otra finalidad principal no se clasifica como importante o crítico únicamente porque incluya, integre o pueda imitar una función incluida en la lista.
Componente integrado en un producto
Un navegador integrado no convierte por sí solo una aplicación de noticias en un producto de navegador.
Hardware de seguridad integrado en un dispositivo
Un elemento seguro integrado en un ordenador portátil no convierte por sí solo el ordenador en un producto de elemento seguro.
Capacidad similar
El software SOAR puede realizar tareas similares a las de un SIEM sin que la funcionalidad principal del producto sea un SIEM.
Productos importantes
El anexo III divide los productos importantes en las clases I y II. La clase II es la más estricta. La lista siguiente indica los nombres de las categorías; las descripciones técnicas figuran en el Reglamento 2025/2392.
El anexo III enumera las siguientes categorías de clase I:
- Sistemas de gestión de identidades y software y hardware de gestión de acceso privilegiado, incluidos los lectores de autenticación y control de acceso, también los lectores biométricos
- Navegadores independientes e integrados
- Gestores de contraseñas
- Software para buscar, eliminar o poner en cuarentena programas maliciosos
- Productos con elementos digitales cuya función sea una red privada virtual (VPN)
- Sistemas de gestión de redes
- Sistemas de gestión de eventos e información de seguridad (SIEM)
- Gestores de arranque
- Infraestructura de clave pública y software de emisión de certificados digitales
- Interfaces de red físicas y virtuales
- Sistemas operativos
- Enrutadores, módems destinados a conectarse a internet y conmutadores
- Microprocesadores con funcionalidades relacionadas con la seguridad
- Microcontroladores con funcionalidades relacionadas con la seguridad
- Circuitos integrados de aplicación específica (ASIC) y matrices de puertas programables en campo (FPGA) con funcionalidades relacionadas con la seguridad
- Asistentes virtuales de uso general para hogares inteligentes
- Productos para hogares inteligentes con funciones de seguridad, como cerraduras inteligentes, cámaras de seguridad, sistemas de vigilancia de bebés y sistemas de alarma
- Juguetes conectados a internet incluidos en la Directiva 2009/48/CE del Parlamento Europeo y del Consejo que tengan funciones de interacción social (por ejemplo, hablar o grabar) o funciones de seguimiento de ubicación
- Productos ponibles personales destinados a llevarse puestos o colocarse sobre el cuerpo humano que tengan una finalidad de supervisión de la salud (como el seguimiento) y a los que no se aplique el Reglamento (UE) 2017/745 o el Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo, o productos ponibles personales destinados al uso por parte de niños y en su beneficio
El anexo III enumera las siguientes categorías de clase II:
- Hipervisores y sistemas de ejecución de contenedores que admitan la ejecución virtualizada de sistemas operativos y entornos similares
- Cortafuegos y sistemas de detección y prevención de intrusiones
- Microprocesadores resistentes a la manipulación
- Microcontroladores resistentes a la manipulación
Productos críticos
El anexo IV es más breve que el anexo III. Abarca productos con una función de seguridad especialmente concentrada, como hardware resistente a la manipulación, pasarelas de contadores inteligentes, tarjetas inteligentes y elementos seguros.
- Dispositivos de hardware con cajas de seguridad
- Pasarelas de contadores inteligentes dentro de sistemas de medición inteligente, según la definición del artículo 2(23) de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo, y otros dispositivos para fines de seguridad avanzada, incluido el procesamiento criptográfico seguro
- Tarjetas inteligentes o dispositivos similares, incluidos los elementos seguros
Consecuencias de la categoría
La categoría del producto determina qué vías de evaluación pueden utilizarse para demostrar la conformidad con el anexo I. No determina si el producto está incluido en el ámbito de aplicación ni sustituye a la evaluación de riesgos de ciberseguridad.
- Los productos importantes de clase I solo pueden utilizar el control interno para los requisitos cubiertos por normas armonizadas aplicadas, especificaciones comunes o un esquema de certificación aplicable; en caso contrario, se requiere una vía más estricta.
- Los productos importantes de clase II utilizan el módulo B más el módulo C, el módulo H o un esquema europeo de certificación de ciberseguridad aplicable.
- Los productos críticos utilizan la certificación conforme al artículo 8(1) cuando se activa esa vía; de lo contrario, siguen las vías para productos de clase II previstas en el artículo 32(3).
- El software libre y de código abierto importante del anexo III puede utilizar las vías del artículo 32(1) si la documentación técnica del artículo 31 es pública cuando se comercializa el producto.
Los detalles de las vías se explican en Evaluación de la conformidad.