Comercialización en el mercado con arreglo a la Ley de Ciberresiliencia de la UE
Sytance · Actualizado
La fecha de aplicación de las obligaciones de la CRA depende de cuándo se introduce el producto en el mercado, no de cuándo se diseñó por primera vez su modelo. Las preguntas clave son cuándo se suministró por primera vez el producto en el mercado de la Unión, si el suministro posterior solo consiste en distribuir más tarde ese producto y si un cambio ulterior constituye una modificación sustancial.
Términos relativos al mercado
«Introducción en el mercado» significa la primera comercialización de un producto con elementos digitales en el mercado de la Unión;
Reglamento (UE) 2024/2847, artículo 3(21)
«Comercialización en el mercado» significa el suministro de un producto con elementos digitales para su distribución o uso en el mercado de la Unión en el marco de una actividad comercial, ya sea a título oneroso o gratuito;
Reglamento (UE) 2024/2847, artículo 3(22)
La introducción en el mercado es el primer suministro del producto en el mercado de la Unión. La comercialización en el mercado tiene un alcance más amplio. También abarca los suministros posteriores para distribución o uso, una vez que ya se ha producido el primer suministro.
Primer suministro
El primer suministro en el mercado de la Unión constituye la introducción en el mercado.
Suministro posterior
La venta o distribución posterior del mismo producto constituye su comercialización en el mercado.
Existencias almacenadas
Fabricar, almacenar o terminar un producto no basta, salvo que se suministre para su distribución o uso.
El precio no determina la respuesta. Un producto gratuito también puede comercializarse en el mercado si el suministro forma parte de una actividad comercial. Es distinto un producto fabricado únicamente para uso propio: su mera existencia no implica que se haya introducido en el mercado.
Fecha de cada producto individual
Al igual que en el caso de la «comercialización en el mercado», el concepto de «introducción en el mercado» se refiere a cada producto individual, no a un tipo de producto, con independencia de que se haya fabricado como unidad individual o en serie. Por consiguiente, cada producto individual solo puede introducirse una vez en el mercado de la Unión en toda la UE, y la introducción no se produce en cada Estado miembro. Aunque un modelo o tipo de producto se haya suministrado antes de la entrada en vigor de una nueva legislación de armonización de la Unión que establezca nuevos requisitos obligatorios, las unidades individuales del mismo modelo o tipo introducidas en el mercado después de que dichos requisitos sean aplicables deben cumplirlos.
Guía Azul de 2022, sección 2.3
Las preguntas frecuentes de la Comisión aplican este principio a la CRA. La introducción anterior de un tipo de producto no abarca todas las unidades posteriores del mismo tipo. Cada producto individual necesita su propia fecha de introducción en el mercado.
Esto es importante para las existencias y las importaciones repetidas. Si un lote de unidades de enrutador se introdujo en el mercado antes del 11 de diciembre de 2027, esas unidades no quedan sujetas al régimen completo de la CRA solo porque lleguen después a los usuarios finales. Un lote posterior del mismo modelo introducido en el mercado de la Unión el 11 de diciembre de 2027 o después es distinto.
Productos introducidos antes del 11 de diciembre de 2027
Los productos con elementos digitales que se hayan introducido en el mercado antes del 11 de diciembre de 2027 solo estarán sujetos a los requisitos establecidos en el presente Reglamento si, a partir de esa fecha, esos productos son objeto de una modificación sustancial.
Reglamento (UE) 2024/2847, artículo 69(2)
Como excepción al apartado 2 del presente artículo, las obligaciones establecidas en el artículo 14 se aplicarán a todos los productos con elementos digitales incluidos en el ámbito de aplicación del presente Reglamento que se hayan introducido en el mercado antes del 11 de diciembre de 2027.
Reglamento (UE) 2024/2847, artículo 69(3)
La regla transitoria protege de los requisitos completos de la CRA a los productos introducidos en el mercado antes del 11 de diciembre de 2027, salvo que, a partir de esa fecha, sean objeto de una modificación sustancial. No protege las unidades nuevas introducidas en el mercado más adelante.
La obligación de notificación del artículo 14 es independiente. Comienza antes y también se aplica a productos incluidos en el ámbito de aplicación que se hayan introducido en el mercado antes del 11 de diciembre de 2027.
Los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves cuando lo exija el artículo 14.
Los productos introducidos en el mercado a partir de esta fecha deben cumplir los requisitos aplicables de la CRA antes de su introducción.
Los productos introducidos antes del 11 de diciembre de 2027 solo deben cumplir todos los requisitos de la CRA si se modifican sustancialmente a partir de esta fecha.
Fechas de las versiones de software
Las orientaciones de la Comisión de julio de 2026 consideran que el software independiente se introduce en el mercado cuando concluye su fase de fabricación y se suministra por primera vez para su distribución o uso en el mercado de la UE en el marco de una actividad comercial. Las copias del mismo software comparten esa fecha. A estos efectos, las variantes con componentes, configuraciones o funciones habilitadas diferentes se consideran productos distintos.
Las descargas posteriores de esa misma versión normalmente constituyen una comercialización posterior del mismo producto de software. Una versión posterior tiene una nueva fecha de introducción en el mercado cuando constituye una modificación sustancial.
Misma versión de software
Las descargas posteriores normalmente se rigen por la fecha de introducción inicial de esa versión en el mercado.
Versión modificada sustancialmente
Una versión modificada sustancialmente se considera recién introducida en el mercado.
Esta interpretación se refiere al software independiente suministrado digitalmente. Si el software se suministra en un soporte físico, también importa el producto físico. Si el software es necesario para que un producto de hardware desempeñe sus funciones, el hardware y el software pueden constituir un único producto, aunque el software se descargue más adelante.
Modificación sustancial
«Modificación sustancial» significa un cambio en el producto con elementos digitales realizado después de su introducción en el mercado, que afecta al cumplimiento por parte del producto con elementos digitales de los requisitos esenciales de ciberseguridad establecidos en la parte I del anexo I o que modifica la finalidad prevista para la que se evaluó el producto con elementos digitales;
Reglamento (UE) 2024/2847, artículo 3(30)
La definición contempla dos supuestos. Un cambio puede ser sustancial si afecta al cumplimiento de los requisitos de ciberseguridad del producto de la parte I del anexo I. También puede serlo si modifica la finalidad prevista para la que se evaluó el producto.
Ante un cambio posterior a la comercialización, aplique la definición de modificación sustancial: ¿afecta el cambio al cumplimiento de los requisitos esenciales de ciberseguridad o modifica la finalidad prevista para la que se evaluó el producto? La reparación o la actualización de seguridad debe evaluarse con arreglo a esas condiciones.
- Una actualización de seguridad que corrige una vulnerabilidad y no modifica la finalidad prevista normalmente apunta a que no se trata de una modificación sustancial.
- Una actualización de funciones que cambia la finalidad del producto puede ser sustancial.
- Una función pequeña puede ser relevante si añade una interfaz, un flujo de datos, una dependencia externa o un escenario de ataque que antes no se había abordado.
- Un producto introducido antes del 11 de diciembre de 2027 queda sujeto al régimen completo de la CRA si se modifica sustancialmente a partir de esa fecha.
Responsabilidad tras una modificación
El artículo 21 considera fabricante al importador o distribuidor que introduce el producto en el mercado bajo su propio nombre o marca comercial, o que realiza una modificación sustancial de un producto ya introducido en el mercado.
El artículo 22 aplica la misma lógica de forma más amplia. Puede considerarse fabricante a una persona distinta del fabricante, importador o distribuidor si realiza una modificación sustancial y comercializa el producto modificado.
Casos habituales relativos a las fechas
La cuestión principal es si el producto individual ya se había introducido en el mercado de la Unión antes del 11 de diciembre de 2027. Que llegue al usuario final más tarde no elimina por sí solo el tratamiento transitorio.
Las existencias ya suministradas para su distribución o uso en el mercado de la Unión antes de la aplicación plena pueden seguir avanzando por la cadena de suministro, sin perjuicio del artículo 14 y del supuesto de modificación sustancial. Es distinto el caso de las existencias fabricadas o almacenadas antes de esa fecha pero que aún no se habían suministrado para su distribución o uso.
Un mismo modelo no tiene una única fecha permanente de introducción en el mercado a efectos de la CRA. Las unidades posteriores introducidas en el mercado de la Unión el 11 de diciembre de 2027 o después deben cumplir la CRA, aunque las unidades anteriores de ese modelo se introdujeran antes de esa fecha.
Una actualización no sustancial normalmente no crea una nueva fecha de introducción en el mercado. Una actualización sustancial sí. La respuesta depende de si la actualización afecta a la conformidad del producto con la CRA o modifica la finalidad prevista evaluada.
Una versión posterior de software independiente se introduce en el mercado cuando constituye una modificación sustancial. Una actualización menor que no sea sustancial normalmente conserva la fecha de introducción en el mercado de la versión anterior.