Clasificación de productos con arreglo a la Ley de Ciberresiliencia de la UE
Sytance · Actualizado
La clasificación de la CRA es la categoría asignada a un producto con elementos digitales incluido en el ámbito de aplicación. El producto permanece en la categoría residual salvo que su funcionalidad principal corresponda a una categoría de producto importante del anexo III o a una categoría de producto crítico del anexo IV.
Resultados de la clasificación
La clasificación se realiza después de determinar el ámbito de aplicación. Primero, pregunte si el producto es un producto con elementos digitales comercializado en el mercado de la UE y si el artículo 2 no lo excluye. A continuación, clasifique el producto según la categoría de la CRA que corresponda a su funcionalidad principal.
Categoría residual
La categoría residual para los productos incluidos en el ámbito de aplicación que no tienen la funcionalidad principal de una categoría del anexo III o del anexo IV.
Producto importante de clase I
Las categorías de clase I del anexo III son productos importantes. La CRA las distingue de la clase II.
Producto importante de clase II
Los productos de clase II del anexo III son productos importantes sujetos a vías más estrictas de evaluación de la conformidad.
Productos críticos
Las categorías del anexo IV son productos críticos. Se trata de una lista independiente de los productos importantes del anexo III.
Funcionalidad principal
Los productos con elementos digitales cuya funcionalidad principal corresponda a una categoría de productos indicada en el anexo III se considerarán productos con elementos digitales importantes y estarán sujetos a los procedimientos de evaluación de la conformidad contemplados en el artículo 32(2) y (3). La integración de un producto con elementos digitales cuya funcionalidad principal corresponda a una categoría de productos indicada en el anexo III no someterá por sí misma el producto en el que se integre a los procedimientos de evaluación de la conformidad contemplados en el artículo 32(2) y (3).
Reglamento (UE) 2024/2847, artículo 7(1)
Los artículos 7 y 8 utilizan el mismo criterio: el producto debe tener la funcionalidad principal de una categoría incluida en la lista. La evaluación se centra en lo que el producto, considerado en su conjunto, está destinado a hacer cuando se introduce en el mercado. No basta con que incluya una función, biblioteca, semiconductor o módulo que, por sí solo, pueda corresponder a una categoría incluida en la lista.
Esto opera en ambos sentidos. Las funciones adicionales no impiden que un producto sea importante si su función principal sigue correspondiendo a una categoría del anexo III. Un enrutador puede incluir funciones de cortafuegos y seguir clasificándose por su funcionalidad principal de enrutador. Sin embargo, un producto con otra finalidad principal no pasa a ser un producto incluido en la lista solo porque pueda realizar algunas de las mismas tareas.
Componentes integrados
Una aplicación de noticias no se convierte en un producto de navegador solo porque integre un componente de navegador. Un ordenador portátil no se convierte en un producto de elemento seguro solo porque contenga uno.
Funciones coincidentes
El software SOAR puede tener capacidades similares a las de un SIEM, pero las preguntas frecuentes de la Comisión consideran que, por lo general, el SOAR queda fuera de la categoría SIEM cuando su funcionalidad principal es distinta.
Productos importantes del anexo III
El anexo III enumera los productos importantes con elementos digitales y los divide en las clases I y II. El Reglamento 2025/2392 ofrece la descripción técnica de cada categoría de la lista. El resultado es una decisión sobre la categoría, no una clasificación general de todos los riesgos de ciberseguridad.
Clase I
Productos importantes que aún pueden utilizar el control interno cuando se aplican las normas pertinentes, las especificaciones comunes o la vía de certificación.
Clase II
Productos importantes que deben utilizar vías más estrictas de evaluación de la conformidad.
Productos críticos del anexo IV
El anexo IV enumera productos críticos con elementos digitales. La lista es más limitada que la del anexo III y se centra en productos con funciones de caja de seguridad, pasarela de contador inteligente, procesamiento criptográfico seguro, tarjeta inteligente o elemento seguro. El artículo 8 puede hacer pertinente la certificación de estos productos mediante un acto delegado.
Referencia a las descripciones técnicas
El Reglamento de Ejecución (UE) 2025/2392 de la Comisión establece descripciones técnicas para las categorías de los anexos III y IV; las reglas de interpretación detalladas y las descripciones completas se explican en Descripciones técnicas del Reglamento 2025/2392.
Clasificación y evaluación de la conformidad
La clasificación no demuestra la conformidad con el anexo I. Indica al fabricante qué vía del artículo 32 puede estar disponible o ser obligatoria. Las vías se explican en Evaluación de la conformidad.
Clasificación y evaluación de riesgos
Las preguntas frecuentes de la Comisión distinguen la clasificación de la evaluación de riesgos de ciberseguridad del fabricante. Los productos residuales, los importantes y los críticos siguen necesitando aplicar los requisitos del anexo I en función de los riesgos.
Dos productos pueden compartir la misma clasificación y aun así necesitar medidas de seguridad distintas porque difieren su finalidad prevista, su uso razonablemente previsible y sus condiciones de uso. La clasificación determina la vía de evaluación de la conformidad; la evaluación de riesgos explica cómo cumplen la CRA el producto y los procesos del fabricante para ese producto.