Descripciones técnicas del Reglamento 2025/2392 para las categorías de productos de la CRA

Los sistemas de gestión de identidades son productos con elementos digitales que proporcionan mecanismos de autenticación o autorización y que también pueden proporcionar mecanismos para la gestión del ciclo de vida de las credenciales de identidad de personas físicas, personas jurídicas, dispositivos o sistemas, como el registro de identidades, el aprovisionamiento, el mantenimiento y la baja. Estos sistemas incluyen sistemas de gestión de acceso que controlan el acceso de personas físicas, personas jurídicas, dispositivos o sistemas a recursos digitales o ubicaciones físicas.

El software de gestión de acceso privilegiado es un sistema de gestión de acceso que controla y supervisa los derechos de acceso a sistemas de tecnología de la información (TI) o tecnología operativa (TO) y a información sensible dentro de una organización, incluidos los sistemas que aplican políticas diferenciadas de control de acceso para usuarios privilegiados.

Esta categoría incluye, entre otros, lectores de autenticación y control de acceso, lectores biométricos, software de inicio de sesión único, software de gestión de identidades federadas, software de contraseñas de un solo uso, dispositivos de autenticación de hardware como generadores de números de autenticación de transacciones (TAN), software de autenticación y software de autenticación multifactor.

Productos de software con elementos digitales que permiten a los usuarios finales acceder a contenido y servicios web alojados en servidores conectados a redes como internet, representarlos e interactuar con ellos. Suelen incluir un motor de navegador para interpretar y mostrar contenido escrito en un lenguaje de marcado (por ejemplo, HTML), admitir protocolos web (por ejemplo, HTTP y HTTPS), ejecutar scripts y gestionar las entradas del usuario, así como almacenar datos temporales o persistentes de sitios web (cookies).

Esta categoría incluye, entre otros, aplicaciones independientes que cumplen las funciones de un navegador, navegadores integrados destinados a su integración en otro sistema o aplicación y navegadores con integración de agentes de IA.

Productos con elementos digitales que almacenan contraseñas, ya sea localmente en un dispositivo o en un servidor remoto, incluidas funciones como la generación de contraseñas, su uso compartido y la integración con aplicaciones locales o de terceros para utilizarlas.

Esta categoría incluye, entre otros, gestores de contraseñas locales, gestores de contraseñas proporcionados como extensiones del navegador, gestores de contraseñas empresariales y gestores de contraseñas basados en hardware.

Productos de software con elementos digitales, normalmente denominados antivirus o antimalware, que detectan o buscan software o código malicioso en los dispositivos, o lo eliminan o ponen en cuarentena para mantener la integridad, confidencialidad o disponibilidad de dichos dispositivos.

A efectos de esta categoría de productos, se entiende por software malicioso el software que contiene funciones o capacidades maliciosas que pueden causar daños directos o indirectos al usuario o al sistema informático, como virus, gusanos, ransomware, spyware y troyanos.

Esta categoría incluye, entre otros, software que detecta o busca programas maliciosos en tiempo real o manualmente, herramientas de detección de rootkits y discos de rescate cuya funcionalidad principal sea buscar, eliminar o poner en cuarentena programas maliciosos.

Productos con elementos digitales que establecen un túnel lógico cifrado construido a partir de los recursos del sistema de una red física o virtual.

Esta categoría incluye, entre otros, clientes, servidores y pasarelas de redes privadas virtuales.

Productos con elementos digitales que gestionan elementos de red conectados, como servidores, enrutadores, conmutadores, estaciones de trabajo, impresoras o dispositivos móviles, mediante su supervisión y el control de sus operaciones y configuración de red.

Esta categoría incluye, entre otros, sistemas de gestión de extremo a extremo y sistemas específicos de gestión de configuración, como controladores para redes definidas por software.

Productos con elementos digitales que recopilan datos de múltiples fuentes, los analizan y correlacionan, y los presentan como información práctica para fines relacionados con la seguridad, como la detección de amenazas e incidentes, el análisis forense o el cumplimiento.

Productos de software con elementos digitales que gestionan el proceso de inicio inicial del sistema tras encenderlo o reiniciarlo, mediante la inicialización del hardware, la carga o transferencia del control al entorno del sistema operativo o a los recursos del sistema y la selección de opciones de arranque.

Esta categoría incluye, entre otros, firmware UEFI y cargadores de arranque de una o varias etapas.

Productos con elementos digitales utilizados como parte de una infraestructura de clave pública (PKI) que gestionan la validación, creación, emisión, distribución, publicación del estado, renovación o revocación de certificados digitales, o la generación, el almacenamiento, la custodia, el intercambio, la destrucción o la rotación de las claves criptográficas asociadas a dichos certificados.

Esta categoría incluye, entre otros, sistemas de gestión de claves, sistemas de gestión de certificados digitales, respondedores del protocolo de estado de certificados en línea y soluciones PKI integrales.

Las interfaces de red físicas son productos con elementos digitales que conectan directamente un dispositivo a una red mediante una interfaz de programación de aplicaciones (API) proporcionada por los controladores de la interfaz, normalmente en la capa de enlace de datos, y que cuentan con adaptadores de hardware a medios de transmisión con el firmware correspondiente, normalmente en las capas física y de enlace de datos.

Las interfaces de red virtuales son productos con elementos digitales que conectan directa o indirectamente un dispositivo a una red mediante una API que emula la de los controladores de interfaces de red físicas, normalmente en la capa de enlace de datos.

Esta categoría incluye, entre otros, tarjetas, controladores y adaptadores de interfaz de red alámbricos e inalámbricos, como los de Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee o bus de campo, así como productos independientes totalmente virtuales, como tarjetas de interfaz de red virtuales, interfaces de red de contenedores e interfaces VPN.

Productos de software con elementos digitales que proporcionan una interfaz abstracta del hardware subyacente y controlan la ejecución del software, y que pueden ofrecer servicios como la gestión y configuración de recursos informáticos, la programación de tareas, el control de entrada y salida, la gestión de datos y una interfaz mediante la cual las aplicaciones interactúan con los recursos del sistema y los periféricos.

Esta categoría incluye, entre otros, sistemas operativos en tiempo real y sistemas operativos de propósito general y específico.

Los enrutadores son productos con elementos digitales que establecen y controlan el flujo de datos entre distintas redes mediante la selección de rutas con mecanismos y algoritmos de protocolos de enrutamiento, normalmente en la capa de red.

Esta categoría incluye, entre otros, enrutadores alámbricos e inalámbricos, enrutadores virtuales y enrutadores con o sin módem.

Los módems destinados a conectarse a internet son productos de hardware con elementos digitales que utilizan técnicas de modulación y demodulación digital para convertir señales analógicas en señales digitales, y viceversa, para las comunicaciones basadas en IP.

Esta categoría incluye, entre otros, módems de fibra, módems de línea de abonado digital (DSL), módems de cable (DOCSIS), módems satelitales y módems celulares.

Los conmutadores son productos con elementos digitales que proporcionan conectividad entre dispositivos en red mediante mecanismos de reenvío de paquetes y tienen un plano de gestión, normalmente implementado en la capa de enlace de datos o en la capa de red.

Esta categoría incluye, entre otros, conmutadores gestionados, conmutadores inteligentes, conmutadores multicapa, conmutadores de seguridad virtuales, conmutadores programables para redes definidas por software y puentes, como puntos de acceso inalámbrico.

Productos con elementos digitales que son circuitos integrados que realizan funciones de procesamiento central basadas en memoria y periféricos externos, incluido microcódigo y otro firmware de bajo nivel. Además, proporcionan funcionalidades relacionadas con la seguridad, como cifrado, autenticación, almacenamiento seguro de claves, generación de números aleatorios, entorno de ejecución confiable u otros mecanismos de protección basados en hardware, destinados a proteger otros productos, redes o servicios más allá del propio microprocesador, por ejemplo, una cadena de arranque seguro, la virtualización o interfaces de comunicación segura.

Productos con elementos digitales que son circuitos integrados que realizan funciones de procesamiento central e integran memoria para permitir su programación, normalmente junto con otros periféricos, incluido microcódigo y otro firmware de bajo nivel. Además, proporcionan funcionalidades relacionadas con la seguridad, como cifrado, autenticación, almacenamiento seguro de claves, generación de números aleatorios, entorno de ejecución confiable u otros mecanismos de protección basados en hardware, destinados a proteger otros productos, redes o servicios más allá del propio microcontrolador, por ejemplo, una cadena de arranque seguro, la virtualización o interfaces de comunicación segura.

Los circuitos integrados de aplicación específica (ASIC) con funcionalidades relacionadas con la seguridad son productos con elementos digitales que consisten en circuitos integrados diseñados total o parcialmente a medida para realizar una función concreta o implementar una aplicación específica, incluido microcódigo y otro firmware de bajo nivel. Además, proporcionan funcionalidades relacionadas con la seguridad, como cifrado, autenticación, almacenamiento seguro de claves, generación de números aleatorios, entorno de ejecución confiable u otros mecanismos de protección basados en hardware, destinados a proteger otros productos, redes o servicios más allá del propio ASIC, por ejemplo, una cadena de arranque seguro, la virtualización o interfaces de comunicación segura.

Las matrices de puertas programables en campo (FPGA) con funcionalidades relacionadas con la seguridad son productos con elementos digitales que consisten en circuitos integrados caracterizados por una matriz de bloques lógicos configurables y diseñados para reprogramarse después de su fabricación con el fin de realizar una función concreta o implementar una aplicación específica, incluido microcódigo y otro firmware de bajo nivel. Además, proporcionan funcionalidades relacionadas con la seguridad, como cifrado, autenticación, almacenamiento seguro de claves, generación de números aleatorios, entorno de ejecución confiable u otros mecanismos de protección basados en hardware, destinados a proteger otros productos, redes o servicios más allá del propio FPGA, por ejemplo, una cadena de arranque seguro, la virtualización o interfaces de comunicación segura.

Productos con elementos digitales que se comunican a través de la internet pública, directamente o mediante otros equipos, procesan solicitudes, tareas o preguntas basadas en indicaciones en lenguaje natural, por ejemplo, mediante entrada de audio o texto, y, en función de esas solicitudes, tareas o preguntas, permiten acceder a otros servicios o controlar las funciones de dispositivos conectados en entornos residenciales.

Esta categoría incluye, entre otros, altavoces inteligentes con un asistente virtual integrado y asistentes virtuales independientes que cumplan esta descripción.

Productos con elementos digitales que protegen la seguridad física de los consumidores en entornos residenciales y que pueden controlarse o gestionarse a distancia desde otros sistemas, así como hardware y software que controlan centralmente esos productos.

Esta categoría incluye, entre otros, dispositivos de cierre inteligente de puertas, sistemas de vigilancia de bebés, sistemas de alarma y cámaras de seguridad doméstica.

Los juguetes conectados a internet con funciones de interacción social son productos con elementos digitales incluidos en la Directiva 2009/48/CE que se comunican a través de la internet pública, directamente o mediante otros equipos, e incorporan tecnologías que permiten la comunicación entrante y saliente, como un teclado, un micrófono, un altavoz o una cámara.

Los juguetes conectados a internet con funciones de seguimiento de ubicación son productos con elementos digitales incluidos en la Directiva 2009/48/CE que se comunican a través de la internet pública, directamente o mediante otros equipos, e incorporan tecnologías que permiten rastrear o inferir la ubicación geográfica del juguete o de su usuario. Si el juguete solo detecta la proximidad del usuario o de otros juguetes mediante tecnologías de detección, no se considera que tenga funciones de seguimiento de ubicación.

Los productos ponibles personales destinados a llevarse puestos o colocarse sobre el cuerpo humano con una finalidad de supervisión de la salud son productos con elementos digitales que se llevan directamente sobre el cuerpo o mediante ropa o accesorios y que pueden detectar y procesar información de forma periódica o continua, incluidos parámetros corporales pertinentes para la salud del usuario, con exclusión de los productos comprendidos en el ámbito del Reglamento (UE) 2017/745 o del Reglamento (UE) 2017/746.

Esta categoría incluye, entre otros, pulseras de actividad, relojes inteligentes, joyería inteligente y ropa inteligente o deportiva que cumplan esta descripción.

Los productos ponibles personales destinados al uso por parte de niños y en su beneficio son productos con elementos digitales que pueden llevarse puestos o colocarse directamente sobre el cuerpo de personas menores de 14 años, o mediante ropa o accesorios.

Esta categoría incluye, entre otros, dispositivos ponibles de seguridad infantil.

Los hipervisores son productos de software con elementos digitales que abstraen o asignan recursos informáticos y permiten ejecutar, gestionar y orquestar máquinas virtuales separadas lógicamente entre sí o del hardware físico. Pueden ejecutarse directamente sobre el hardware (bare metal), sobre un sistema operativo o dentro de otra máquina virtual (virtualización anidada).

A efectos de esta categoría de productos, una máquina virtual es una separación lógica de un entorno informático definida por software, que incluye un conjunto virtualizado de recursos de hardware (por ejemplo, CPU, memoria, almacenamiento e interfaces de red) y normalmente ejecuta su propio sistema operativo.

Esta categoría incluye, entre otros, hipervisores de tipo 1 (bare metal), de tipo 2 (alojados en un sistema operativo) e híbridos.

Los sistemas de ejecución de contenedores son productos de software con elementos digitales que gestionan la ejecución y el ciclo de vida de contenedores que se ejecutan como procesos aislados en un único sistema operativo anfitrión, asignan recursos y permiten gestionar y orquestar contenedores individuales.

A efectos de esta categoría de productos, un contenedor es un entorno de ejecución basado en software que encapsula uno o varios componentes de software y sus dependencias en un único paquete, lo que permite ejecutarlo de forma independiente y coherente.

Los cortafuegos son productos con elementos digitales que protegen una red o sistema conectado contra el acceso no autorizado mediante la supervisión y restricción del tráfico de comunicaciones de datos que entra en esa red o sale de ella.

Esta categoría incluye, entre otros, cortafuegos de red y cortafuegos de aplicaciones, como cortafuegos de aplicaciones web, filtros y pasarelas antispam.

Los sistemas de detección de intrusiones son productos con elementos digitales que supervisan el tráfico una vez que ha entrado en el entorno de red para detectar actividad sospechosa e identificar si se ha intentado, se está produciendo o se ha producido una intrusión en una red o sistema conectado.

Esta categoría incluye, entre otros, sistemas de detección de intrusiones basados en red y sistemas de detección de intrusiones basados en host.

Los sistemas de prevención de intrusiones son productos con elementos digitales compuestos por un sistema de detección de intrusiones que responde activamente ante una intrusión en una red o sistema conectado.

Esta categoría incluye, entre otros, sistemas de prevención de intrusiones basados en red y sistemas de prevención de intrusiones basados en host.

Productos con elementos digitales que son microprocesadores con las funcionalidades relacionadas con la seguridad mencionadas en la tabla «Class I», punto 13, del presente anexo, incluidas la detección, resistencia o respuesta frente a manipulaciones, y que además están diseñados para ofrecer protección de nivel AVA_VAN 2 o 3, según se establece en Common Criteria y en la Common Evaluation Methodology.

Productos con elementos digitales que son microcontroladores con las funcionalidades relacionadas con la seguridad mencionadas en la tabla «Class I», punto 14, del presente anexo, incluidas la detección, resistencia o respuesta frente a manipulaciones, y que además están diseñados para ofrecer protección de nivel AVA_VAN 2 o 3, según se establece en Common Criteria y en la Common Evaluation Methodology.

Productos de hardware con elementos digitales que almacenan, procesan o gestionan datos sensibles de forma segura, o realizan operaciones criptográficas, y que constan de varios componentes discretos e incorporan una envolvente física de hardware que proporciona medidas de detección, resistencia o respuesta frente a manipulaciones como contramedidas contra ataques físicos.

Esta categoría incluye, entre otros, terminales de pago físicos, módulos de seguridad de hardware que generan y gestionan elementos criptográficos y tacógrafos que cumplan la descripción anterior.

Las pasarelas de contadores inteligentes son productos con elementos digitales que controlan la comunicación entre componentes de sistemas de medición inteligente o conectados a ellos, según la definición del artículo 2(23) de la Directiva (UE) 2019/944, y terceros autorizados, como proveedores de servicios públicos. Recopilan, procesan y almacenan datos de medición o personales, protegen datos y flujos de información mediante el soporte de necesidades criptográficas específicas, como el cifrado y descifrado de datos, incorporan funciones de cortafuegos y proporcionan medios para controlar otros dispositivos.

Esta categoría incluye, entre otros, pasarelas de contadores inteligentes asociadas a sistemas de medición inteligente de electricidad según la definición del artículo 2(23) de la Directiva (UE) 2019/944. También puede incluir pasarelas de contadores inteligentes utilizadas en otros sistemas que miden el consumo de otras fuentes de energía, como gas o calor, siempre que cumplan esta descripción.

Los elementos seguros son microcontroladores o microprocesadores con funcionalidades relacionadas con la seguridad, incluidas la detección, resistencia o respuesta frente a manipulaciones. Normalmente almacenan, procesan o gestionan operaciones criptográficas o datos sensibles, como credenciales de identidad o de pago. Están diseñados para ofrecer una protección de nivel AVA_VAN.4 como mínimo, según se establece en Common Criteria o en la Common Evaluation Methodology. Pueden ser chips de silicio discretos o estar integrados en sistemas en chip (SoC). Pueden incorporar un entorno de aplicaciones o un sistema operativo e incluir una o varias aplicaciones.

Esta categoría incluye, entre otros, módulos de plataforma segura (TPM) y tarjetas de circuito integrado universal integradas (UICC).

Las tarjetas inteligentes o dispositivos similares son elementos seguros integrados en un material portador, como plástico o madera, con forma de tarjeta, o elementos seguros integrados en materiales portadores de otras formas.

Esta categoría incluye, entre otros, documentos de identidad y de viaje, tarjetas de firma cualificada, UICC sustituibles, tarjetas físicas de pago, tarjetas físicas de control de acceso, tarjetas de tacógrafo digital o pulseras con elementos seguros de pago integrados.