Funciones y obligaciones con arreglo a la Ley de Ciberresiliencia de la UE

Las funciones dependen del producto

La CRA utiliza funciones propias de la legislación sobre productos. No asigna obligaciones únicamente preguntando quién escribió el código, quién posee el repositorio o quién opera un servicio. La primera pregunta es si se comercializa un producto con elementos digitales en el mercado de la Unión. La siguiente es qué hace el agente con ese producto.

La CRA denomina operadores económicos al fabricante, al representante autorizado, al importador, al distribuidor y a otras personas obligadas. El término resulta útil porque vincula las funciones a la actividad de mercado. Una persona que solo contribuye con código, aloja un repositorio o presta asistencia no relacionada no asume por ese solo hecho todas las funciones previstas por la CRA.

El fabricante es la función principal

«Fabricante» significa una persona física o jurídica que desarrolla o fabrica productos con elementos digitales, o que encarga su diseño, desarrollo o fabricación, y los comercializa con su nombre o marca comercial, a título oneroso o gratuito, incluida su monetización;

Reglamento (UE) 2024/2847, artículo 3(13)

La definición consta de dos partes. El agente debe estar vinculado al desarrollo o la fabricación del producto, de forma directa o a través de otra parte, y debe comercializarlo con su propio nombre o marca comercial. El autor original del software no siempre es el fabricante. El titular de una marca que encarga el desarrollo de un producto puede ser su fabricante si lo comercializa como propio.

Por eso las principales obligaciones de la CRA recaen en el fabricante. La CRA lo considera responsable del diseño, el desarrollo y la conformidad del producto, de la información para los usuarios, del período de soporte, de la gestión de vulnerabilidades y de las obligaciones de notificación derivadas de los artículos 13 y 14.

Los importadores y distribuidores desempeñan funciones en la cadena de suministro

Un importador está establecido en la Unión e introduce en su mercado un producto con elementos digitales que lleva el nombre o la marca comercial de una persona establecida fuera de la Unión. La función del importador existe porque un fabricante de fuera de la UE puede quedar fuera del alcance inmediato de los controles del mercado de la Unión.

Un distribuidor es otro agente de la cadena de suministro, distinto del fabricante o el importador, que comercializa un producto en el mercado de la Unión sin modificar sus propiedades. Su función es más limitada que la del fabricante porque no es quien diseñó, desarrolló o comercializa el producto como propio.

Los importadores y distribuidores comprueban el marcado de conformidad y la información del fabricante y del importador. Sus obligaciones también incluyen retirar un producto de la cadena de suministro cuando haya motivos para creer que no es conforme y cooperar con las autoridades de vigilancia del mercado.

El representante autorizado actúa en virtud de un mandato

El representante autorizado está establecido en la Unión y actúa por cuenta del fabricante únicamente porque este le ha otorgado un mandato escrito. El mandato debe especificar las tareas. El nombramiento del representante autorizado no transfiere la función de fabricante.

Esta distinción es importante en la práctica. El representante puede ser el punto de contacto en la UE para tareas específicas, como facilitar documentos a las autoridades de vigilancia del mercado o cooperar en medidas correctivas. Las obligaciones esenciales relativas al diseño, desarrollo y producción del producto y al mantenimiento de su conformidad siguen correspondiendo al fabricante.

El código abierto implica dos conceptos distintos

El software libre y de código abierto no queda siempre fuera de la CRA. Si una persona introduce en el mercado un producto de software libre y de código abierto con elementos digitales bajo su nombre o marca comercial en el marco de una actividad comercial, puede ser fabricante de ese producto.

La CRA también crea una función distinta para el software de código abierto que se publica, pero no se comercializa en ese sentido. Esa función es la de administrador del software de código abierto.

«Administrador del software de código abierto» significa una persona jurídica, distinta de un fabricante, cuyo propósito u objetivo es prestar apoyo de forma sistemática y sostenida al desarrollo de productos específicos con elementos digitales que reúnan los requisitos para ser software libre y de código abierto y estén destinados a actividades comerciales, y que garantice la viabilidad de dichos productos;

Reglamento (UE) 2024/2847, artículo 3(14)

Por tanto, la función de administrador no es una etiqueta para cualquier persona encargada del mantenimiento o colaboradora. Se aplica a una persona jurídica, respecto de un software libre y de código abierto concreto, cuando sostiene el proyecto y garantiza su viabilidad sin ser fabricante de ese producto. La Comisión describe el régimen del administrador como específico y menos oneroso que el régimen del fabricante.

Los colaboradores individuales del código fuente reciben un trato distinto. La CRA no se aplica a las personas físicas o jurídicas que contribuyen código fuente a software libre y de código abierto que no está bajo su responsabilidad.

Cambio de función

Una función puede cambiar cuando un agente deja de limitarse a suministrar el producto de otra persona y empieza a presentarlo o modificarlo de una manera que la CRA considera actividad del fabricante.

Se considerará fabricante a un importador o distribuidor a efectos del presente Reglamento y estará sujeto a los artículos 13 y 14 cuando dicho importador o distribuidor introduzca en el mercado un producto con elementos digitales con su nombre o marca comercial, o realice una modificación sustancial de un producto con elementos digitales ya introducido en el mercado.

Reglamento (UE) 2024/2847, artículo 21

El mismo principio también se aplica más allá de los importadores y distribuidores. Se considera fabricante a una persona distinta del fabricante, importador o distribuidor si realiza una modificación sustancial y comercializa el producto modificado. En ese caso, las obligaciones del fabricante se aplican a la parte afectada del producto o a todo el producto si la modificación afecta a su ciberseguridad en conjunto.

Una modificación sustancial no es cualquier actualización, reparación o actividad de asistencia. La definición de la CRA depende de si el cambio posterior a la introducción en el mercado afecta al cumplimiento de los requisitos esenciales de ciberseguridad o modifica la finalidad prevista para la que se evaluó el producto. Una actualización de seguridad que solo reduce el riesgo normalmente apunta a que no hay cambio de función. Un cambio funcional que modifique la finalidad prevista o aumente el riesgo de ciberseguridad puede apuntar a lo contrario.

Estas normas explican límites habituales. Un agente establecido en la UE que introduce en el mercado de la Unión un producto con la marca de una empresa de fuera de la UE normalmente es importador. Un agente de la cadena de suministro que comercializa un producto sin modificarlo normalmente es distribuidor. Un agente que utiliza su propio nombre o marca comercial, o modifica sustancialmente el producto y lo comercializa, puede convertirse en fabricante.