Productos incluidos en el ámbito de aplicación de la CRA de la UE
Sytance · Actualizado
Un producto está incluido en el ámbito de aplicación cuando es un producto con elementos digitales, se suministra en el mercado de la Unión en el marco de una actividad comercial y su finalidad prevista o uso razonablemente previsible incluye una conexión de datos directa o indirecta, lógica o física, con un dispositivo o una red. A continuación, el artículo 2 puede excluir categorías concretas de productos.
Productos incluidos en el ámbito de aplicación
El presente Reglamento se aplica a los productos con elementos digitales comercializados en el mercado cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, con un dispositivo o una red.
Reglamento (UE) 2024/2847, artículo 2(1)
La redacción es acumulativa. El nombre del producto, su etiqueta comercial, el sector o un diagrama de arquitectura no determinan por sí solos la respuesta. El producto debe cumplir los términos definidos por la CRA, llegar al mercado de la Unión e incluir la conexión pertinente en su finalidad prevista o uso razonablemente previsible.
- Producto: software, hardware, un componente comercializado por separado o una solución de tratamiento de datos a distancia que forme parte del producto.
- Suministro en el mercado: el producto se suministra para su distribución o uso en el mercado de la Unión en el marco de una actividad comercial.
- Conexión: la finalidad prevista o el uso razonablemente previsible del producto incluye una conexión de datos lógica, física, directa o indirecta.
- Exclusión: el artículo 2 o un acto delegado puede excluir de la CRA un producto que, de otro modo, estaría incluido en su ámbito de aplicación.
Producto con elementos digitales
«Producto con elementos digitales» significa un producto de software o hardware y sus soluciones de tratamiento de datos a distancia, incluidos los componentes de software o hardware comercializados por separado;
Reglamento (UE) 2024/2847, artículo 3(1)
La definición abarca productos completos y componentes comercializados por separado. El software no se limita al que está integrado en hardware. El hardware no se limita a dispositivos de consumo terminados. Un componente también puede ser un producto con elementos digitales cuando se comercializa por separado.
Productos de software
Las aplicaciones móviles, los programas de escritorio, el firmware, los controladores, los sistemas operativos, los SDK y las herramientas descargables pueden ser productos.
Productos de hardware
Los enrutadores, sensores, controladores industriales, electrodomésticos inteligentes, placas base, circuitos integrados y otros sistemas electrónicos pueden ser productos.
Componentes independientes
El software o hardware destinado a integrarse puede ser un producto por sí mismo cuando se comercializa por separado.
Tratamiento de datos a distancia
«Tratamiento de datos a distancia» significa el tratamiento de datos a distancia para el que el software ha sido diseñado y desarrollado por el fabricante o bajo su responsabilidad, y cuya ausencia impediría que el producto con elementos digitales ejecutase una de sus funciones;
Reglamento (UE) 2024/2847, artículo 3(2)
Una solución de tratamiento de datos a distancia no es cualquier servicio en la nube al que un usuario pueda acceder desde el producto. El software debe estar diseñado y desarrollado por el fabricante o bajo su responsabilidad, y la ausencia de ese tratamiento debe impedir que el producto ejecute una de sus funciones.
Incluido en el producto
Un servicio en la nube que ejecuta una función del producto puede formar parte del límite del producto sujeto a la CRA.
Fuera del producto
Un SaaS independiente o un sitio web no relacionado no queda incluido solo porque un producto sujeto a la CRA pueda conectarse a él.
Tipos de conexión de datos
«Conexión lógica» significa una representación virtual de una conexión de datos implementada mediante una interfaz de software;
Reglamento (UE) 2024/2847, artículo 3(8)
«Conexión física» significa una conexión entre sistemas o componentes electrónicos de información implementada por medios físicos, incluidas interfaces eléctricas, ópticas o mecánicas, cables u ondas de radio;
Reglamento (UE) 2024/2847, artículo 3(9)
«Conexión indirecta» significa una conexión con un dispositivo o una red que no se produce directamente, sino como parte de un sistema más amplio que puede conectarse directamente a dicho dispositivo o red;
Reglamento (UE) 2024/2847, artículo 3(10)
El concepto de conexión de la CRA es más amplio que el acceso a internet. Un producto puede conectarse mediante interfaces de software, sistemas anfitriones, puertos de hardware, buses, cables, enlaces ópticos o radioenlaces. También puede estar conectado indirectamente si se ejecuta dentro de un sistema más amplio que pueda conectarse a un dispositivo o una red.
Entre los ejemplos que aclaran los términos de conexión se incluyen:
- Conexiones lógicas directas: sesiones HTTPS del navegador, clientes de correo electrónico que utilizan IMAP o SMTP, API, tuberías, archivos, sockets de red y otras interfaces de software.
- Conexiones lógicas indirectas: una calculadora o un editor de texto sin conexión que se ejecuta en un sistema operativo conectado a una red.
- Conexiones físicas: USB, Ethernet, fibra, bus de campo, interfaces eléctricas, interfaces ópticas, interfaces mecánicas, Wi-Fi, Bluetooth, NFC y otros enlaces de radio.
- Sin conexión pertinente: el firmware de una calculadora básica, un controlador de lavavajillas o un juguete sencillo cuando su finalidad prevista y uso razonablemente previsible no incluyan conexión alguna con otro dispositivo o red.
Suministro en el mercado
«Comercialización en el mercado» significa el suministro de un producto con elementos digitales para su distribución o uso en el mercado de la Unión en el marco de una actividad comercial, ya sea a título oneroso o gratuito;
Reglamento (UE) 2024/2847, artículo 3(22)
El precio no es el factor determinante. El suministro gratuito también puede ser comercial si forma parte de una actividad comercial. La primera comercialización del producto en el mercado de la Unión constituye su introducción en el mercado; los suministros posteriores para distribución o uso también son comercialización en el mercado.
Un producto fabricado únicamente para uso propio es distinto de un producto suministrado en el mercado de la Unión. Las preguntas frecuentes de la Comisión citan como ejemplo las herramientas de desarrollo y configuración que un fabricante crea para uso propio: no están incluidas en el ámbito de aplicación, salvo que se introduzcan en el mercado como productos independientes.
Finalidad prevista y uso razonablemente previsible
«Finalidad prevista» significa el uso para el que el fabricante destina un producto con elementos digitales, incluido el contexto y las condiciones específicas de uso, según se especifique en la información facilitada por el fabricante en las instrucciones de uso, los materiales y declaraciones promocionales o comerciales, así como en la documentación técnica;
Reglamento (UE) 2024/2847, artículo 3(23)
«Uso razonablemente previsible» significa un uso que no es necesariamente la finalidad prevista indicada por el fabricante en las instrucciones de uso, los materiales y declaraciones promocionales o comerciales, así como en la documentación técnica, pero que probablemente resulte de un comportamiento humano o de operaciones o interacciones técnicas razonablemente previsibles;
Reglamento (UE) 2024/2847, artículo 3(24)
La finalidad prevista se establece en la información que proporciona el fabricante sobre el producto. El concepto de uso razonablemente previsible impide que la determinación del ámbito de aplicación dependa exclusivamente de una finalidad declarada de forma restrictiva cuando el comportamiento humano normal o la interacción técnica hagan probable un uso conectado.
La conexión debe formar parte del uso
Un puerto, una API, una dependencia del sistema anfitrión, una interfaz de radio o un flujo de archivos son pertinentes cuando forman parte del funcionamiento previsto o razonablemente esperado del producto.
Ejemplos de límites del producto
Una misma familia de productos puede incluir casos tanto dentro como fuera del ámbito de aplicación. La respuesta jurídica depende de los términos definidos, no de la categoría comercial general.
Software de impresora
Los controladores necesarios para que funcione una impresora pueden formar parte del producto con elementos digitales.
Herramientas para FPGA
Las herramientas utilizadas para diseñar y programar FPGA pueden ser productos de software cuando se suministran en el mercado.
Sitio web de soporte
Un sitio web es pertinente cuando respalda una función del producto y cumple la definición de tratamiento de datos a distancia.
Electrodoméstico no conectado
El firmware integrado por sí solo no basta si la finalidad prevista o el uso razonablemente previsible del producto no incluye una conexión de datos directa o indirecta.
Fuera del ámbito de aplicación
El artículo 2 contiene exclusiones directas de productos, una vía mediante actos delegados para establecer exclusiones o limitaciones posteriores y una norma independiente sobre información sensible para la seguridad. Un producto no queda excluido solo por pertenecer a un sector amplio. Debe cumplir el acto de la Unión, el acto delegado o la condición que establece la excepción.
La CRA no se aplica a los productos con elementos digitales a los que se aplique el Reglamento (UE) 2017/745 o el Reglamento (UE) 2017/746.
Los productos incluidos en el Reglamento (UE) 2019/2144 quedan fuera del ámbito de aplicación.
El artículo 2(5) permite a la Comisión limitar o excluir productos sujetos a otras normas de la Unión cuando estas aborden los riesgos de ciberseguridad pertinentes y ofrezcan el mismo nivel de protección o uno superior.
El Reglamento Delegado (UE) 2025/1535 de la Comisión utiliza esa vía para los productos con elementos digitales incluidos en el Reglamento (UE) n.º 168/2013, relativo a los vehículos de dos o tres ruedas y los cuatriciclos, con excepción de los vehículos de categoría L1e diseñados para pedalear.
Los productos certificados conforme al Reglamento (UE) 2018/1139 quedan excluidos. Las preguntas frecuentes de la Comisión distinguen los productos y componentes no certificados, que pueden seguir necesitando un análisis del ámbito de aplicación de la CRA si se cumplen las condiciones del artículo 2(1).
Quedan excluidos los equipos incluidos en la Directiva 2014/90/UE. Los componentes destinados a equipos marinos pueden seguir estando incluidos en el ámbito de aplicación si no están sujetos a esa Directiva y se comercializan como productos con elementos digitales.
Las piezas de recambio quedan excluidas cuando sustituyen componentes idénticos de productos con elementos digitales y se fabrican con las mismas especificaciones que los componentes sustituidos.
La CRA no se aplica a los productos desarrollados o modificados exclusivamente para fines de seguridad nacional o defensa, ni a los productos diseñados específicamente para tratar información clasificada. Los productos de doble uso no quedan excluidos solo porque también tengan usos de defensa.
El artículo 2(8) no es una exclusión de productos. Establece que las obligaciones de la CRA no exigen divulgar información cuando ello sea contrario a los intereses esenciales de seguridad nacional, seguridad pública o defensa de un Estado miembro.