Lista de comprobación de la documentación técnica de la CRA
Sytance · Actualizado
La documentación técnica de la CRA es el expediente de pruebas del producto y de los procesos de ciberseguridad del fabricante. Debe demostrar cómo cumple el producto el anexo I y cómo gestiona el fabricante las vulnerabilidades.
Obligación de documentar
La documentación técnica contendrá todos los datos o detalles pertinentes de los medios utilizados por el fabricante para garantizar que el producto con elementos digitales y los procesos establecidos por el fabricante cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I. Contendrá, como mínimo, los elementos que figuran en el anexo VII.
Reglamento (UE) 2024/2847, artículo 31(1)
El artículo 31 exige que el expediente explique cómo cumplen el anexo I el producto y los procesos del fabricante. Por ello, la documentación incluye tanto el diseño del producto como las disposiciones para gestionar las vulnerabilidades después de su publicación.
Pruebas del producto y del proceso
Las propiedades de ciberseguridad del producto de la parte I del anexo I y el proceso de gestión de vulnerabilidades de la parte II del anexo I.
Plazos y actualizaciones
La documentación técnica se elaborará antes de la introducción del producto con elementos digitales en el mercado y se actualizará continuamente, cuando proceda, al menos durante el período de soporte.
Reglamento (UE) 2024/2847, artículo 31(2)
La documentación técnica debe existir antes de la introducción en el mercado. Después debe mantenerse actualizada cuando los cambios pertinentes se produzcan durante el período de soporte.
- Un cambio en el diseño del producto, la arquitectura, la versión de software o el método de actualización puede requerir una actualización.
- Un cambio en la evaluación de riesgos de ciberseguridad puede requerir una actualización.
- La nueva información sobre vulnerabilidades puede requerir una actualización.
- Un producto rediseñado o reevaluado debería contar con documentación que identifique las versiones modificadas.
Contenido del anexo VII
El anexo VII establece la lista mínima de contenido. Conviene interpretarla como categorías de pruebas, no como una plantilla de tabla. El nivel de detalle exacto depende del producto pertinente.
El expediente identifica el producto, su finalidad prevista, las versiones de software que afectan a la conformidad, las imágenes de hardware cuando sean pertinentes y la información para los usuarios del anexo II.
El anexo VII solicita información sobre el diseño, el desarrollo, la producción y la gestión de vulnerabilidades. Esto incluye la arquitectura, las relaciones entre componentes, la SBOM, la política de divulgación, el contacto para notificaciones y las actualizaciones seguras, junto con los procesos de producción y supervisión y su validación.
La evaluación de riesgos de ciberseguridad forma parte del expediente. El anexo VII también solicita la información utilizada para determinar el período de soporte.
El expediente registra las normas, las especificaciones comunes, los esquemas de certificación, otras soluciones técnicas, los informes de pruebas y la declaración UE de conformidad.
El anexo VII incluye la SBOM cuando una autoridad de vigilancia del mercado presenta una solicitud motivada y esta es necesaria para comprobar el cumplimiento del anexo I.
Lista de comprobación del anexo VII para una publicación del producto
El índice siguiente sigue las ocho entradas del anexo VII. Es un ejemplo de cómo organizar la información, no una estructura de carpetas prescrita ni una obligación de exportar ocho archivos independientes. Cada registro citado debería identificar el producto y la versión a los que se aplica.
- Descripción del producto: finalidad, versiones de software que afectan a la conformidad, imágenes y marcado de hardware pertinentes, e información para usuarios del anexo II.
- Diseño y procesos: arquitectura y relaciones entre componentes; gestión de vulnerabilidades, SBOM, política de divulgación, contacto para notificaciones y actualizaciones seguras; producción, supervisión y validación de procesos.
- Evaluación de riesgos de ciberseguridad: riesgos del producto y razonamiento sobre la aplicabilidad de los requisitos de la parte I del anexo I.
- Período de soporte: información utilizada para determinar su duración.
- Normas y soluciones técnicas: disposiciones aplicadas, su estado y alcance de uso, y las soluciones empleadas para los requisitos que no cubren.
- Informes de verificación: pruebas del producto y de los procesos de gestión de vulnerabilidades con respecto a los requisitos esenciales aplicables.
- Declaración UE de conformidad: la declaración correspondiente al producto evaluado.
- SBOM previa solicitud de una autoridad: la SBOM aplicable cuando una autoridad de vigilancia del mercado presenta una solicitud motivada y la necesita para comprobar el cumplimiento del anexo I.
Para una versión ficticia 1.2 de un controlador, el índice podría señalar la descripción de la versión, la revisión de arquitectura, la evaluación de riesgos, la SBOM, las pruebas de actualización y las instrucciones para los usuarios de esa versión. Si una evaluación de riesgos más reciente se acompaña de un informe de pruebas de firmware anterior, debe explicarse si los controles probados siguen siendo aplicables.
Compruebe que la información aplicable del anexo VII esté completa para la versión del producto que se evalúa. Un índice documental ayuda a localizar los análisis y resultados que sustentan cada conclusión, incluida cualquier información que aún falte.
Referencias a pruebas
La evaluación de riesgos explica las medidas de seguridad elegidas; los registros de componentes identifican el software que protegen dichas medidas; los registros de gestión de vulnerabilidades muestran qué ocurre cuando se detecta un problema nuevo. Las páginas siguientes explican el contenido y el uso de cada registro.
Evaluación de riesgos
Muestra cómo se aplican al producto el artículo 13 y el anexo I. Consulte Evaluación de riesgos de ciberseguridad.
Análisis de deficiencias
Compara las pruebas actuales del producto con los requisitos aplicables de la CRA. Consulte Análisis de deficiencias.
SBOM y componentes
Respalda la gestión de vulnerabilidades y la visibilidad de los componentes. Consulte SBOM y registros de componentes.
Registros de vulnerabilidades
Muestra la recepción, corrección, divulgación, publicación de actualizaciones y pruebas de vulnerabilidades. Consulte Registros de gestión de vulnerabilidades.
Evaluación de riesgos
El artículo 13(4) incorpora la evaluación de riesgos de ciberseguridad a la documentación técnica. La evaluación explica cómo se aplica el anexo I al producto, incluido el motivo por el que un requisito relativo a las propiedades del producto no es pertinente si esa es la conclusión del fabricante.
Las preguntas frecuentes de la Comisión indican que el expediente debe estar disponible cuando el producto se introduce en el mercado, tanto si se fabrica dentro como fuera de la UE. También señalan que los rediseños y reevaluaciones posteriores deben reflejarse en la documentación técnica.
Conformidad y uso por las autoridades
La documentación técnica se utiliza principalmente para la evaluación de la conformidad y la vigilancia del mercado. Las preguntas frecuentes de la Comisión indican que normalmente no es necesario ponerla a disposición de los clientes ni del público.
La principal excepción pública descrita en las preguntas frecuentes se refiere a determinados productos importantes de software libre y de código abierto que utilizan la vía de autoevaluación del artículo 32(5).
La documentación debe respaldar las comprobaciones de conformidad
Una autoridad de vigilancia del mercado puede solicitar la información necesaria para demostrar la conformidad. La documentación que falte o no sea clara puede convertirse en un incumplimiento formal.