Información e instrucciones para el usuario conforme a la CRA
Sytance · Actualizado
La información para usuarios de la CRA es el material que acompaña al producto y ayuda a instalarlo, utilizarlo, actualizarlo, notificar vulnerabilidades y retirarlo de forma segura. Está dirigida a usuarios, integradores, propietarios y operadores, no solo al expediente interno del fabricante.
Información para los usuarios
Los fabricantes garantizarán que los productos con elementos digitales vayan acompañados de la información e instrucciones para el usuario que figuran en el anexo II, en papel o en formato electrónico. La información y las instrucciones se facilitarán en una lengua que los usuarios y las autoridades de vigilancia del mercado puedan entender fácilmente. Serán claras, comprensibles, inteligibles y legibles. Permitirán la instalación, el funcionamiento y el uso seguros de los productos con elementos digitales. Los fabricantes mantendrán la información y las instrucciones para el usuario del anexo II a disposición de los usuarios y de las autoridades de vigilancia del mercado durante al menos diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuera más largo. Cuando la información y las instrucciones se faciliten en línea, los fabricantes garantizarán que sean accesibles, fáciles de usar y estén disponibles en línea durante al menos diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuera más largo.
Reglamento (UE) 2024/2847, artículo 13(18)
La información puede estar en papel o en formato electrónico. Debe estar en una lengua que los usuarios y las autoridades de vigilancia del mercado entiendan fácilmente. Si se publica en línea, debe seguir siendo accesible y fácil de usar durante el período exigido.
Material dirigido a los usuarios
Explica el uso seguro, el soporte, las actualizaciones, las vías de contacto y la información sobre riesgos que necesitan los usuarios.
Parte del expediente de pruebas
El anexo VII también incorpora la información para usuarios del anexo II a la documentación técnica.
Contenido del anexo II
El anexo II establece la lista mínima de contenido. Combina la identidad del producto, información sobre el soporte, instrucciones de uso seguro e información de contacto para vulnerabilidades.
El anexo II solicita el nombre del fabricante, sus datos de contacto, su sitio web si está disponible y suficiente información para identificar de forma unívoca el producto.
Se debe informar a los usuarios de cómo notificar y recibir información sobre vulnerabilidades y de cómo localizar la política de divulgación coordinada de vulnerabilidades.
La información debe describir la finalidad prevista, el entorno de seguridad, las funciones esenciales, las propiedades de seguridad y cualquier circunstancia conocida o previsible que pueda dar lugar a riesgos importantes de ciberseguridad.
El anexo II solicita información sobre el tipo de soporte técnico de seguridad y la fecha de finalización del período de soporte. También solicita instrucciones para instalar actualizaciones pertinentes para la seguridad.
El anexo II solicita información sobre la puesta en servicio segura, el uso seguro durante toda la vida útil, el desmantelamiento seguro, la eliminación de datos, los ajustes de actualización automática y la integración cuando el producto esté destinado a integrarse en otro producto.
Instrucciones de uso seguro
La CRA no solicita consejos de seguridad genéricos. Las instrucciones deben corresponder al producto, su finalidad prevista, su uso previsible y los usuarios que lo instalarán o manejarán.
El punto 8 del anexo II exige instrucciones, o un enlace a ellas, sobre:
- las medidas necesarias durante la puesta en servicio inicial y durante toda la vida útil del producto;
- cómo pueden afectar los cambios del producto a la seguridad de los datos;
- cómo instalar actualizaciones pertinentes para la seguridad;
- el desmantelamiento seguro y la eliminación segura de los datos de los usuarios;
- cómo desactivar las actualizaciones de seguridad automáticas cuando estén activadas por defecto;
- la información de integración que necesite otro fabricante o integrador.
Las instrucciones claras no sustituyen al diseño
La información para usuarios puede explicar supuestos y riesgos residuales. No puede utilizarse para dejar sin abordar requisitos de seguridad del producto.
Fecha de soporte en el momento de la compra
El artículo 13(19) exige que la fecha de finalización del período de soporte quede clara en el momento de la compra. La fecha debe indicar, como mínimo, el mes y el año. Si es técnicamente viable, también se debe notificar a los usuarios cuando el producto llegue al fin del soporte.
En el momento de la compra
Los usuarios deberían poder ver la fecha de finalización del soporte cuando compren el producto.
Durante el uso
Los usuarios necesitan instrucciones de actualización que correspondan al método de actualización real del producto.
Límite con la documentación técnica
La información para usuarios y la documentación técnica tienen públicos distintos. La información para usuarios permite un uso seguro. La documentación técnica es el expediente de pruebas utilizado para demostrar la conformidad con la CRA.
El anexo VII incorpora la información para usuarios del anexo II a la documentación técnica, pero también solicita pruebas internas como información sobre el diseño y la arquitectura, el proceso de gestión de vulnerabilidades, la evaluación de riesgos de ciberseguridad, la justificación del período de soporte, las normas utilizadas y los informes de pruebas.