La Ley de Ciberresiliencia de la UE como legislación de productos

Legislación horizontal sobre productos

La CRA no es una ley general de ciberseguridad para las empresas: es una ley sobre productos. Determina si un producto con elementos digitales puede ponerse a disposición en el mercado de la UE, qué agente debe cumplir cada obligación y si el producto y los procesos del fabricante satisfacen los requisitos de ciberseguridad.

normas para la comercialización de productos con elementos digitales a fin de garantizar la ciberseguridad de dichos productos;

Reglamento (UE) 2024/2847, artículo 1(a)

El título jurídico denomina a estas normas requisitos horizontales de ciberseguridad. «Horizontal» significa que la CRA no está redactada para un solo sector. Puede aplicarse a muchos tipos de productos si están dentro del ámbito de aplicación y ninguna exclusión o norma especial de solapamiento los deja fuera.

Por qué existe esta legislación

Los considerandos describen dos problemas principales. En primer lugar, muchos productos con elementos digitales llegaban a los usuarios con una seguridad deficiente, vulnerabilidades conocidas o información poco clara sobre las actualizaciones de seguridad. En segundo lugar, los usuarios solían carecer de información suficiente para elegir y utilizar los productos de forma segura.

La UE buscó un marco uniforme de requisitos de ciberseguridad de los productos para reducir la fragmentación normativa en el mercado interior. Por ello, la CRA vincula la ciberseguridad a la comercialización de los productos, junto con otras leyes de la UE aplicables a los productos, las operaciones de red y la seguridad organizativa.

Modelo de marcado CE

La CRA utiliza el modelo de marcado CE existente. No crea un nuevo logotipo de ciberseguridad. Para un producto que ya lleva el marcado CE conforme a otra legislación de la UE sobre productos, la CRA añade la ciberseguridad al mismo conjunto de documentos de conformidad del producto.

El marcado CE estará sujeto a los principios generales establecidos en el artículo 30 del Reglamento (CE) n.º 765/2008.

Reglamento (UE) 2024/2847, artículo 29

La Guía Azul explica qué significa el marcado CE: el fabricante declara que el producto cumple la legislación de la Unión aplicable que exige dicho marcado. No es una marca de calidad ni de país de origen, y tampoco significa que una autoridad pública haya sometido a ensayo todos los productos.

Ciberseguridad en el expediente del producto

La CRA añade requisitos de ciberseguridad al sistema de conformidad de productos existente. Los fabricantes pueden utilizar procedimientos jurídicos conocidos, pero deben incorporar el contenido técnico pertinente.

• El anexo I, parte I, establece requisitos de ciberseguridad para el propio producto.
• El anexo I, parte II, establece requisitos para el proceso del fabricante de gestión de vulnerabilidades.
• La documentación técnica debe demostrar cómo cumplen el producto y los procesos los requisitos aplicables.
• La evaluación de la conformidad comprueba el producto y los procesos del fabricante con respecto a esos requisitos.
• La declaración UE de conformidad y el marcado CE vinculan el resultado de la CRA al sistema habitual de conformidad de productos de la UE.

Relación con otras leyes sobre productos

La CRA no sustituye a la legislación vigente sobre productos. Una máquina conectada, un producto radioeléctrico, un juguete, un controlador industrial o un accesorio de producto sanitario pueden estar ya regulados por otro régimen de la UE. Si también se aplica la CRA, el fabricante debe cumplirla junto con los demás actos legislativos aplicables.

Algunos solapamientos se abordan directamente en la CRA. Estos grupos de productos tienen sus propias normas de exclusión o limitación:

• productos sanitarios y productos sanitarios para diagnóstico in vitro;
• productos sujetos a la homologación de vehículos de motor;
• productos certificados conforme al marco de la aviación civil;
• equipos marinos;
• piezas de recambio idénticas;
• productos desarrollados o modificados exclusivamente para fines de seguridad nacional o defensa;
• productos diseñados específicamente para tratar información clasificada.

Otros solapamientos funcionan de otra manera. Según el producto y el riesgo regulado, la CRA puede complementar leyes como las siguientes:

• el Reglamento de Máquinas;
• el Reglamento relativo a la seguridad general de los productos;
• la Directiva sobre equipos radioeléctricos;
• el RGPD;
• la Ley de Datos;
• la Ley de IA;
• NIS2.