Ley de Ciberresiliencia de la UE (EU CRA). Declaración del cliente

La Ley de Ciberresiliencia de la UE (EU CRA) está diseñada para mejorar la seguridad de los productos digitales, incluidos el software y los dispositivos conectados. La Ley establece reglas claras y uniformes para que las empresas las sigan al fabricar estos productos. Esta normativa obligatoria reduce los riesgos al exigir que los fabricantes incorporen la seguridad en sus productos y resuelvan con prontitud cualquier vulnerabilidad de ciberseguridad identificada en el campo. El objetivo es crear un entorno digital más seguro para todos fomentando la disponibilidad de productos "seguros por defecto". La EU CRA exige que los fabricantes comercialicen productos conformes en el mercado de la Unión Europea a partir del 11 de diciembre de 2027. Los fabricantes también están obligados a notificar los incidentes graves y las vulnerabilidades explotadas activamente a las autoridades nacionales competentes o a los Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRTs) a partir del 11 de septiembre de 2026.

La EU CRA exige que los Productos con Elementos Digitales (PDE) que se conecten o interactúen con otros dispositivos o redes cumplan con los requisitos esenciales de ciberseguridad en su diseño, desarrollo y producción. La Ley también exige la gestión de vulnerabilidades a lo largo de todo el ciclo de vida del producto. La descripción siguiente ofrece una visión general de las principales obligaciones en virtud de la EU CR.

El CRA de la UE clasifica los PDE en cuatro grupos con distintos niveles de evaluación de conformidad: "Común", "Importante Clase I", "Importante Clase II" y "Crítico". Los PDE "Importantes" y "Críticos" figuran en los anexos III y IV. Los PDE "Importantes" (por ejemplo, cortafuegos) y los PDE "Críticos" (por ejemplo, módulo de seguridad de hardware, tarjetas inteligentes) proporcionan funciones clave de ciberseguridad o son esenciales para entidades clave o cadenas de suministro en la UE. Requieren cumplimiento de normas armonizadas y certificación de terceros.

Los productos se enumeran en los anexos III o IV solo si sus funciones principales corresponden a los tipos especificados; los productos combinados, como la maquinaria, no heredan la clasificación de criticidad. A pesar de las diferencias en las evaluaciones de conformidad, los requisitos fundamentales de ciberseguridad para las características del producto siguen siendo consistentes en todas las categorías.