El Reglamento de Ciberresiliencia, a punto de su adopción

El Parlamento Europeo ha ratificado el acuerdo político sobre la propuesta de Reglamento de Ciberresiliencia (CRA por sus siglas en inglés) que, como ya comentamos en una entrada pasada titulada “Acuerdo provisional sobre el Reglamento de Ciberresiliencia”), tiene como objetivo garantizar que los productos con elementos digitales sean seguros de usar, resistentes a las amenazas cibernéticas y proporcionen suficiente información sobre sus propiedades de seguridad.

A modo de recapitulación, la normativa se centra en los productos con elementos digitales y los define de una manera general, para incluir tanto a productos de hardware como de software, tales como antivirus, juguetes conectados a la red, electrodomésticos, o rúters wi-fi.

Objetivo de la CRA

La CRA pretende mejorar el nivel de ciberseguridad de los productos digitales en beneficio de los consumidores y empresas de la Unión Europea al introducir requisitos de ciberseguridad obligatorios para todos los equipos y programas informáticos.

De igual forma, la normativa obligará a los fabricantes a proporcionar a los consumidores las actualizaciones de seguridad que resulten oportunas incluso años después de la fecha de compra.

Estas obligaciones se traducen en que los actores dentro de la cadena de valor (esto es, fabricantes, importadores, distribuidores y, en su caso, los representantes autorizados) deban garantizar que:

• Los productos con elementos digitales comercializados en la UE sean más seguros;
• Se garantice la ciberseguridad de los productos con elementos digitales durante todo su ciclo de vida;
• Los consumidores estén debidamente informados sobre la ciberseguridad de los productos que compran y utilizan.

Régimen sancionador

En línea con las recientes normativas europeas, el incumplimiento de la CRA puede conllevar la imposición de elevadas sanciones entorno a los 15 millones de euros o el 2,5% del volumen de negocios global del infractor.

Próximos pasos

La CRA tendrá que ser adoptada formalmente por el Consejo (previsiblemente en abril de este año). Hasta entonces, así como una vez publicada en el Diario Oficial de la UE, iremos publicando una serie de entradas para explicar algunos de los aspectos más relevantes de esta normativa y su interconexión con otras normativas comunitarias.

Tras su publicación oficial, la norma entrará en vigor a los veinte días y la mayoría de sus serán aplicables a los tres años de dicha entrada en vigor, si bien se prevé un plazo inferior para la aplicabilidad de algunos preceptos.