+REGLAMENTO (UE) 2024/2847 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de octubre de 2024 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n. o 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia) (Texto pertinente a efectos del EEE)
---+CAPÍTULO I DISPOSICIONES GENERALES
------+Artículo 1 Objeto
------+Artículo 2 Ámbito de aplicación
---------+Artículo 2 1.
---------+Artículo 2 2.
---------+Artículo 2 3.
---------+Artículo 2 4.
---------+Artículo 2 5.
---------+Artículo 2 6.
---------+Artículo 2 7.
---------+Artículo 2 8.
------+Artículo 3 Definiciones
------+Artículo 4 Libre circulación
---------+Artículo 4 1.
---------+Artículo 4 2.
---------+Artículo 4 3.
---------+Artículo 4 4.
------+Artículo 5 Contratación pública o uso de productos con elementos digitales
---------+Artículo 5 1.
---------+Artículo 5 2.
------+Artículo 6 Requisitos aplicables a los productos con elementos digitales
------+Artículo 7 Productos importantes con elementos digitales
---------+Artículo 7 1.
---------+Artículo 7 2.
---------+Artículo 7 3.
---------+Artículo 7 4.
------+Artículo 8 Productos críticos con elementos digitales
---------+Artículo 8 1.
---------+Artículo 8 2.
------+Artículo 9 Consultas con las partes interesadas
---------+Artículo 9 1.
---------+Artículo 9 2.
------+Artículo 10 Refuerzo de las competencias en un entorno digital ciberresiliente
------+Artículo 11 Seguridad general de los productos
------+Artículo 12 Sistemas de IA de alto riesgo
---------+Artículo 12 1.
---------+Artículo 12 2.
---------+Artículo 12 3.
---------+Artículo 12 4.
---+CAPÍTULO II OBLIGACIONES DE LOS OPERADORES ECONÓMICOS Y DISPOSICIONES RELATIVAS A LOS PROGRAMAS INFORMÁTICOS LIBRES Y DE CÓDIGO ABIERTO
------+Artículo 13 Obligaciones de los fabricantes
---------+Artículo 13 1.
---------+Artículo 13 2.
---------+Artículo 13 3.
---------+Artículo 13 4.
---------+Artículo 13 5.
---------+Artículo 13 6.
---------+Artículo 13 7.
---------+Artículo 13 8.
---------+Artículo 13 9.
---------+Artículo 13 10.
---------+Artículo 13 11.
---------+Artículo 13 12.
---------+Artículo 13 13.
---------+Artículo 13 14.
---------+Artículo 13 15.
---------+Artículo 13 16.
---------+Artículo 13 17.
---------+Artículo 13 18.
---------+Artículo 13 19.
---------+Artículo 13 20.
---------+Artículo 13 21.
---------+Artículo 13 22.
---------+Artículo 13 23.
---------+Artículo 13 24.
---------+Artículo 13 25.
------+Artículo 14 Obligaciones de información de los fabricantes
---------+Artículo 14 1.
---------+Artículo 14 2.
---------+Artículo 14 3.
---------+Artículo 14 4.
---------+Artículo 14 5.
---------+Artículo 14 6.
---------+Artículo 14 7.
---------+Artículo 14 8.
---------+Artículo 14 9.
---------+Artículo 14 10.
------+Artículo 15 Notificación voluntaria
---------+Artículo 15 1.
---------+Artículo 15 2.
---------+Artículo 15 3.
---------+Artículo 15 4.
---------+Artículo 15 5.
------+Artículo 16 Creación de una plataforma única de notificación
---------+Artículo 16 1.
---------+Artículo 16 2.
---------+Artículo 16 3.
---------+Artículo 16 4.
---------+Artículo 16 5.
---------+Artículo 16 6.
------+Artículo 17 Otras disposiciones relativas a las notificaciones
---------+Artículo 17 1.
---------+Artículo 17 2.
---------+Artículo 17 3.
---------+Artículo 17 4.
---------+Artículo 17 5.
---------+Artículo 17 6.
------+Artículo 18 Representantes autorizados
---------+Artículo 18 1.
---------+Artículo 18 2.
---------+Artículo 18 3.
------+Artículo 19 Obligaciones de los importadores
---------+Artículo 19 1.
---------+Artículo 19 2.
---------+Artículo 19 3.
---------+Artículo 19 4.
---------+Artículo 19 5.
---------+Artículo 19 6.
---------+Artículo 19 7.
---------+Artículo 19 8.
------+Artículo 20 Obligaciones de los distribuidores
---------+Artículo 20 1.
---------+Artículo 20 2.
---------+Artículo 20 3.
---------+Artículo 20 4.
---------+Artículo 20 5.
---------+Artículo 20 6.
------+Artículo 21 Casos en que las obligaciones de los fabricantes son aplicables a los importadores y distribuidores
------+Artículo 22 Otros casos en que son aplicables las obligaciones de los fabricantes
---------+Artículo 22 1.
---------+Artículo 22 2.
------+Artículo 23 Identificación de los operadores económicos
---------+Artículo 23 1.
---------+Artículo 23 2.
------+Artículo 24 Obligaciones de los administradores de comunidad de programas informáticos de código abierto
---------+Artículo 24 1.
---------+Artículo 24 2.
---------+Artículo 24 3.
------+Artículo 25 Certificación de seguridad de los programas informáticos libres y de código abierto
------+Artículo 26 Orientaciones
---------+Artículo 26 1.
---------+Artículo 26 2.
---------+Artículo 26 3.
---+CAPÍTULO III CONFORMIDAD DEL PRODUCTO CON ELEMENTOS DIGITALES
------+Artículo 27 Presunción de conformidad
---------+Artículo 27 1.
---------+Artículo 27 2.
---------+Artículo 27 3.
---------+Artículo 27 4.
---------+Artículo 27 5.
---------+Artículo 27 6.
---------+Artículo 27 7.
---------+Artículo 27 8.
---------+Artículo 27 9.
------+Artículo 28 Declaración UE de conformidad
---------+Artículo 28 1.
---------+Artículo 28 2.
---------+Artículo 28 3.
---------+Artículo 28 4.
---------+Artículo 28 5.
------+Artículo 29 Principios generales del marcado CE
------+Artículo 30 Reglas y condiciones para la colocación del marcado CE
---------+Artículo 30 1.
---------+Artículo 30 2.
---------+Artículo 30 3.
---------+Artículo 30 4.
---------+Artículo 30 5.
---------+Artículo 30 6.
------+Artículo 31 Documentación técnica
---------+Artículo 31 1.
---------+Artículo 31 2.
---------+Artículo 31 3.
---------+Artículo 31 4.
---------+Artículo 31 5.
------+Artículo 32 Procedimientos de evaluación de la conformidad de los productos con elementos digitales
---------+Artículo 32 1.
---------+Artículo 32 2.
---------+Artículo 32 3.
---------+Artículo 32 4.
---------+Artículo 32 5.
---------+Artículo 32 6.
------+Artículo 33 Medidas de apoyo a las microempresas y las pequeñas y medianas empresas, incluidas las empresas emergentes
---------+Artículo 33 1.
---------+Artículo 33 2.
---------+Artículo 33 3.
---------+Artículo 33 4.
---------+Artículo 33 5.
------+Artículo 34 Acuerdos de reconocimiento mutuo
---+CAPÍTULO IV NOTIFICACIÓN DE LOS ORGANISMOS DE EVALUACIÓN DE LA CONFORMIDAD
------+Artículo 35 Notificación
---------+Artículo 35 1.
---------+Artículo 35 2.
------+Artículo 36 Autoridades notificantes
---------+Artículo 36 1.
---------+Artículo 36 2.
---------+Artículo 36 3.
---------+Artículo 36 4.
------+Artículo 37 Requisitos relativos a las autoridades notificantes
---------+Artículo 37 1.
---------+Artículo 37 2.
---------+Artículo 37 3.
---------+Artículo 37 4.
---------+Artículo 37 5.
---------+Artículo 37 6.
------+Artículo 38 Obligación de información de las autoridades notificantes
---------+Artículo 38 1.
---------+Artículo 38 2.
------+Artículo 39 Requisitos relativos a los organismos notificados
---------+Artículo 39 1.
---------+Artículo 39 2.
---------+Artículo 39 3.
---------+Artículo 39 4.
---------+Artículo 39 5.
---------+Artículo 39 6.
---------+Artículo 39 7.
---------+Artículo 39 8.
---------+Artículo 39 9.
---------+Artículo 39 10.
---------+Artículo 39 11.
---------+Artículo 39 12.
------+Artículo 40 Presunción de conformidad de los organismos notificados
------+Artículo 41 Subcontrataciones y filiales de los organismos notificados
---------+Artículo 41 1.
---------+Artículo 41 2.
---------+Artículo 41 3.
---------+Artículo 41 4.
------+Artículo 42 Solicitud de notificación
---------+Artículo 42 1.
---------+Artículo 42 2.
---------+Artículo 42 3.
------+Artículo 43 Procedimiento de notificación
---------+Artículo 43 1.
---------+Artículo 43 2.
---------+Artículo 43 3.
---------+Artículo 43 4.
---------+Artículo 43 5.
---------+Artículo 43 6.
------+Artículo 44 Números de identificación y listas de organismos notificados
---------+Artículo 44 1.
---------+Artículo 44 2.
------+Artículo 45 Cambios en las notificaciones
---------+Artículo 45 1.
---------+Artículo 45 2.
------+Artículo 46 Cuestionamiento de la competencia de los organismos notificados
---------+Artículo 46 1.
---------+Artículo 46 2.
---------+Artículo 46 3.
---------+Artículo 46 4.
------+Artículo 47 Obligaciones operativas de los organismos notificados
---------+Artículo 47 1.
---------+Artículo 47 2.
---------+Artículo 47 3.
---------+Artículo 47 4.
---------+Artículo 47 5.
---------+Artículo 47 6.
------+Artículo 48 Recurso frente las decisiones de los organismos notificados
------+Artículo 49 Obligación de información de los organismos notificados
---------+Artículo 49 1.
---------+Artículo 49 2.
------+Artículo 50 Intercambio de experiencias
------+Artículo 51 Coordinación de los organismos notificados
---------+Artículo 51 1.
---------+Artículo 51 2.
---+CAPÍTULO V VIGILANCIA DEL MERCADO Y APLICACIÓN DE LA LEGISLACIÓN
------+Artículo 52 Vigilancia del mercado y control de los productos con elementos digitales en el mercado de la Unión
---------+Artículo 52 1.
---------+Artículo 52 2.
---------+Artículo 52 3.
---------+Artículo 52 4.
---------+Artículo 52 5.
---------+Artículo 52 6.
---------+Artículo 52 7.
---------+Artículo 52 8.
---------+Artículo 52 9.
---------+Artículo 52 10.
---------+Artículo 52 11.
---------+Artículo 52 12.
---------+Artículo 52 13.
---------+Artículo 52 14.
---------+Artículo 52 15.
---------+Artículo 52 16.
------+Artículo 53 Acceso a datos y documentación
------+Artículo 54 Procedimiento a nivel nacional aplicable a los productos con elementos digitales que presentan un riesgo de ciberseguridad significativo
---------+Artículo 54 1.
---------+Artículo 54 2.
---------+Artículo 54 3.
---------+Artículo 54 4.
---------+Artículo 54 5.
---------+Artículo 54 6.
---------+Artículo 54 7.
---------+Artículo 54 8.
---------+Artículo 54 9.
------+Artículo 55 Procedimiento de salvaguardia de la Unión
---------+Artículo 55 1.
---------+Artículo 55 2.
---------+Artículo 55 3.
---------+Artículo 55 4.
---------+Artículo 55 5.
------+Artículo 56 Procedimiento a escala de la Unión aplicable a los productos con elementos digitales que presentan un riesgo de ciberseguridad significativo
---------+Artículo 56 1.
---------+Artículo 56 2.
---------+Artículo 56 3.
---------+Artículo 56 4.
---------+Artículo 56 5.
---------+Artículo 56 6.
---------+Artículo 56 7.
------+Artículo 57 Productos con elementos digitales conformes que presentan un riesgo de ciberseguridad significativo
---------+Artículo 57 1.
---------+Artículo 57 2.
---------+Artículo 57 3.
---------+Artículo 57 4.
---------+Artículo 57 5.
---------+Artículo 57 6.
---------+Artículo 57 7.
---------+Artículo 57 8.
---------+Artículo 57 9.
---------+Artículo 57 10.
---------+Artículo 57 11.
------+Artículo 58 Incumplimiento formal
---------+Artículo 58 1.
---------+Artículo 58 2.
------+Artículo 59 Actividades conjuntas de las autoridades de vigilancia del mercado
---------+Artículo 59 1.
---------+Artículo 59 2.
---------+Artículo 59 3.
---------+Artículo 59 4.
---------+Artículo 59 5.
------+Artículo 60 Barridos
---------+Artículo 60 1.
---------+Artículo 60 2.
---------+Artículo 60 3.
---------+Artículo 60 4.
---------+Artículo 60 5.
---+CAPÍTULO VI PODERES DELEGADOS Y PROCEDIMIENTO DE COMITÉ
------+Artículo 61 Ejercicio de la delegación
---------+Artículo 61 1.
---------+Artículo 61 2.
---------+Artículo 61 3.
---------+Artículo 61 4.
---------+Artículo 61 5.
---------+Artículo 61 6.
------+Artículo 62 Procedimiento de comité
---------+Artículo 62 1.
---------+Artículo 62 2.
---------+Artículo 62 3.
---+CAPÍTULO VII CONFIDENCIALIDAD Y SANCIONES
------+Artículo 63 Confidencialidad
---------+Artículo 63 1.
---------+Artículo 63 2.
---------+Artículo 63 3.
---------+Artículo 63 4.
------+Artículo 64 Sanciones
---------+Artículo 64 1.
---------+Artículo 64 2.
---------+Artículo 64 3.
---------+Artículo 64 4.
---------+Artículo 64 5.
---------+Artículo 64 6.
---------+Artículo 64 7.
---------+Artículo 64 8.
---------+Artículo 64 9.
---------+Artículo 64 10.
------+Artículo 65 Acciones de representación
---+CAPÍTULO VIII DISPOSICIONES TRANSITORIAS Y FINALES
------+Artículo 66 Modificación del Reglamento (UE) 2019/1020
------+Artículo 67 Modificación de la Directiva (UE) 2020/1828
------+Artículo 68 Modificación del Reglamento (UE) n.o168/2013
------+Artículo 69 Disposiciones transitorias
---------+Artículo 69 1.
---------+Artículo 69 2.
---------+Artículo 69 3.
------+Artículo 70 Evaluación y revisión
---------+Artículo 70 1.
---------+Artículo 70 2.
------+Artículo 71 Entrada en vigor y aplicación
---------+Artículo 71 1.
---------+Artículo 71 2.
---+ANEXO I REQUISITOS ESENCIALES DE CIBERSEGURIDAD
---+ANEXO II INFORMACIÓN E INSTRUCCIONES PARA EL USUARIO
---+ANEXO III PRODUCTOS IMPORTANTES CON ELEMENTOS DIGITALES
---+ANEXO IV PRODUCTOS CRÍTICOS CON ELEMENTOS DIGITALES
---+ANEXO V DECLARACIÓN UE DE CONFORMIDAD
---+ANEXO VI DECLARACIÓN UE DE CONFORMIDAD SIMPLIFICADA
---+ANEXO VII CONTENIDO DE LA DOCUMENTACIÓN TÉCNICA
---+ANEXO VIII PROCEDIMIENTOS DE EVALUACIÓN DE LA CONFORMIDAD
|
English -
European Union -
REGLAMENTO (UE) 2024/2847 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de octubre de 2024 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n. o 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia) (Texto pertinente a efectos del EEE)
REGLAMENTO (UE) 2024/2847 DEL PARLAMENTO EUROPEO Y DEL CONSEJO
de 23 de octubre de 2024
relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) n.o 168/2013 y el Reglamento (UE) 2019/1020 y la Directiva (UE) 2020/1828 (Reglamento de Ciberresiliencia)
(Texto pertinente a efectos del EEE)
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
1. Resumen
| Título |
Regulación |
|
CAPÍTULO I DISPOSICIONES GENERALES
|
CAPÍTULO I DISPOSICIONES GENERALES
|
|
CAPÍTULO II OBLIGACIONES DE LOS OPERADORES ECONÓMICOS Y DISPOSICIONES RELATIVAS A LOS PROGRAMAS INFORMÁTICOS LIBRES Y DE CÓDIGO ABIERTO
|
CAPÍTULO II OBLIGACIONES DE LOS OPERADORES ECONÓMICOS Y DISPOSICIONES RELATIVAS A LOS PROGRAMAS INFORMÁTICOS LIBRES Y DE CÓDIGO ABIERTO
|
|
CAPÍTULO III CONFORMIDAD DEL PRODUCTO CON ELEMENTOS DIGITALES
|
CAPÍTULO III CONFORMIDAD DEL PRODUCTO CON ELEMENTOS DIGITALES
|
|
CAPÍTULO IV NOTIFICACIÓN DE LOS ORGANISMOS DE EVALUACIÓN DE LA CONFORMIDAD
|
CAPÍTULO IV NOTIFICACIÓN DE LOS ORGANISMOS DE EVALUACIÓN DE LA CONFORMIDAD
|
|
CAPÍTULO V VIGILANCIA DEL MERCADO Y APLICACIÓN DE LA LEGISLACIÓN
|
CAPÍTULO V VIGILANCIA DEL MERCADO Y APLICACIÓN DE LA LEGISLACIÓN
|
|
CAPÍTULO VI PODERES DELEGADOS Y PROCEDIMIENTO DE COMITÉ
|
CAPÍTULO VI PODERES DELEGADOS Y PROCEDIMIENTO DE COMITÉ
|
|
CAPÍTULO VII CONFIDENCIALIDAD Y SANCIONES
|
CAPÍTULO VII CONFIDENCIALIDAD Y SANCIONES
|
|
CAPÍTULO VIII DISPOSICIONES TRANSITORIAS Y FINALES
|
CAPÍTULO VIII DISPOSICIONES TRANSITORIAS Y FINALES
|
|
ANEXO I REQUISITOS ESENCIALES DE CIBERSEGURIDAD
|
ANEXO I
REQUISITOS ESENCIALES DE CIBERSEGURIDAD
Parte I Requisitos de ciberseguridad relativos a las propiedades de los productos con elementos digitales
1) Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad sobre la base de los riesgos existentes.
2) Sobre la base de la evaluación de riesgos de ciberseguridad a la que hace referencia el artículo 13, apartado 2, y cuando proceda, los productos con elementos digitales:
a)
se comercializarán sin vulnerabilidades aprovechables conocidas;
b)
se comercializarán con una configuración segura por defecto, a menos que el fabricante y el usuario profesional acuerden otra cosa en relación con un producto a medida con elementos digitales, incluida la posibilidad de restablecer el producto a su estado original;
c)
garantizarán que las vulnerabilidades puedan abordarse mediante actualizaciones de seguridad, incluidas, cuando proceda, las actualizaciones automáticas de seguridad instaladas en un plazo adecuado habilitadas como configuración por defecto, con un mecanismo de exclusión voluntaria claro y fácil de utilizar, mediante la notificación de las actualizaciones disponibles a los usuarios y la opción de posponerlas temporalmente;
d)
garantizarán la protección contra el acceso no autorizado mediante mecanismos de control adecuados, incluidos, entre otros, sistemas de gestión de la autenticación, la identidad o el acceso, e informarán de posibles accesos no autorizados;
e)
protegerán la confidencialidad de los datos personales o de otro tipo almacenados, transmitidos o tratados de otro modo, mediante, por ejemplo, el cifrado de los datos en reposo o en tránsito pertinentes por medio de mecanismos de última tecnología, o mediante la utilización de otros medios técnicos;
f)
protegerán la integridad de los datos personales o de otro tipo almacenados, transmitidos o tratados de otro modo, los comandos, los programas y la configuración frente a toda manipulación o modificación no autorizada por el usuario, e informarán sobre los casos de corrupción de datos;
g)
tratarán únicamente los datos personales o de otro tipo que sean adecuados, pertinentes y limitados a lo que sea necesario para la finalidad prevista del producto con elementos digitales («minimización de datos»);
h)
protegerán la disponibilidad de funciones esenciales y básicas, también tras un incidente, también mediante medidas de resiliencia frente a ataques de denegación de servicio y paliativas de sus efectos;
i)
minimizarán las repercusiones negativas de los propios productos o de los dispositivos conectados en la disponibilidad de servicios prestados por otros dispositivos o redes;
j)
estarán diseñados, desarrollados y producidos para limitar las superficies de ataque, incluidas las interfaces externas;
k)
estarán diseñados, desarrollados y producidos para reducir el impacto de un incidente, por medio de mecanismos y técnicas adecuados para paliar el aprovechamiento de las vulnerabilidades;
l)
proporcionarán información relacionada con la seguridad mediante el registro o el seguimiento de la actividad interna pertinente, incluidos el acceso a datos, servicios o funciones y la modificación de estos, con un mecanismo de exclusión voluntaria para el usuario;
m)
ofrecerán a los usuarios la posibilidad de eliminar de manera segura y fácil, de forma permanente, todos los datos y parámetros y, cuando esos datos puedan transferirse a otros productos o sistemas, garantizarán que esto se haga de manera segura.
Parte II Requisitos de gestión de las vulnerabilidades
Los fabricantes de los productos con elementos digitales:
1)
identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto;
2)
por lo que respecta a los riesgos para los productos con elementos digitales, abordarán y subsanarán las vulnerabilidades sin demora, también mediante la provisión de actualizaciones de seguridad; cuando sea técnicamente viable, las nuevas actualizaciones de seguridad se facilitarán por separado con respecto a las actualizaciones de funcionalidad;
3)
llevarán a cabo exámenes y pruebas eficaces y periódicos de la seguridad del producto con elementos digitales;
4)
una vez esté disponible una actualización de seguridad, compartirán y divulgarán públicamente información sobre las vulnerabilidades solucionadas, incluidas una descripción de las vulnerabilidades, información que permita a los usuarios identificar el producto con elementos digitales afectado, las repercusiones y la gravedad de las vulnerabilidades e información clara y accesible que ayude a los usuarios a corregir las vulnerabilidades; en casos debidamente justificados, cuando los fabricantes consideren que los riesgos para la seguridad de la publicación superan los beneficios en materia de seguridad, podrán retrasar la publicación de información sobre una vulnerabilidad solucionada hasta que se haya dado a los usuarios la posibilidad de aplicar el parche correspondiente;
5)
pondrán en marcha y aplicarán una política de divulgación coordinada de vulnerabilidades;
6)
adoptarán medidas para facilitar el intercambio de información sobre posibles vulnerabilidades de su producto con elementos digitales, así como de los componentes de terceros presentes en el producto, también proporcionando una dirección de contacto para la notificación de las vulnerabilidades descubiertas en el producto con elementos digitales;
7)
preverán mecanismos para distribuir de manera segura las actualizaciones de los productos con elementos digitales, con el fin de garantizar que las vulnerabilidades se solucionen o se reduzcan de manera oportuna y, cuando proceda para las actualizaciones automáticas, de una manera automática;
8)
garantizarán que, cuando se disponga de actualizaciones de seguridad para hacer frente a los problemas de seguridad detectados, estos se difundan sin demora y, a menos que el fabricante y el usuario profesional acuerden otra cosa en relación con un producto a medida con elementos digitales, de forma gratuita, acompañados de mensajes de aviso que proporcionen a los usuarios la información pertinente, también en relación con las posibles medidas que deban adoptarse.
|
|
ANEXO II INFORMACIÓN E INSTRUCCIONES PARA EL USUARIO
|
ANEXO II
INFORMACIÓN E INSTRUCCIONES PARA EL USUARIO
Junto al producto con elementos digitales, se especificará, como mínimo:
1.
el nombre, nombre comercial registrado o marca registrada del fabricante, la dirección postal, la dirección de correo electrónico u otro contacto digital, así como, cuando esté disponible, el sitio web en el que se puede contactar con el fabricante;
2.
el punto único de contacto en el que pueda notificarse y obtenerse información sobre las vulnerabilidades del producto con elementos digitales, y el lugar en que puede encontrarse la política del fabricante respecto a las vulnerabilidades coordinadas;
3.
el nombre y el tipo del producto con elementos digitales, y toda información adicional que permita su identificación única;
4.
la finalidad prevista del producto con elementos digitales, incluido el entorno de seguridad proporcionado por el fabricante, así como las funcionalidades esenciales del producto e información sobre sus propiedades de seguridad;
5.
cualquier circunstancia conocida o previsible, asociada al uso del producto con elementos digitales conforme a su finalidad prevista o a un uso indebido razonablemente previsible, que pueda dar lugar a riesgos de ciberseguridad significativos;
6.
cuando proceda, la dirección de internet en la que puede accederse a la declaración UE de conformidad;
7.
el tipo de apoyo técnico en materia de seguridad ofrecido por el fabricante y la fecha de finalización del período de soporte durante el que está previsto que se gestionen las vulnerabilidades y que los usuarios puedan recibir actualizaciones de seguridad;
8.
instrucciones detalladas o una dirección de internet en la que se especifiquen dichas instrucciones e información sobre:
a)
las medidas necesarias durante la puesta en servicio inicial y a lo largo de toda la vida del producto con elementos digitales para garantizar su uso seguro;
b)
cómo los cambios en el producto con elementos digitales pueden afectar a la seguridad de los datos;
c)
cómo pueden instalarse las actualizaciones pertinentes para la seguridad;
d)
cómo realizar la retirada del servicio del producto con elementos digitales de forma segura, incluida información sobre cómo pueden eliminarse de forma segura los datos de los usuarios;
e)
cómo puede apagarse la configuración por defecto que permite la instalación automática de actualizaciones de seguridad, tal como se exige en el anexo I, parte I, punto 2, letra c);
f)
cuando el producto con elementos digitales esté destinado a integrarse en otros productos con elementos digitales, la información necesaria para que el integrador cumpla los requisitos esenciales de ciberseguridad establecidos en el anexo I y los requisitos de documentación establecidos en el anexo VII;
9.
si el fabricante decide poner a disposición del usuario la nomenclatura de materiales de los programas informáticos, información sobre dónde puede consultarse esta.
|
|
ANEXO III PRODUCTOS IMPORTANTES CON ELEMENTOS DIGITALES
|
ANEXO III
PRODUCTOS IMPORTANTES CON ELEMENTOS DIGITALES
Clase I
1. Sistemas de gestión de la identidad y programas y equipos informáticos de gestión de accesos privilegiados, incluidos los lectores de autenticación y control de acceso, como los lectores biométricos
2. Navegadores independientes e integrados
3. Gestores de contraseñas
4. Programas informáticos que busquen, eliminen o pongan en cuarentena programas maliciosos
5. Productos con elementos digitales que ejerzan la función de red privada virtual (VPN, por sus siglas en inglés)
6. Sistemas de gestión de redes
7. Sistemas de gestión de información de seguridad y eventos (SIEM, por sus siglas en inglés)
9. Infraestructuras públicas clave y programas informáticos de emisión de certificados digitales
10. Interfaces físicas y virtuales de red
12. Enrutadores, módems destinados a la conexión a internet e interruptores
13. Microprocesadores con funcionalidades relacionadas con la seguridad
14. Microcontroladores con funcionalidades relacionadas con la seguridad
15. Circuitos integrados de aplicación específica (ASIC, por sus siglas en inglés) y matrices de puertas programables in situ (FPGA, por sus siglas en inglés) con funcionalidades relacionadas con la seguridad
16. Asistentes virtuales de propósito general para hogares inteligentes
17. Productos para hogares inteligentes con funciones de seguridad, como cerraduras, cámaras de seguridad, sistemas de vigilancia de bebés y sistemas de alarma inteligentes
18. Juguetes conectados a internet regulados por la Directiva 2009/48/CE del Parlamento Europeo y del Consejo (
4
) que tienen funcionalidades sociales interactivas (por ejemplo, que hablen o filmen) o que funcionalidades de seguimiento de localización
19. Productos ponibles personales destinados a ser utilizados o colocados en el cuerpo humano con fines de seguimiento médico (como la localización) y a los que no se aplican el Reglamento (UE) 2017/745 o el Reglamento (UE) 2017/746, o productos ponibles personales destinados a ser utilizados por y para niños.
Clase II
1. Hipervisores y sistemas de ejecución de contenedores que permitan la ejecución virtualizada de sistemas operativos y entornos similares
2. Cortafuegos y sistemas de detección y prevención de intrusiones
3. Microprocesadores resistentes a las manipulaciones
4. Microcontroladores resistentes a las manipulaciones.
|
|
ANEXO IV PRODUCTOS CRÍTICOS CON ELEMENTOS DIGITALES
|
ANEXO IV
PRODUCTOS CRÍTICOS CON ELEMENTOS DIGITALES
1. Dispositivos de equipos informáticos con cajas de seguridad
2. Pasarelas de contadores inteligentes dentro de los sistemas de medición inteligente según se definen en el artículo 2, punto 23, de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo (
5
), y otros dispositivos con fines de seguridad avanzada, incluido el procesamiento seguro de criptoactivos
3. Tarjetas inteligentes o dispositivos similares, que incluyan elementos seguros
|
|
ANEXO V DECLARACIÓN UE DE CONFORMIDAD
|
ANEXO V
DECLARACIÓN UE DE CONFORMIDAD
La declaración UE de conformidad a que hace referencia el artículo 28 contendrá toda la información siguiente:
1.
El nombre y el tipo del producto con elementos digitales, y toda información adicional que permita su identificación única.
2.
Nombre y dirección del fabricante o de su representante autorizado.
3.
La afirmación de que la declaración UE de conformidad se emite bajo la exclusiva responsabilidad del proveedor.
4.
El objeto de la declaración (identificación del producto con elementos digitales que permita la trazabilidad, lo que podrá incluir, cuando proceda, una fotografía).
5.
La afirmación de que el objeto de la declaración descrito anteriormente es conforme a la legislación de armonización de la Unión pertinentes.
6.
Referencias a todas las normas armonizadas pertinentes utilizadas o a cualquier otra especificación común o certificación de la ciberseguridad respecto a las cuales se declara la conformidad.
7.
En su caso, el nombre y número del organismo notificado, una descripción del procedimiento de evaluación de la conformidad llevado a cabo y la identificación del certificado emitido.
8.
Información adicional:
Firmado por y en nombre de:
(lugar y fecha de expedición):
(nombre, cargo) (firma):
|
|
ANEXO VI DECLARACIÓN UE DE CONFORMIDAD SIMPLIFICADA
|
ANEXO VI
DECLARACIÓN UE DE CONFORMIDAD SIMPLIFICADA
La declaración UE de conformidad simplificada contemplada en el artículo 13, apartado 20, se ajustará a lo siguiente:
Por la presente, … [nombre del fabricante] declara que el tipo de producto con elementos digitales [designación del tipo de producto con elemento digital] es conforme con el Reglamento (UE) 2024/2847 (
6
). El texto completo de la declaración UE de conformidad está disponible en la dirección Internet siguiente: …
|
|
ANEXO VII CONTENIDO DE LA DOCUMENTACIÓN TÉCNICA
|
ANEXO VII
CONTENIDO DE LA DOCUMENTACIÓN TÉCNICA
La documentación técnica a que hace referencia el artículo 31 contendrá como mínimo la siguiente información, en función del producto con elementos digitales de que se trate:
1.
una descripción general del producto con elementos digitales, incluidas:
b)
las versiones de los programas informáticos que afecten al cumplimiento de los requisitos esenciales de ciberseguridad;
c)
cuando el producto con elementos digitales sea un producto consistente en equipos informáticos, fotografías o ilustraciones que muestren las características externas, el marcado y la configuración interna;
d)
la información y las instrucciones para el usuario indicadas en el anexo II;
2.
una descripción del diseño, el desarrollo y la producción del producto con elementos digitales y de los procesos de gestión de las vulnerabilidades, que incluya:
a)
información necesaria sobre el diseño y el desarrollo del producto con elementos digitales, incluidos, en su caso, planos y esquemas, y una descripción de la arquitectura del sistema que explique cómo se apoyan o se alimentan mutuamente los componentes de los programas informáticos y cómo se integran en el tratamiento general;
b)
información y especificaciones necesarias de los procesos de gestión de las vulnerabilidades establecidos por el fabricante, incluida la nomenclatura de materiales de los programas informáticos, la política de divulgación coordinada de vulnerabilidades, pruebas de que se ha facilitado una dirección de contacto para la notificación de vulnerabilidades y una descripción de las soluciones técnicas elegidas para la distribución segura de las actualizaciones;
c)
información y especificaciones necesarias de los procesos de producción y seguimiento del producto con elementos digitales y la validación de esos procesos;
3.
una evaluación de los riesgos de ciberseguridad frente a los cuales se haya diseñado, desarrollado, producido, entregado y mantenido el producto con elementos digitales, en virtud del artículo 13, también en lo que ataña al modo en que son aplicables los requisitos esenciales de ciberseguridad formulados en el anexo I, parte I;
4.
información pertinente que se haya tenido en cuenta para determinar el período de soporte en virtud del artículo 13, apartado 8, del producto con elementos digitales;
5.
una lista de las normas armonizadas, aplicadas total o parcialmente, cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, las especificaciones comunes tal como se definen en el artículo 27 del presente Reglamento o los esquemas europeos de certificación de la ciberseguridad adoptados en virtud del Reglamento (UE) 2019/881 de conformidad con el artículo 27, apartado 8, del presente Reglamento y, cuando no se hayan aplicado esas normas armonizadas, especificaciones comunes o esquemas europeos de certificación de la ciberseguridad, la descripción de las soluciones adoptadas para cumplir los requisitos esenciales de ciberseguridad establecidos en el anexo I, partes I y II, junto con una lista de otras especificaciones técnicas pertinentes aplicadas; en caso de normas armonizadas, especificaciones comunes o esquemas europeos de certificación de la ciberseguridad que se apliquen parcialmente, se especificarán en la documentación técnica las partes que se hayan aplicado;
6.
informes de las pruebas realizadas para verificar la conformidad del producto con elementos digitales y de los procesos de gestión de las vulnerabilidades con los requisitos esenciales de ciberseguridad aplicables que se establecen en el anexo I, partes I y II;
7.
una copia de la declaración UE de conformidad;
8.
cuando proceda, la nomenclatura de materiales de los programas informáticos, previa solicitud motivada por parte de una autoridad de vigilancia del mercado, siempre que sea necesario para que dicha autoridad pueda comprobar el cumplimiento de los requisitos esenciales de ciberseguridad establecidos en el anexo I.
|
|
ANEXO VIII PROCEDIMIENTOS DE EVALUACIÓN DE LA CONFORMIDAD
|
ANEXO VIII
PROCEDIMIENTOS DE EVALUACIÓN DE LA CONFORMIDAD
Parte I Procedimiento de evaluación de la conformidad basado en el control interno (basado en el módulo A)
1. El control interno es el procedimiento de evaluación de la conformidad mediante el cual el fabricante cumple las obligaciones establecidas en los puntos 2, 3 y 4 de la presente parte, y garantiza y declara, bajo su exclusiva responsabilidad, que los productos con elementos digitales son conformes con todos los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y que el fabricante cumple los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II.
2. El fabricante elaborará la documentación técnica descrita en el anexo VII.
3. Diseño, desarrollo, producción de los productos con elementos digitales y gestión de las vulnerabilidades
El fabricante adoptará todas las medidas necesarias para que los procesos de diseño, desarrollo, producción y gestión de las vulnerabilidades, así como el seguimiento de dichos procesos, garanticen la conformidad de los productos con elementos digitales fabricados o desarrollados y de los procesos establecidos por el fabricante con los requisitos esenciales de ciberseguridad establecidos en el anexo I, partes I y II.
4. Marcado de conformidad y declaración de conformidad
4.1. El fabricante colocará el marcado CE en cada producto con elementos digitales que satisfaga los requisitos aplicables establecidos en el presente Reglamento.
4.2. El fabricante redactará una declaración UE de conformidad por escrito para cada producto con elementos digitales de conformidad con el artículo 28 y la mantendrá, junto con la documentación técnica, a disposición de las autoridades nacionales durante un período de diez años después de la introducción en el mercado del producto con elementos digitales o el período de soporte, si este fuese más prolongado. En la declaración UE de conformidad se identificará el producto con elementos digitales para el cual haya sido elaborada. Se facilitará una copia de la declaración CE de conformidad a las autoridades competentes que lo soliciten.
5. Representantes autorizados
Las obligaciones del fabricante establecidas en el punto 4 podrá cumplirlas, en su nombre y bajo su responsabilidad, su representante autorizado, siempre que las obligaciones pertinentes estén especificadas en el mandato.
Parte II Examen de tipo UE (basado en el módulo B)
1. El examen de tipo UE es la parte de un procedimiento de evaluación de la conformidad mediante la cual un organismo notificado examina el diseño técnico y el desarrollo de un producto con elementos digitales y los procesos de gestión de las vulnerabilidades establecidos por el fabricante, y certifica que un producto con elementos digitales cumple los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y que el fabricante cumple los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II.
2. El examen de tipo UE se llevará a cabo mediante una evaluación de la adecuación del diseño técnico y el desarrollo del producto con elementos digitales a través del examen de la documentación técnica y las pruebas de apoyo a que se refiere el punto 3, más el examen de las muestras de una o varias partes críticas del producto (combinación del tipo de producción y el tipo de diseño).
3. El fabricante deberá presentar una solicitud de examen de tipo UE a un organismo notificado único de su elección.
La solicitud incluirá:
3.1.
El nombre y la dirección del fabricante y, si la solicitud la presenta el representante autorizado, también el nombre y la dirección de este.
3.2.
Una declaración por escrito de que no se ha presentado la misma solicitud ante ningún otro organismo notificado.
3.3.
La documentación técnica, que permitirá evaluar la conformidad del producto con elementos digitales con los requisitos esenciales de ciberseguridad aplicables establecidos en el anexo I, parte I, y los procesos de gestión de las vulnerabilidades por parte del fabricante establecidos en el anexo I, parte II, e incluirá un análisis y una evaluación adecuados del riesgo o riesgos. Especificará los requisitos aplicables y contemplará, en la medida en que sea pertinente para la evaluación, el diseño, la fabricación y el funcionamiento del producto con elementos digitales. Incluirá, cuando proceda, al menos los elementos establecidos en el anexo VII.
3.4.
Pruebas que acrediten la adecuación de las soluciones técnicas de diseño y desarrollo y de los procesos de gestión de las vulnerabilidades. Estas pruebas mencionarán todos los documentos que se hayan utilizado, en particular, en caso de que las normas armonizadas pertinentes o las especificaciones técnicas no se hayan aplicado íntegramente. Las pruebas incluirán, en caso necesario, los resultados de las pruebas realizadas por el laboratorio apropiado del fabricante o por otro laboratorio de pruebas en su nombre y bajo su responsabilidad.
4. El organismo notificado:
4.1.
examinará la documentación técnica y las pruebas para evaluar la adecuación del diseño técnico y del desarrollo del producto con elementos digitales con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y la adecuación de los procesos de gestión de las vulnerabilidades establecidos por el fabricante con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II;
4.2.
comprobará que las muestras se han desarrollado o fabricado conforme a la documentación técnica, e identificará los elementos que se han diseñado y desarrollado con arreglo a las disposiciones aplicables de las normas armonizadas o especificaciones técnicas pertinentes, así como los elementos que se han diseñado y desarrollado sin aplicar las disposiciones pertinentes de dichas normas;
4.3.
efectuará, o hará que se efectúen, los exámenes y pruebas oportunos para comprobar si, cuando el fabricante haya optado por aplicar las soluciones de las normas armonizadas o especificaciones técnicas pertinentes en relación con los requisitos establecidos en el anexo I, su aplicación ha sido correcta;
4.4.
efectuará, o hará que se efectúen, los exámenes y pruebas oportunas para comprobar si, en caso de que no se hayan aplicado las soluciones de las normas armonizadas o especificaciones técnicas pertinentes en relación con los requisitos establecidos en el anexo I, las soluciones adoptadas por el fabricante cumplen los requisitos esenciales de ciberseguridad correspondientes;
4.5.
acordará con el fabricante el lugar donde se realizarán los exámenes y las pruebas.
5. El organismo notificado elaborará un informe de evaluación que recoja las actividades realizadas de conformidad con el punto 4 y sus resultados. Sin perjuicio de sus obligaciones frente a las autoridades notificantes, el organismo notificado solo dará a conocer el contenido del informe, íntegramente o en parte, con el acuerdo del fabricante.
6. Si el tipo y los procesos de gestión de las vulnerabilidades cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I, el organismo notificado expedirá al fabricante un certificado de examen de tipo UE. El certificado incluirá el nombre y la dirección del fabricante, las conclusiones del examen, las condiciones de validez (en su caso) y los datos necesarios para la identificación del tipo aprobado y de los procesos de gestión de las vulnerabilidades. Se podrán adjuntar al certificado uno o varios anexos.
El certificado y sus anexos contendrán toda la información pertinente que permita evaluar la conformidad de los productos con elementos digitales fabricados o desarrollados con el tipo examinado y los procesos de gestión de las vulnerabilidades, y permitir el control en servicio.
En caso de que el tipo y los procesos de gestión de las vulnerabilidades no cumplan los requisitos esenciales de ciberseguridad aplicables establecidos en el anexo I, el organismo notificado se negará a expedir un certificado de examen de tipo UE e informará de ello al solicitante, explicando detalladamente su negativa.
7. El organismo notificado se mantendrá informado de las actualizaciones de la última tecnología conocida que indiquen que el tipo aprobado y los procesos de gestión de las vulnerabilidades ya no pueden cumplir los requisitos esenciales de ciberseguridad establecidos en el anexo I del presente Reglamento, y determinará si tales cambios requieren más investigaciones. En ese caso, el organismo notificado informará al fabricante en consecuencia.
El fabricante informará al organismo notificado en posesión de la documentación técnica relativa al certificado de examen de tipo UE de todas las modificaciones del tipo aprobado y los procesos de gestión de las vulnerabilidades que puedan afectar a la conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I o las condiciones de validez del certificado. Tales modificaciones requerirán una aprobación adicional en forma de suplemento al certificado original de examen de tipo UE.
8. El organismo notificado llevará a cabo auditorías periódicas para garantizar que los procesos de gestión de las vulnerabilidades establecidos en el anexo I, parte II, se aplican adecuadamente.
9. Cada organismo notificado informará a sus autoridades notificantes sobre los certificados de examen de tipo UE o cualquier añadido o añadidos a ellos que haya expedido o retirado, y, periódicamente o previa solicitud, pondrá a disposición de sus autoridades notificantes la lista de certificados o añadidos que hayan sido rechazados, suspendidos o restringidos de otro modo.
Cada organismo notificado informará a los demás organismos notificados sobre los certificados de examen de tipo UE o los añadidos a estos certificados que haya rechazado, retirado, suspendido o restringido de otro modo, y, previa solicitud, sobre los certificados o sus añadidos que haya expedido.
La Comisión, los Estados miembros y los demás organismos notificados podrán, previa solicitud, obtener una copia de los certificados de examen de tipo UE o cualquiera de sus suplementos. Previa solicitud, la Comisión y los Estados miembros podrán obtener una copia de la documentación técnica y los resultados de los exámenes efectuados por el organismo notificado. El organismo notificado conservará una copia del certificado de examen de tipo UE, sus anexos y sus añadidos, así como del expediente técnico que incluya la documentación presentada por el fabricante hasta el final de la validez del certificado.
10. El fabricante conservará a disposición de las autoridades nacionales una copia del certificado de examen de tipo UE, sus anexos y sus añadidos, así como la documentación técnica durante un período de diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuese más prolongado.
11. El representante autorizado del fabricante podrá presentar la solicitud a que se refiere el punto 3 y cumplir las obligaciones contempladas en los puntos 7 y 10, siempre que las obligaciones pertinentes estén especificadas en su mandato.
Parte III Conformidad con el tipo basada en el control interno de la producción (basada en el módulo C)
1. La conformidad con el tipo basada en el control interno de la producción es la parte del procedimiento de evaluación de la conformidad según la cual el fabricante cumple las obligaciones establecidas en los puntos 2 y 3 de la presente parte, y garantiza y declara que los productos con elementos digitales en cuestión son conformes con el tipo descrito en el certificado de examen de tipo UE y cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y que los fabricantes cumplen los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II.
El fabricante tomará todas las medidas necesarias para que la producción y su seguimiento garanticen la conformidad de los productos con elementos digitales fabricados con el tipo aprobado descrito en el certificado de examen de tipo UE y con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y garantizará que los fabricantes cumplan los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II.
3. Marcado de conformidad y declaración de conformidad
3.1.
El fabricante colocará el marcado CE en los productos con elementos digitales que sean conformes al tipo descrito en el certificado de examen de tipo UE y satisfagan los requisitos aplicables establecidos en el instrumento legislativo.
3.2.
El fabricante redactará una declaración de conformidad para un modelo de producto y la mantendrá a disposición de las autoridades nacionales durante un período de diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuese más prolongado. En la declaración de conformidad se identificará el modelo de producto para el cual ha sido elaborada. Se facilitará una copia de la declaración de conformidad a las autoridades competentes que la soliciten.
4. Representante autorizado
Las obligaciones del fabricante establecidas en el punto 3 podrá cumplirlas su representante autorizado, en su nombre y bajo su responsabilidad, siempre que las obligaciones pertinentes estén especificadas en su mandato.
Parte IV Conformidad basada en el aseguramiento de calidad total (basada en el módulo H)
1. La conformidad basada en el aseguramiento de calidad total es el procedimiento de evaluación de la conformidad mediante el cual el fabricante cumple las obligaciones establecidas en los puntos 2 y 5 de la presente parte, y garantiza y declara, bajo su exclusiva responsabilidad, que los productos con elementos digitales (o las categorías de productos) en cuestión son conformes con los requisitos establecidos en el anexo I, parte I, y que los procesos de gestión de las vulnerabilidades establecidos por el fabricante cumplen los requisitos establecidos en el anexo I, parte II.
2. Diseño, desarrollo, producción de los productos con elementos digitales y gestión de las vulnerabilidades
El fabricante aplicará un sistema de calidad aprobado, tal como se especifica en el punto 3, para el diseño, el desarrollo, la producción y la inspección y prueba finales de los productos con elementos digitales en cuestión y la gestión de las vulnerabilidades, lo mantendrá operativo a lo largo de todo el período de soporte y estará sujeto a la supervisión especificada en el punto 4.
3.1.
El fabricante presentará una solicitud de evaluación de su sistema de calidad ante el organismo notificado de su elección, para los productos con elementos digitales de que se trate.
La solicitud incluirá:
a)
el nombre y la dirección del fabricante y, si la solicitud la presenta el representante autorizado, también el nombre y la dirección de este,
b)
la documentación técnica para un modelo de cada categoría de productos con elementos digitales que se pretenda fabricar o desarrollar. La documentación técnica incluirá, cuando proceda, al menos los elementos establecidos en el anexo VII,
c)
la documentación relativa al sistema de calidad, y
d)
una declaración por escrito de que no se ha presentado la misma solicitud ante ningún otro organismo notificado.
3.2.
El sistema de calidad garantizará la conformidad de los productos con elementos digitales con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y la conformidad de los procesos de gestión de las vulnerabilidades establecidos por el fabricante con los requisitos establecidos en el anexo I, parte II.
Todos los elementos, requisitos y disposiciones adoptados por el fabricante deberán reunirse de forma sistemática y ordenada en una documentación compuesta por políticas, procedimientos e instrucciones por escrito. Esta documentación del sistema de calidad permitirá una interpretación coherente de los programas, planes, manuales y registros de calidad.
En particular, incluirá una descripción adecuada de:
a)
los objetivos de calidad, el organigrama y las responsabilidades y competencias del personal de gestión en lo que se refiere al diseño, el desarrollo, la calidad del producto y la gestión de las vulnerabilidades,
b)
las especificaciones técnicas de diseño y desarrollo, incluidas las normas que se aplicarán y, en caso de que las normas armonizadas o las especificaciones técnicas pertinentes no se apliquen plenamente, los medios que se utilizarán para asegurarse de que se cumplan los requisitos esenciales de ciberseguridad del anexo I, parte I, aplicables a los productos con elementos digitales,
c)
las especificaciones de procedimiento, incluidas las normas que se aplicarán y, en caso de que las normas armonizadas o las especificaciones técnicas pertinentes no se apliquen plenamente, los medios que se utilizarán para asegurarse de que se cumplan los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II, aplicables al fabricante,
d)
las técnicas de control y verificación del diseño y el desarrollo, los procesos y las medidas sistemáticas que se vayan a utilizar en el diseño y el desarrollo de los productos con elementos digitales por lo que se refiere a la categoría de productos de que se trate,
e)
las correspondientes técnicas, procesos y actividades sistemáticas de producción, control de la calidad y aseguramiento de la calidad que se utilizarán,
f)
los exámenes y las pruebas que se efectuarán antes, durante y después de la producción, y su frecuencia,
g)
los expedientes de calidad, como los informes de inspección y datos de pruebas, los datos de calibrado y los informes sobre la cualificación del personal implicado,
h)
los medios con los que se hace el seguimiento de la consecución del diseño y de la calidad exigidos de los productos y del funcionamiento eficaz del sistema de calidad.
3.3.
El organismo notificado evaluará el sistema de calidad para determinar si cumple los requisitos a que se refiere el punto 3.2.
Dará por supuesta la conformidad con dichos requisitos de los elementos del sistema de calidad que cumplan las especificaciones correspondientes de la norma nacional que transponga la norma armonizada o la especificación técnica pertinente.
Además de experiencia en sistemas de gestión de la calidad, el equipo de auditoría tendrá, como mínimo, un miembro con experiencia como evaluador en el campo del producto pertinente y la tecnología del producto en cuestión, así como tendrá el conocimiento de los requisitos aplicables establecidos en el presente Reglamento. La auditoría incluirá una visita de evaluación a las instalaciones del fabricante, siempre que estas existan. El equipo de auditores revisará la documentación técnica mencionada en el punto 3.1, segundo guion, para comprobar si el fabricante es capaz de identificar los requisitos pertinentes establecidos en el presente Reglamento y de efectuar los exámenes necesarios a fin de garantizar que el producto con elementos digitales cumple dichos requisitos.
La decisión se notificará al fabricante o a su representante autorizado.
La notificación incluirá las conclusiones de la auditoría y la decisión de evaluación motivada.
3.4.
El fabricante se comprometerá a cumplir las obligaciones que se deriven del sistema de calidad tal como se haya aprobado y a mantenerlo de forma que siga resultando adecuado y eficaz.
3.5.
El fabricante mantendrá informado al organismo notificado que haya aprobado el sistema de calidad de cualquier adaptación prevista de dicho sistema.
El organismo notificado evaluará las adaptaciones propuestas y decidirá si el sistema de calidad modificado sigue cumpliendo los requisitos mencionados en el punto 3.2, o si es necesaria una nueva evaluación.
El organismo notificado notificará su decisión al fabricante. La notificación incluirá las conclusiones del examen y la decisión de evaluación motivada.
4. Supervisión bajo la responsabilidad del organismo notificado
4.1.
El objetivo de la supervisión es garantizar que el fabricante cumple debidamente las obligaciones que se derivan del sistema de calidad aprobado.
4.2.
El fabricante permitirá la entrada del organismo notificado en los locales de diseño, desarrollo, producción, inspección, prueba y almacenamiento, a efectos de evaluación, y le proporcionará toda la información necesaria, en particular:
a)
la documentación sobre el sistema de calidad,
b)
los registros de calidad previstos en la parte del sistema de calidad dedicada al diseño, como los resultados de análisis, cálculos y pruebas,
c)
los registros de calidad establecidos en la parte del sistema de calidad dedicada a la fabricación, tales como los informes de inspección, los datos sobre ensayos y calibración y los informes sobre la cualificación del personal afectado.
4.3.
El organismo notificado realizará periódicamente auditorías para asegurarse de que el fabricante mantiene y aplica el sistema de calidad y proporcionará un informe de la auditoría al fabricante.
5. Marcado de conformidad y declaración de conformidad
5.1.
El fabricante colocará el marcado CE y, bajo la responsabilidad del organismo notificado mencionado en el apartado 3.1, el número de identificación de este último en cada producto con elementos digitales que satisfaga los requisitos establecidos en el anexo I, parte I, del presente Reglamento.
5.2.
El fabricante redactará una declaración de conformidad para cada modelo de producto y la mantendrá a disposición de las autoridades nacionales durante un período de diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuese más prolongado. En la declaración de conformidad se identificará el modelo de producto para el cual ha sido elaborada.
Se facilitará una copia de la declaración de conformidad a las autoridades competentes que la soliciten.
6. El fabricante mantendrá a disposición de las autoridades nacionales durante un período de diez años después de la introducción del producto con elementos digitales en el mercado o durante el período de soporte, si este fuese más prolongado:
a)
la documentación técnica a que se refiere el punto 3.1;
b)
la documentación relativa al sistema de calidad a que se refiere el punto 3.1;
c)
las adaptaciones a que se refiere el punto 3.5 que hayan sido aprobadas;
d)
las decisiones y los informes del organismo notificado a que se refieren los puntos 3.5 y 4.3.
7. Cada organismo notificado informará a sus autoridades notificantes sobre las aprobaciones de sistemas de calidad expedidas o retiradas, y, periódicamente o previa solicitud, pondrá a disposición de sus autoridades notificantes la lista de aprobaciones de sistemas de calidad que haya rechazado, suspendido o restringido de otro modo.
Cada organismo notificado informará a los demás organismos notificados sobre las aprobaciones de sistemas de calidad que haya rechazado, suspendido o retirado y, previa solicitud, de las aprobaciones de sistemas de calidad que haya expedido.
8. Representante autorizado
Las obligaciones del fabricante establecidas en los puntos 3.1, 3.5, 5 y 6 podrá cumplirlas, en su nombre y bajo su responsabilidad, su representante autorizado, siempre que las obligaciones pertinentes estén especificadas en el mandato.
En relación con el presente acto se ha formulado una declaración que se puede consultar en el DO C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Referencias
1.2 Requisitos identificados
1.3 Estándares relacionados
2. Requisitos identificados
Requisitos
| Fuente |
Requisito |
3. Estándares relacionados
Estándares
| Fuente |
Requisito |
Incidencias vinculadas
|