Dos palabras cargan con más del Cyber Resilience Act, Reglamento (UE) 2024/2847, que ninguna otra: «introducido en el mercado». Los requisitos esenciales se aplican en ese momento (artículo 13(1)). La regla transitoria del artículo 69(2) dice que los productos introducidos en el mercado antes del 11 de diciembre de 2027 están sujetos al Reglamento «solo si, a partir de esa fecha, son objeto de modificaciones sustanciales». El nivel, el periodo de soporte, la documentación técnica, todo se vincula a un producto, y el artículo 3(21) dice que un producto se introduce en el mercado «la primera vez que se comercializa». Para un router, eso es un envío. Para el software que se entrega como descarga, como ficha en una tienda de aplicaciones o como cliente que el cliente instala, no estaba claro cuál era ese momento, ni siquiera si lo entregado era un producto. Las orientaciones de la Comisión sobre la aplicación del Reglamento, C(2026) 5252 de 27 de julio de 2026, secciones 2.1 y 2.2, apartados 10 a 21 con los ejemplos 1 a 6, responden a ambas preguntas. Este artículo son esos apartados, con las entradas transitorias de las FAQ de la Comisión, versión 1.4 de 4 de septiembre de 2026.

Qué software es un producto con elementos digitales

El apartado 20 da la prueba: «un producto de software con elementos digitales debe facilitarse a un usuario, ser obtenido por ese usuario y operarse en, o como parte de, un sistema de información electrónico del lado del usuario». El software «que se descarga, instala o se suministra de otro modo al usuario y que se ejecuta en el sistema de información electrónico del usuario cumple esos criterios, incluido por ejemplo cuando adopta la forma de una extensión de navegador o de una aplicación desarrollada con tecnologías web pero suministrada para su ejecución local».

El apartado 21 da la otra cara: «el software que se ejecuta a distancia y al que el usuario simplemente accede no es, solo por eso, un producto con elementos digitales». Eso «es típicamente el caso de las aplicaciones web, incluidas las aplicaciones web progresivas, cuando se accede a ellas exclusivamente a través de un navegador web», y de los sitios web, que «no deben considerarse en sí mismos productos con elementos digitales» y entran en el Reglamento solo «en la medida en que constituyan tratamiento remoto de datos» para un producto que sí lo es.

Los cuatro ejemplos dibujan el mapa para una empresa de software. Una aplicación móvil descargada de una tienda e instalada es un producto (ejemplo 3). Una aplicación de escritorio «construida con tecnologías web pero empaquetada para su instalación local» es un producto (ejemplo 4). «Una aplicación web a la que el usuario accede exclusivamente a través de un navegador web no es un producto con elementos digitales», pero «una aplicación suministrada al usuario como cliente instalado localmente que se ejecuta en el dispositivo del usuario sí lo es», y si ese cliente depende de un tratamiento a distancia para realizar una función, ese tratamiento también forma parte del producto (ejemplo 5). Un sitio web que presenta información no es un producto (ejemplo 6). Que un producto esté después en el ámbito es cosa del artículo 2 y de la prueba de la actividad comercial; el artículo sobre el ámbito y la determinación gratuita siguen desde ahí.

Así que una empresa que ofrece la misma funcionalidad como SaaS en el navegador y como cliente de escritorio tiene una cosa fuera del Reglamento y otra dentro, y la pregunta de la fecha que plantea el Reglamento se aplica a la segunda.

Cuándo se introduce en el mercado el software independiente

El apartado 11 recuerda la regla de la Guía azul de que la introducción en el mercado se refiere «a cada producto individual, no a un tipo de producto». El apartado 13 la adapta después al software, que «no está sujeto a limitaciones de producción física o de existencias: cada acto de puesta a disposición del software para su descarga o distribución da lugar a la creación de una nueva copia idéntica para el usuario». La conclusión: «Mientras esta versión del software no se modifique de una manera que afecte al cumplimiento del CRA, la introducción en el mercado de la UE debe considerarse producida en el momento de la primera oferta para distribución o uso».

El apartado 14 enuncia la regla completa, y merece citarse porque decide diciembre de 2027 para todo producto de software ya a la venta: «un producto de software independiente con elementos digitales debe considerarse introducido en el mercado cuando su fase de fabricación está completa y ese software se suministra por primera vez para su distribución o uso en el mercado de la UE en el marco de una actividad comercial. Debe considerarse que el fabricante ha introducido en el mercado múltiples copias del mismo producto de software con elementos digitales al mismo tiempo». Las copias siguen siendo productos individuales, pero «se consideran introducidas en el mercado al mismo tiempo, con independencia de cuándo se transfiera la posesión o el uso de cada copia individual». Ejemplo 1: la versión 1.0.0 se ofrece por primera vez el 1 de enero de 2028, una copia se compra ese día, otra el 15 de enero; ambas se introdujeron en el mercado el 1 de enero.

Dos matizaciones de los mismos apartados importan para una línea de productos. Primera, las variantes son productos distintos: «cuando el fabricante pone el software a disposición en distintas variantes que difieren en los componentes incluidos, las configuraciones o las funcionalidades habilitadas (por ejemplo, compilaciones para distintos sistemas operativos o paquetes con conjuntos de funcionalidades diferentes), esas variantes no pueden considerarse múltiples copias del mismo producto de software» y «deben tratarse como productos con elementos digitales distintos a efectos de la introducción en el mercado». Segunda, el apartado 15: «las iteraciones posteriores de un producto de software con elementos digitales se consideran introducidas de nuevo en el mercado cuando esas iteraciones constituyen una "modificación sustancial"», y «las iteraciones que no constituyen modificaciones sustanciales no exigen al fabricante realizar un nuevo procedimiento de evaluación de la conformidad y, por tanto, no modifican la fecha de introducción en el mercado de ese software». Ejemplo 2: la versión 1.0.1, que no es una modificación sustancial, comprada el 30 de enero, se introduce en el mercado el 1 de enero junto con la versión 1.0.0. El apartado 16 limita todo esto al software independiente; el software combinado con hardware sigue la sección 2.4.

Qué hace esto con el 11 de diciembre de 2027

Junte las dos reglas con el artículo 69(2). Un producto de software ofrecido por primera vez antes del 11 de diciembre de 2027 se introdujo en el mercado antes de esa fecha, y también todas las copias que los clientes descarguen después, mientras la versión ofrecida no se modifique sustancialmente. Los deberes de diseño y conformidad del Reglamento no lo alcanzan hasta la primera modificación sustancial, y entonces, conforme al apartado 124 de las orientaciones, solo las partes modificadas, salvo que se vea afectada la seguridad del producto en su conjunto. La obligación de notificación del artículo 14 lo alcanza en cualquier caso, desde el 11 de septiembre de 2026, como dice el artículo 69(3).

La entrada 7.2 de las FAQ es la imagen especular para el hardware y es fácil de leer mal para el software. Dice que el Reglamento «se aplica a productos individuales, no a tipos de producto», de modo que un fabricante que introdujo 10.000 routers en el mercado antes del 11 de diciembre de 2027 no tiene que ponerlos en conformidad, pero «no puede producir otras 5.000 copias de ese router e introducirlas en el mercado después» de esa fecha. Para una unidad física, cada una se introduce en el mercado cuando se suministra. Para una versión de software, el apartado 14 dice que todas las copias se introdujeron en el mercado con la primera oferta, así que una descarga en 2028 de una versión ofrecida por primera vez en 2027 no es una nueva introducción en el mercado. Lo que sí lo es: una nueva variante, una versión modificada sustancialmente o, según el ejemplo del televisor inteligente de la FAQ 1.4, una actualización que «modifica las funciones originalmente previstas».

Tres cosas se siguen para una empresa con productos ya a la venta. Registre, para cada producto y cada variante, la fecha en que la versión actualmente ofrecida se suministró por primera vez, porque esa es la fecha que lee el artículo 69(2). Mantenga honesta la lista de variantes: una compilación para Windows y otra para macOS, un nivel gratuito y otro de pago con funcionalidades distintas, son productos distintos con sus propias fechas y, más adelante, sus propios expedientes. Y considere la hoja de ruta de aquí a diciembre de 2027 como la última ventana en la que una modificación sustancial está libre de la evaluación de la conformidad, lo que aboga por hacer los cambios que alteran los límites del producto antes de esa fecha y no después.

Betas, archivos y software para uso propio

Tres entradas de las FAQ cierran los huecos restantes. El artículo 4(3) permite a los fabricantes comercializar «software no terminado que no cumpla el presente Reglamento, siempre que el software se comercialice únicamente durante un periodo limitado necesario para fines de prueba, con un signo visible que indique claramente que no cumple el presente Reglamento y que no se comercializará para fines distintos de las pruebas»; la FAQ 1.6 confirma que eso abarca «versiones alfa, versiones beta o candidatas a versión definitiva», y cita el considerando 37: ese software debería publicarse «solo tras una evaluación de riesgos», cumplir «en la medida de lo posible», aplicar la gestión de vulnerabilidades «en la medida de lo posible», y los fabricantes «no deberían obligar a los usuarios a actualizar a versiones publicadas únicamente con fines de prueba». Un canal beta está permitido; un canal beta en el que vive el producto, no.

El artículo 13(11) permite archivos públicos de software de versiones históricas, siempre que «los usuarios sean informados claramente y de manera fácilmente accesible de los riesgos asociados al uso de software no soportado» (FAQ 1.7). Y la FAQ 1.5, con la sección 2.2 de la Guía azul, mantiene fuera del Reglamento los productos fabricados únicamente para uso propio del fabricante: las herramientas internas que nunca suministra no se introducen en el mercado.

Qué escribir

Para cada producto y cada variante que suministre a los usuarios: la forma que adopta del lado del usuario, y la respuesta del apartado 20 o 21 que se sigue; la fecha en que la versión actual se ofreció por primera vez en el mercado de la UE; las versiones desde entonces, cada una marcada como modificación sustancial o no, conforme a las cuatro preguntas del apartado 110; los canales de prueba y su signo visible; y el archivo de versiones antiguas y la advertencia que lo acompaña. Esa página es la primera sección de la documentación técnica para los productos que la necesitan, y el registro que dice por qué los demás aún no la necesitan.

Fuentes

  • Reglamento (UE) 2024/2847, artículo 3(1), (21) y (22), artículo 4(3), artículo 13(1) y (11), artículo 69(2) y (3), considerandos 11, 12, 37 y 41.
  • Comisión Europea, orientaciones de la Comisión sobre la aplicación del Reglamento (UE) 2024/2847, C(2026) 5252 final de 27 de julio de 2026, anexo, secciones 2.1 y 2.2, apartados 10 a 21 y ejemplos 1 a 6; sección 4.4.2, apartado 124.
  • Comisión Europea, FAQ sobre el Cyber Resilience Act, versión 1.4 de 4 de septiembre de 2026, entradas 1.4, 1.5, 1.6, 1.7, 7.2 y 7.5.
  • Comisión Europea, la Guía azul sobre la aplicación de la normativa de la UE relativa a los productos 2022, secciones 2.2 y 2.3, tal como las citan las orientaciones.

Esto no es asesoramiento jurídico. Los apartados 13 a 15 ocupan media página y los dos ejemplos cuatro líneas; es la media página que decide si su producto existente está dentro del Reglamento en diciembre de 2027.