[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:la-declaracion-ue-de-conformidad-bajo-el-cra-el-anexo-v-punto-por-punto-la-forma-simplificada-y-un-ejemplo-resuelto":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","la-declaracion-ue-de-conformidad-bajo-el-cra-el-anexo-v-punto-por-punto-la-forma-simplificada-y-un-ejemplo-resuelto","La declaración UE de conformidad bajo el CRA: el anexo V punto por punto, la forma simplificada y un ejemplo resuelto","El artículo 28 obliga al fabricante a elaborar una declaración UE de conformidad antes de la introducción en el mercado, con la estructura tipo del anexo V, y el artículo 28(4) hace de su firma el acto por el que el fabricante asume la responsabilidad del producto. Los ocho puntos del anexo V, la forma simplificada de una frase del anexo VI, las reglas que la rodean (lenguas, la declaración única, las familias de productos, 10 años de conservación), un ejemplo resuelto, y lo que cuesta una declaración ausente o incorrecta según el artículo 58 y el artículo 64.","2026-09-12","\nLa declaración UE de conformidad es el documento más corto del papeleo del Cyber Resilience Act y el que más peso soporta. El artículo 28(1) del Reglamento (UE) 2024\u002F2847 dice qué es: la declaración «será elaborada por los fabricantes con arreglo a lo dispuesto en el artículo 13, apartado 12, y hará constar que se ha demostrado el cumplimiento de los requisitos esenciales de ciberseguridad aplicables establecidos en el anexo I». El artículo 28(4) dice qué significa firmarla: al elaborar una declaración UE de conformidad, el fabricante asume la responsabilidad de la conformidad del producto con elementos digitales. La documentación técnica muestra el trabajo; la declaración es la firma del fabricante debajo. Este artículo es lo que la declaración debe contener, leído en el anexo V, las reglas que la rodean y un ejemplo resuelto.\n\n## Dónde está en la secuencia\n\nEl artículo 13(12) fija el orden. Antes de introducir un producto en el mercado, el fabricante elabora la documentación técnica del artículo 31, lleva a cabo o hace llevar a cabo el procedimiento de evaluación de la conformidad del artículo 32 y, cuando ese procedimiento ha demostrado la conformidad con la parte I del anexo I para el producto y con la parte II para los procesos del fabricante, elabora la declaración UE de conformidad con arreglo al artículo 28 y coloca el marcado CE con arreglo al artículo 30. Las FAQ de la Comisión, sección 6.8, enuncian la consecuencia sin rodeos: la declaración no puede firmarse si el fabricante no ha realizado uno de los procedimientos de evaluación de la conformidad pertinentes con resultado positivo. [Lo que el módulo A, el procedimiento que usará la mayoría de los fabricantes de software, exige realmente](\u002Farticles\u002Fself-assessment-under-the-cra-what-module-a-actually-requires) tiene su propio artículo; la declaración es su último paso.\n\nDos documentos pueden llevar la declaración hasta el usuario. Artículo 13(20): los fabricantes «facilitarán una copia de la declaración UE de conformidad o una declaración UE de conformidad simplificada junto con el producto», y una simplificada «contendrá la dirección de internet exacta en la que se pueda acceder a la declaración UE de conformidad íntegra». La declaración completa sigue la estructura tipo del anexo V; la simplificada es la única frase del anexo VI. Ambas están disponibles en las lenguas requeridas por el Estado miembro donde se introduzca en el mercado o se comercialice el producto (artículo 28(2)).\n\n## El anexo V, los ocho puntos\n\nEl anexo V dice que la declaración «contendrá toda la información siguiente» y enumera ocho puntos. La tabla da cada punto y lo que un fabricante de software escribe frente a él.\n\n| Punto | Lo que pide el anexo V | Qué escribir |\n| --- | --- | --- |\n| 1 | El nombre y el tipo del producto, y toda información adicional que permita su identificación única | El nombre del producto, la designación del tipo o modelo y la versión o el rango de versiones que cubre la declaración. Las FAQ dicen que la declaración está vinculada al producto individual y no solo al tipo o modelo, pero que no se necesita un identificador único por unidad. |\n| 2 | Nombre y dirección del fabricante o de su representante autorizado | La entidad jurídica que introduce el producto en el mercado, con su dirección postal, en coherencia con el artículo 13(16) y el anexo II punto 1. |\n| 3 | La afirmación de que la declaración se emite bajo la exclusiva responsabilidad del proveedor | La palabra del Reglamento aquí es «proveedor», en todas las lenguas del Diario Oficial; el CRA por lo demás solo conoce fabricantes, y el artículo 28(4) sitúa la responsabilidad en el fabricante. La afirmación nombra al fabricante. |\n| 4 | El objeto de la declaración: identificación del producto que permita la trazabilidad, que podrá incluir una fotografía cuando proceda | Para software, la misma identificación que en el punto 1 más lo que lo hace trazable: un identificador de compilación, un hash del artefacto de la versión, o la ubicación de descarga con la cadena de versión. |\n| 5 | La afirmación de que el objeto descrito anteriormente es conforme a la legislación de armonización de la Unión pertinente | El Reglamento, citado con su referencia de publicación. Cuando otros actos de la Unión también exijan una declaración para el producto, todos ellos (artículo 28(3)). |\n| 6 | Referencias a todas las normas armonizadas pertinentes utilizadas o a cualquier otra especificación común o certificación de la ciberseguridad respecto a las cuales se declara la conformidad | A 12 de septiembre de 2026 no hay [ninguna norma armonizada citada con arreglo al Reglamento ni ninguna especificación común](\u002Farticles\u002Fharmonised-standards-for-the-cra-what-request-m-606-asks-for-when-and-what-a-manufacturer-has-today), así que un fabricante del nivel por defecto escribe que la conformidad se evaluó con el módulo A directamente frente al anexo I, y nombra las especificaciones técnicas que aplicó. |\n| 7 | En su caso, el nombre y número del organismo notificado, una descripción del procedimiento de evaluación de la conformidad llevado a cabo y la identificación del certificado emitido | Solo cuando intervino un organismo notificado: módulos B y C o módulo H. Con el módulo A se nombra el procedimiento y el resto no es aplicable. |\n| 8 | Información adicional; firmado por y en nombre de, lugar y fecha de expedición, nombre, cargo, firma | Quien firma vincula al fabricante según el artículo 28(4); la fecha es anterior a la introducción en el mercado. |\n\nEl punto 3 merece el aparte. «Proveedor» es la palabra del anexo V del Reglamento de IA, Reglamento (UE) 2024\u002F1689, donde el operador económico es el proveedor y cuyo punto 3 se lee igual, y figura en el CRA en todas las lenguas del Diario Oficial. Nada depende de ello: la declaración es la del fabricante, y la propia descripción de las FAQ es que el fabricante declara que el producto es conforme con el CRA y asume la responsabilidad de ello.\n\n## Las reglas que la rodean\n\n**Lenguas.** Artículo 28(2): ambas formas están disponibles en las lenguas requeridas por el Estado miembro donde se introduzca en el mercado o se comercialice el producto. Un producto vendido en toda la Unión puede necesitar la declaración en más de una lengua; la documentación técnica, no (el artículo 13(22) pide una lengua que la autoridad solicitante pueda entender fácilmente).\n\n**Una declaración para todos los actos de la Unión.** Artículo 28(3): cuando un producto esté sometido a más de un acto de la Unión que exija una declaración UE de conformidad, «se elaborará una única declaración UE de conformidad con respecto a todos esos actos jurídicos de la Unión», identificando cada acto con su referencia de publicación. Las FAQ añaden, de la Guía Azul, que la declaración única puede ser un expediente compuesto por las declaraciones de conformidad individuales pertinentes. Un dispositivo conectado bajo la Directiva de equipos radioeléctricos y el CRA tiene una declaración, o un expediente.\n\n**Familias de productos.** Las directrices de la Comisión C(2026) 5252, apartados 174 y 175: las variantes, modelos o configuraciones que comparten la misma arquitectura, el mismo diseño relevante para la seguridad y la misma finalidad prevista, y están expuestos a los mismos riesgos, pueden apoyarse en una única evaluación de riesgos, una única documentación técnica y una única evaluación de la conformidad, lo que permite una única declaración UE de conformidad para el grupo de productos, siempre que identifique claramente las variantes a las que se aplica.\n\n**Versiones.** El artículo 28(2) dice que la declaración «se mantendrá actualizada como corresponda». Las FAQ: una nueva versión del producto puede necesitar una nueva declaración de conformidad, especialmente cuando implementa una modificación sustancial, que es [el punto en que un producto ya en el mercado queda bajo el Reglamento](\u002Farticles\u002Fwhich-update-puts-your-existing-software-under-the-cra-substantial-modifications).\n\n**Conservación.** Artículo 13(13): la documentación técnica y la declaración se mantienen a disposición de las autoridades de vigilancia del mercado durante al menos 10 años después de la introducción del producto en el mercado, o durante el período de soporte si es más largo. El punto 4.2 del módulo A lo repite y añade que se facilitará una copia «a las autoridades competentes que lo soliciten». El mandato de un representante autorizado debe permitirle conservar ambas durante el mismo período (artículo 18(3)).\n\n**El marcado CE.** Para software, el artículo 30(1) permite colocar el marcado en la propia declaración o en el sitio web que acompaña al producto; [el artículo sobre el marcado CE](\u002Farticles\u002Fdoes-software-need-a-ce-mark-under-the-cra) tiene el detalle. El anexo II punto 6 pide que la información al usuario dé, cuando proceda, la dirección de internet en la que puede accederse a la declaración, que es la dirección a la que apunta la forma simplificada.\n\n**Aguas abajo en la cadena.** Los importadores deben asegurarse, antes de la introducción en el mercado, de que el producto va acompañado de la declaración a que se refiere el artículo 13(20) (artículo 19(2)); los distribuidores verifican que el fabricante y el importador han cumplido, entre otros, el artículo 13(20) (artículo 20(2)). Una declaración ausente detiene el producto en el primer revendedor que lea el Reglamento.\n\n## Un ejemplo resuelto\n\nNuestro ejemplo, para un fabricante ficticio, en el orden del anexo V. Es un modelo de la estructura, no un formulario para copiar sin leer los puntos anteriores.\n\n1. Producto: Ledger Desktop, tipo LD-4, versiones 4.2.0 y posteriores dentro de la serie 4.x, para Windows y macOS.\n2. Fabricante: Example Software GmbH, Musterstraße 1, 10115 Berlín, Alemania.\n3. La presente declaración UE de conformidad se emite bajo la exclusiva responsabilidad del fabricante.\n4. Objeto de la declaración: Ledger Desktop LD-4, versión 4.2.0, artefactos de la versión identificados por los hashes SHA-256 publicados en example.com\u002Fledger\u002Freleases.\n5. El objeto de la declaración descrito anteriormente es conforme con el Reglamento (UE) 2024\u002F2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024 (Cyber Resilience Act), DO L, 2024\u002F2847, 20.11.2024.\n6. Normas armonizadas, especificaciones comunes o certificaciones: ninguna citada con arreglo al Reglamento en la fecha de expedición. Conformidad evaluada con el procedimiento de control interno (módulo A) del anexo VIII frente a los requisitos esenciales del anexo I, aplicando las especificaciones técnicas enumeradas en la documentación técnica, sección 5.\n7. Organismo notificado: no aplicable.\n8. Firmado por y en nombre de Example Software GmbH, Berlín, 1 de diciembre de 2027, Jane Doe, directora general.\n\nY la forma simplificada, la frase que prescribe el anexo VI, con los huecos rellenados: «Por la presente, Example Software GmbH declara que el tipo de producto con elementos digitales Ledger Desktop LD-4 es conforme con el Reglamento (UE) 2024\u002F2847. El texto completo de la declaración UE de conformidad está disponible en la dirección Internet siguiente: example.com\u002Fledger\u002Fconformity».\n\n## Lo que cuesta una declaración ausente o errónea\n\nEl artículo 58(1) enumera las constataciones ante las que una autoridad de vigilancia del mercado «instará al fabricante correspondiente a que subsane el incumplimiento de que se trate»; dos de las seis son que «no se ha elaborado la declaración UE de conformidad» y que «no se ha elaborado correctamente». Cuando el incumplimiento persiste, el Estado miembro restringe o prohíbe la comercialización del producto, o se asegura de que se recupera o se retira del mercado (artículo 58(2)). El artículo 64(3) sitúa el artículo 28 en el segundo tramo de multas: hasta 10 000 000 EUR o el 2 % del volumen de negocios anual mundial total, si esta cifra es superior. Una declaración incorrecta es además lo primero que lee una autoridad: nombra el producto, el fabricante, el procedimiento y las normas, y cada uno de ellos es comprobable frente a la documentación.\n\nLa declaración es el séptimo de los [once documentos del paquete de documentación técnica](\u002Fcyber-resilience-act\u002Ftechnical-file), redactado a partir de la ficha del producto con los ocho puntos en el orden del anexo V, para que lo que se firma ese día sea lo que dice la documentación. [Lo que contiene la propia documentación](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point) es la pieza complementaria.\n\n## Fuentes\n\n- Reglamento (UE) 2024\u002F2847 (CRA), artículo 13(12), (13), (16), (20) y (22), artículo 18(3), artículo 19(2), artículo 20(2), artículo 28, artículo 30(1), artículo 58, artículo 64(3), anexo II punto 6, anexo V, anexo VI, anexo VIII parte I punto 4.2.\n- Comisión Europea, FAQ sobre el Cyber Resilience Act, versión 1.4 de 4 de septiembre de 2026, sección 6.8.\n- Comisión Europea, directrices C(2026) 5252 de 27 de julio de 2026, apartados 174 y 175.\n- Reglamento (UE) 2024\u002F1689 (Reglamento de IA), anexo V, para el origen de la redacción del punto 3.\n\nEsto no es asesoramiento jurídico. La declaración vincula al fabricante que la firma; el texto que hay que leer antes de firmar es el del Reglamento.\n",1789383966406]