El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, no se detiene en el fabricante. Todos los eslabones entre el fabricante y el usuario tienen obligaciones, y para un revendedor son más que una formalidad: el importador o distribuidor que pone en el mercado de la UE un producto no conforme es al que la autoridad de vigilancia del mercado encuentra primero. Los artículos 19 y 20 fijan los deberes, y el artículo 21 dice cuándo un revendedor deja de serlo.

Dos definiciones primero. Un importador introduce en el mercado de la UE un producto de un fabricante establecido fuera de la Unión. Un distribuidor comercializa un producto que un importador o un fabricante ya ha introducido: un revendedor, un minorista, un integrador que vende software en caja. Los deberes del CRA para cada uno se parecen en la forma y difieren en profundidad.

El importador: artículo 19

Solo productos conformes. Artículo 19, apartado 1: los importadores solo introducen en el mercado productos que cumplen la parte I del anexo I y cuyos procesos del fabricante cumplen la parte II.

Una lista de comprobación antes de la introducción en el mercado. Artículo 19, apartado 2: el importador se asegura de que el fabricante ha realizado la evaluación de la conformidad adecuada (artículo 32), ha elaborado la documentación técnica, de que el producto lleva el marcado CE y va acompañado de la declaración UE de conformidad y de la información al usuario del anexo II en una lengua que los usuarios y las autoridades entiendan, y de que el fabricante ha cumplido el artículo 13, apartados 15, 16 y 19: identificación en el producto, contacto para vulnerabilidades y fecha de fin del período de soporte mostrada en la compra. El importador debe poder aportar los documentos que prueben cada punto.

Parar, y avisar. Artículo 19, apartado 3: un importador que considere o tenga motivos para creer que el producto o los procesos del fabricante no son conformes no lo introduce en el mercado hasta que lo sean; cuando el producto presente un riesgo de ciberseguridad significativo, el importador informa al fabricante y a las autoridades de vigilancia del mercado.

Nombre en el producto. Artículo 19, apartado 4: el nombre, nombre comercial registrado o marca del importador y sus datos de contacto van en el producto, su embalaje o un documento que lo acompañe.

Después de la venta. Artículo 19, apartado 5: medidas correctoras, retirada o recuperación cuando un producto introducido en el mercado resulte no conforme; cualquier vulnerabilidad de la que el importador tenga conocimiento se transmite al fabricante sin demora indebida; un riesgo de ciberseguridad significativo se comunica inmediatamente a las autoridades de cada Estado miembro donde se comercializó el producto.

Diez años de registros. Artículo 19, apartado 6: una copia de la declaración UE de conformidad a disposición de las autoridades de vigilancia del mercado, y la documentación técnica disponible a petición, durante al menos diez años tras la introducción en el mercado o el período de soporte, lo que sea más largo. Artículo 19, apartado 7: toda la información y documentación a una autoridad previa solicitud motivada, en una lengua que entienda.

Si el fabricante desaparece. Artículo 19, apartado 8: un importador que sepa que el fabricante ha cesado su actividad y ya no puede cumplir informa a las autoridades y, en la medida de lo posible, a los usuarios.

El distribuidor: artículo 20

La diligencia debida. Artículo 20, apartado 1.

Una lista más corta. Artículo 20, apartado 2: el distribuidor verifica que el producto lleva el marcado CE y que el fabricante y el importador han cumplido sus deberes de identificación, contacto, información al usuario, período de soporte y declaración (artículo 13, apartados 15, 16, 18, 19 y 20, y artículo 19, apartado 4) y han facilitado los documentos necesarios.

Parar, y avisar. Artículo 20, apartado 3: cuando el distribuidor considere o tenga motivos para creer, sobre la base de la información que obra en su poder, que el producto o los procesos no se ajustan al anexo I, no lo comercializa hasta que se ajusten, y comunica un riesgo de ciberseguridad significativo al fabricante y a las autoridades.

Después de la venta. Artículo 20, apartado 4: se asegura de que se tomen medidas correctoras, la retirada o la recuperación; transmite las vulnerabilidades al fabricante sin demora indebida; comunica un riesgo de ciberseguridad significativo a las autoridades de los Estados miembros afectados. Artículo 20, apartado 5: información y documentación a una autoridad previa solicitud motivada. Artículo 20, apartado 6: el mismo deber que el importador si el fabricante cesa su actividad.

El criterio del distribuidor es «sobre la base de la información que obra en su poder»: un revendedor no está obligado a auditar el producto, pero sí a actuar sobre lo que sabe.

Cuándo el revendedor se convierte en fabricante: artículo 21

«Un importador o distribuidor se considerará fabricante a efectos del presente Reglamento y estará sujeto a los artículos 13 y 14 cuando introduzca en el mercado un producto con elementos digitales con su nombre o marca o realice una modificación sustancial de un producto con elementos digitales ya introducido en el mercado.»

Dos vías de entrada. Su nombre o marca en el producto: comercializar un dispositivo en marca blanca o renombrar un software le convierte en fabricante de ese producto, con todo el artículo 13 (los 22 requisitos, la documentación técnica, el período de soporte, el marcado CE) y la notificación del artículo 14. Una modificación sustancial: cambiar un producto ya en el mercado de un modo que afecte a su conformidad o a su finalidad prevista. Un revendedor que añade su propio firmware, o integra el producto en un paquete que cambia lo que hace, normalmente ha cruzado la línea.

Dónde están las sanciones

Los artículos 18 a 23, las obligaciones de la cadena, están en el segundo tramo de sanciones del artículo 64, apartado 3: hasta 10 000 000 EUR o el 2 % del volumen de negocios anual mundial. El revendedor convertido en fabricante según el artículo 21 está en el primer tramo por los artículos 13 y 14. Los tramos, y quién los aplica.

Qué poner en marcha

Un registro de entrada por producto: la declaración de conformidad del fabricante, la ubicación del marcado CE, la información al usuario del anexo II en la lengua correcta, la fecha de fin del período de soporte y la fecha en que el importador comprobó cada punto. Una vía para que las vulnerabilidades notificadas por los clientes lleguen al fabricante, fechada. Una decisión, por escrito, sobre si algo de lo que hace con el producto (marca, empaquetado, modificación) le convierte en su fabricante según el artículo 21. Y un registro conservado diez años o el período de soporte. El paquete de distribución redacta esos registros para un producto; las fechas que llevan son lo que lee una autoridad.

Fuentes

  • Reglamento (UE) 2024/2847, artículo 3, puntos 16 y 17, para las definiciones, artículo 19, apartados 1 a 8, artículo 20, apartados 1 a 6, artículo 21 (citado), artículo 64, apartado 3. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.

Esto no es asesoramiento jurídico. Los artículos 19 a 21 son dos páginas; las referencias a los apartados están ahí para que un revendedor pueda leer su propia lista.