[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:es:sanciones-del-reglamento-de-ciberresiliencia":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"es","sanciones-del-reglamento-de-ciberresiliencia","Sanciones del Reglamento de Ciberresiliencia: a qué está expuesto realmente un pequeño fabricante","El CRA fija tres tramos de multa, hasta 15 millones de EUR o el 2,5% del volumen de negocios mundial. Aquí está qué obligaciones caen en qué tramo, quién hace cumplir el texto, y los dos lugares donde el reglamento nombra a los pequeños fabricantes.","2026-09-08","\nEl Reglamento de Ciberresiliencia, Reglamento (UE) 2024\u002F2847, fija multas administrativas de hasta 15 000 000 EUR o el 2,5% del volumen de negocios anual mundial. Esa cifra se cita mucho y es el tope de tres tramos, no una cifra única. En qué tramo cae una infracción está escrito en el artículo 64, y para una empresa que introduce un producto en el mercado de la UE, la diferencia entre los tramos es la mayor parte de la respuesta.\n\nDos fechas importan antes que todo lo demás: **el artículo 14 se aplica desde el 11 de septiembre de 2026**, y el resto del Reglamento desde el **11 de diciembre de 2027**. El capítulo IV, el régimen de organismos notificados, se aplica desde el 11 de junio de 2026. Eso lo fija el artículo 71(2).\n\n## Los tres tramos\n\n**Hasta 15 000 000 EUR, o el 2,5% del volumen de negocios anual mundial total, si esta cifra es superior.** Artículo 64(2). Cubre el incumplimiento de los requisitos esenciales de ciberseguridad del anexo I y las obligaciones de los artículos 13 y 14. El anexo I son los propios requisitos de seguridad y los requisitos de gestión de vulnerabilidades; el artículo 13 son las obligaciones del fabricante; el artículo 14 es la obligación de notificación que empieza el 11 de septiembre de 2026.\n\n**Hasta 10 000 000 EUR, o el 2%.** Artículo 64(3). Una lista de artículos concretos: 18 a 23, 28, 30(1) a (4), 31(1) a (4), 32(1), (2) y (3), 33(5), y 39, 41, 47, 49 y 53. Los artículos 18 a 23 son los que cubren a todos los de la cadena que no son el fabricante: representantes autorizados (18), importadores (19), distribuidores (20), los casos en que las obligaciones de un fabricante se transfieren a un importador o distribuidor (21 y 22), y la identificación de los operadores económicos (23). Este es el tramo en el que está una empresa que revende el producto de otro.\n\n**Hasta 5 000 000 EUR, o el 1%.** Artículo 64(4). Facilitar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad de vigilancia del mercado en respuesta a una solicitud.\n\nEl \"si esta cifra es superior\" solo muerde a partir de cierto tamaño. El 2,5% del volumen de negocios supera los 15 millones de EUR en torno a los 600 millones de EUR de ingresos, así que para todo lo que sea más pequeño el tope en dinero es el vinculante, y es un tope y no una tarifa.\n\n## Quién le multa realmente\n\nNo la Comisión. El artículo 52(2) exige a cada Estado miembro designar una o varias autoridades de vigilancia del mercado, y le permite usar una autoridad existente o crear una nueva. La aplicación es nacional, conforme al Reglamento (UE) 2019\u002F1020, el reglamento general de vigilancia del mercado.\n\nUna consecuencia merece conocerse. El artículo 64(6) exige a la autoridad que impone una multa informar a las autoridades de vigilancia del mercado de todos los demás Estados miembros, a través del sistema de información del artículo 34 del Reglamento (UE) 2019\u002F1020. Una sanción en un país es visible para los demás.\n\n## Dónde nombra el Reglamento a los pequeños fabricantes\n\nTres veces, y ambas merecen conocerse porque actúan en direcciones opuestas.\n\n**El artículo 64(5)(c) convierte el tamaño en un factor de la multa.** Al decidir el importe, debe tenerse debidamente en cuenta el tamaño del operador económico, en particular en lo que respecta a las microempresas y las pequeñas y medianas empresas, incluidas las emergentes, y su cuota de mercado. Eso está en la parte dispositiva, no en un considerando. No exime a nadie, y los tramos anteriores siguen aplicándose, pero la autoridad que fija la cifra está obligada a tener en cuenta lo que usted es.\n\n**El artículo 33(5) le permite presentar menos papeleo.** Las microempresas y las pequeñas empresas pueden facilitar todos los elementos de la documentación técnica del anexo VII en un formato simplificado. La Comisión especifica ese formato mediante acto de ejecución, y los organismos notificados están obligados a aceptarlo. La obligación ahí recae en el organismo notificado, no en usted.\n\n**El artículo 64, apartado 10, letra a), saca el plazo de 24 horas de la tabla de multas para los más pequeños.** Como excepción a los tramos de multas, las multas administrativas no se aplican a los fabricantes que sean microempresas o pequeñas empresas por incumplir el plazo de alerta temprana del artículo 14, apartado 2, letra a), o apartado 4, letra a). La obligación sigue existiendo y las demás medidas correctoras se mantienen; aquello por lo que un pequeño fabricante no puede ser multado es llegar tarde con el primer mensaje de 24 horas. La notificación de 72 horas y el informe final no están cubiertos por la excepción. (El mismo apartado, letra b), exime por completo de las multas a los administradores de software de código abierto.)\n\nEl artículo 33 también exige a los Estados miembros realizar actividades de concienciación y formación para los pequeños fabricantes, abrir un canal específico para sus preguntas y apoyar los ensayos y la evaluación de la conformidad. Si su Estado miembro ha hecho ya algo de eso es una pregunta legítima que hacerle.\n\n## Lo que nada de esto cambia\n\nEl reloj de notificación. El artículo 14 exige una alerta temprana en las 24 horas siguientes a tener conocimiento de una vulnerabilidad explotada activamente, y está en el tramo de multa más alto. El reloj corre desde el conocimiento, que es algo sobre su organización y no sobre la vulnerabilidad, así que el registro de cuándo tuvo conocimiento es el registro que importa. [Hemos escrito los plazos, con los dos destinatarios y las tres fechas límite](\u002Fcyber-resilience-act\u002Freporting-deadlines).\n\nLa notificación va a un CSIRT designado como coordinador para el Estado miembro de su establecimiento principal, y a ENISA. Publicamos [el CSIRT nacional de cada uno de los 27 Estados miembros](\u002Fcyber-resilience-act\u002Freporting-deadlines), leído de la propia API de miembros de la red de CSIRT, con la salvedad de que las designaciones de coordinador del artículo 12 de NIS2 aún no se han publicado: en la mayoría de los Estados el coordinador será el equipo nacional, pero la tabla dice quién es el CSIRT nacional, no quién es el coordinador.\n\n## La lectura práctica\n\nPara un pequeño fabricante, la exposición que debería guiar la conducta no es el titular de los 15 millones de EUR. Es que el tramo más alto cubre juntos el anexo I y el artículo 14, así que el mismo tramo que castiga un requisito de seguridad ausente castiga una notificación no hecha, y solo una de esas dos cosas se arregla en una tarde. Registrarse en la plataforma de notificación cuesta diez minutos y no depende de nadie más. La documentación técnica no, y por eso la fecha de diciembre de 2027 es la que hay que planificar y la de septiembre de 2026 aquella para la que hay que estar listo.\n",1789383978795]