¿Alcanza el Reglamento de Ciberresiliencia a su producto?

A quién se aplica

Una empresa que averigua si el Reglamento alcanza lo que vende: el software instalado y descargable entra, el software como servicio puro no, y el tratamiento remoto sin el que el producto no funciona entra con el producto.

Las fechas

Antes de que importe plazo alguno, porque todos los demás deberes se siguen de esta respuesta.

Lo único que hay que hacer

Responda las preguntas de esta página para un producto y guarde el resultado con su motivo, porque la decisión le corresponde a usted y hay que registrarla.

La determinación

Responda a la primera pregunta y la lectura empieza; la página se completa a medida que avanza.

Qué pregunta esto y qué puede responder

La herramienta hace 6 preguntas y las muestra de una en una. Aquí están todas, con cada resultado al que puede llegar, para seguir el razonamiento sin responder nada.

1. ¿Qué introduce en el mercado de la UE?
2. ¿Tiene el producto una conexión de datos, directa o indirecta, lógica o física?
3. ¿Hay un tratamiento en su lado sin el cual el producto no puede realizar una de sus funciones?
4. ¿Alguna de estas normas cubre ya el producto?
5. ¿Figura el producto en el anexo III o en el anexo IV?
6. ¿Dónde está su establecimiento principal?

Los cuatro resultados

Fuera del CRA

Un servicio sin producto detrás, o un producto que ya cubre otro instrumento de la UE: productos sanitarios, vehículos de motor, aviación civil y equipos marinos quedan excluidos, y el software libre y de código abierto fuera de una actividad comercial no se introduce en el mercado.

Dentro del ámbito, por defecto

La mayoría de los productos con elementos digitales. Se aplican los requisitos esenciales y la conformidad se autoevalúa: usted elabora el expediente técnico, realiza la evaluación y firma la declaración.

Dentro del ámbito, importante

Un producto del anexo III. La clase I aún puede autoevaluarse si una norma armonizada la cubre; la clase II exige un tercero. Ambas figuran en las categorías de abajo.

Dentro del ámbito, crítico

Un producto del anexo IV. La Comisión puede exigir un certificado europeo de ciberseguridad, y la conformidad pasa por un organismo notificado.

Las categorías de los anexos III y IV

Con las palabras del propio reglamento, en inglés, porque ese es el texto que leen un organismo notificado y una autoridad de vigilancia del mercado. La referencia da el anexo, la clase y el punto.

Anexo III, clase I (importante)

• III.I.1Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
• III.I.2Standalone and embedded browsers
• III.I.3Password managers
• III.I.4Software that searches for, removes, or quarantines malicious software
• III.I.5Products with digital elements with the function of virtual private network (VPN)
• III.I.6Network management systems
• III.I.7Security information and event management (SIEM) systems
• III.I.8Boot managers
• III.I.9Public key infrastructure and digital certificate issuance software
• III.I.10Physical and virtual network interfaces
• III.I.11Operating systems
• III.I.12Routers, modems intended for the connection to the internet, and switches
• III.I.13Microprocessors with security-related functionalities
• III.I.14Microcontrollers with security-related functionalities
• III.I.15Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
• III.I.16Smart home general purpose virtual assistants
• III.I.17Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
• III.I.18Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
• III.I.19Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Anexo III, clase II (importante)

• III.II.1Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
• III.II.2Firewalls, intrusion detection and prevention systems
• III.II.3Tamper-resistant microprocessors
• III.II.4Tamper-resistant microcontrollers

Anexo IV (crítico)

• IV.1Hardware Devices with Security Boxes
• IV.2Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council and other devices for advanced security purposes, including for secure cryptoprocessing
• IV.3Smartcards or similar devices, including secure elements

Calcule los tres plazosEl artículo sobre el ámbito, con el razonamiento en detalleQué partes de su backend están dentro del CRA