Responsabilidad por productos
La Directiva sobre responsabilidad por productos defectuosos: nada que certificar, y una documentación técnica que un tribunal puede ordenarle presentar
- A quién se aplica
- Todo fabricante de un producto introducido en el mercado de la UE, y el software es un producto de forma expresa (artículo 4, apartado 1). Cuando el fabricante está fuera de la Unión, pueden responder en su lugar el importador, el representante autorizado o el prestador de servicios logísticos.
- Las fechas
- Los productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026. Los Estados miembros deben tener su Derecho nacional en vigor a más tardar el 9 de diciembre de 2026: un día de diferencia, en la propia directiva.
- Lo único que hay que hacer
- Nada que registrar, certificar o declarar, así que ninguna empresa puede cumplir esta directiva. Reduzca la exposición, y conserve las pruebas que un tribunal puede ordenarle exhibir.
Dónde se encuentra con el Reglamento de Ciberresiliencia, y en qué sentido
6 de los 9 vínculos juegan en contra del fabricante. La conformidad con el CRA no protege a nadie de esta responsabilidad; su incumplimiento es el atajo del demandante.
| Para el fabricante | Directiva | CRA | Qué significa |
|---|---|---|---|
| En su contra | Art. 10(2)(b)10(2)(b) | CRA 13(1) | Incumplir el CRA hace presumir el defecto Se presume el carácter defectuoso cuando el demandante demuestra que el producto no cumple requisitos obligatorios de seguridad de los productos establecidos en el Derecho de la Unión o nacional destinados a proteger frente al riesgo del daño sufrido. Los requisitos esenciales del CRA son requisitos obligatorios de la Unión de ese tipo. Un demandante que demuestra su incumplimiento no tiene que probar por separado el carácter defectuoso; es el fabricante quien debe refutarlo. |
| En su contra | Art. 7(2)(f)7(2)(f) | CRA 13(1) | Los requisitos de ciberseguridad pesan en la evaluación del defecto Los requisitos pertinentes de seguridad de los productos, incluidos los requisitos de ciberseguridad relevantes para la seguridad, están entre las circunstancias que un tribunal tiene en cuenta al evaluar el carácter defectuoso. Más débil que la presunción anterior, y en el mismo sentido: el CRA es una vara con la que un tribunal puede medir el producto, no un refugio. |
| En su contra | Art. 11(2)(c)11(2)(c) | CRA 13(8) | No publicar una actualización de seguridad entra en la responsabilidad Un fabricante está normalmente exento cuando el defecto surgió después de introducir el producto en el mercado. Esa exención no se aplica cuando el carácter defectuoso se debe a la falta de actualizaciones o mejoras de software necesarias para mantener la seguridad y que están bajo el control del fabricante. El CRA obliga a los fabricantes a facilitar actualizaciones de seguridad durante el período de soporte, así que la obligación y la exposición describen el mismo incumplimiento. |
| En su contra | Art. 11(2)(b)11(2)(b) | CRA 13(9) | Una mala actualización también es del fabricante La misma exención no se aplica cuando el carácter defectuoso se debe al software, incluidas sus actualizaciones o mejoras, que está bajo el control del fabricante. Una actualización que introduce el defecto no se defiende diciendo que el producto salió de fábrica sin defectos. |
| En su contra | Art. 7(2)(e)7(2)(e) | CRA 13(8) | Un período de soporte es un período de control mantenido El momento que cuenta para evaluar un defecto es la introducción en el mercado o, si el fabricante conserva el control después, el momento en que el producto dejó su control. Un período de soporte del CRA es un período de control mantenido, y por tanto también el período que examina la evaluación del defecto. |
| En su contra | Art. 10(2)(a)10(2)(a) | CRA 13(7) | Pueden ordenarle exhibir la documentación técnica, y retenerla hace presumir el defecto Un tribunal puede ordenar a un demandado que exhiba las pruebas pertinentes que estén a su disposición, y se presume el carácter defectuoso si no lo hace. Una documentación técnica del CRA es una prueba a disposición del fabricante. Tenerla en orden permite superar la orden; no llevarla no la evita. |
| A su favor | Art. 11(1)(e)11(1)(e) | La exención por riesgos de desarrollo, que depende del conocimiento y no de la conformidad Un fabricante queda exento cuando el estado objetivo de los conocimientos científicos y técnicos en el momento pertinente no permitía descubrir el carácter defectuoso. Es lo más parecido a una defensa que tiene un fabricante diligente, y depende de lo que podía saberse, no de lo que estaba certificado. El artículo 18 permite a un Estado miembro suprimirla; por tanto, no está disponible en todas partes. | |
| A su favor | Art. 7(3)7(3) | Mejorar el producto después no convierte en defectuoso el anterior Un producto no es defectuoso por el mero hecho de que desde entonces se haya introducido en el mercado un producto mejor, incluidas actualizaciones o mejoras. Publicar mejoras no es una confesión. | |
| Ninguno | Art. 1515 | Nada de esto puede excluirse por contrato La responsabilidad conforme a la directiva no puede limitarse ni excluirse frente a la persona perjudicada, ni por una cláusula contractual ni por el Derecho nacional. Las condiciones de uso no la alcanzan, ni tampoco una evaluación de la conformidad del CRA: nada en la directiva convierte la conformidad con otro instrumento en una defensa. |
Su documentación técnica es una prueba a su disposición
Un tribunal puede ordenar su exhibición conforme al artículo 9, y no exhibirla hace presumir el defecto conforme al artículo 10, apartado 2, letra a). Tener la documentación en orden es lo que permite superar esa orden.
La documentación técnica del CRALas disposiciones de la directiva, en los términos del Diario Oficial
33 disposiciones, agrupadas según lo que hacen. El texto es el del Diario Oficial tal como fue corregido, con los números de apartado que imprime.
Ámbito de aplicación
- Art. 2(1)1. La presente Directiva será aplicable a los productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026.
- Art. 21(1)Queda derogada la Directiva 85/374/CEE con efectos a partir del 9 de diciembre de 2026. No obstante, seguirá aplicándose a los productos introducidos en el mercado o puestos en servicio antes de esa fecha. Las referencias a la Directiva derogada se entenderán hechas a la presente Directiva con arreglo a la tabla de correspondencias que figura en el anexo.
Definiciones
- Art. 4(1)A los efectos de la presente Directiva, se entenderá por: 1) «producto»: cualquier bien mueble, aun cuando esté incorporado a otro bien mueble o a un bien inmueble o interconectado con estos; incluye la electricidad, los archivos de fabricación digital, las materias primas y los programas informáticos; 2) «archivo de fabricación digital»: una versión digital o plantilla digital de un bien mueble, que contiene la información funcional necesaria para producir un elemento tangible permitiendo el control automatizado de máquinas o herramientas; 3) «servicio conexo»: un servicio digital que está integrado en un producto o interconectado con él, de tal manera que su ausencia impediría al producto realizar una o varias de sus funciones; 4) «componente»: cualquier artículo, ya sea tangible o intangible, materia prima o servicio conexo, que está integrado en un producto o interconectado con él; 5) «control del fabricante»:
Daños
- Art. 5(1)1. Los Estados miembros garantizarán que toda persona física que sufra daños causados por un producto defectuoso (en lo sucesivo, «persona perjudicada») tenga derecho a una indemnización de conformidad con la presente Directiva.
- Art. 6(1)1. El derecho a indemnización en virtud del artículo 5 se aplicará únicamente con respecto a los siguientes tipos de daños:
Carácter defectuoso
- Art. 7(1)1. Un producto se considerará defectuoso cuando no ofrezca la seguridad que una persona tiene derecho a esperar y que se exige asimismo en virtud del Derecho de la Unión o nacional.
- Art. 7(2)(c)el efecto en el producto de toda capacidad de seguir aprendiendo o adquirir nuevas características después de su introducción en el mercado o puesta en servicio;
- Art. 7(2)(d)el efecto razonablemente previsible en el producto de otros productos de los que se pueda esperar que se utilicen junto con el producto, también mediante interconexión;
- Art. 7(2)(e)el momento en que el producto fue introducido en el mercado o puesto en servicio o, si el fabricante conserva el control sobre el producto después de ese momento, el momento en que el producto dejó de estar bajo el control del fabricante;
- Art. 7(2)(f)los requisitos de seguridad del producto pertinentes, incluidos los requisitos de ciberseguridad pertinentes para la seguridad;
- Art. 7(3)3. Un producto no se considerará defectuoso por la única razón de que un producto mejor, incluidas las actualizaciones o mejoras para un producto, ya se haya introducido en el mercado o puesto en servicio, o se introduzca en el mercado o se ponga en servicio posteriormente.
Quién responde
- Art. 8(1)1. Los Estados miembros garantizarán que los siguientes operadores económicos sean responsables de los daños de conformidad con la presente Directiva:
- Art. 8(2)2. Cualquier persona física o jurídica que modifique sustancialmente un producto fuera del control del fabricante y que posteriormente lo comercialice o ponga en servicio se considerará fabricante del producto a efectos del apartado 1.
- Art. 12(1)1. Sin perjuicio de las disposiciones nacionales en relación con los derechos de división de la responsabilidad o de repetición, los Estados miembros garantizarán que, cuando dos o más operadores económicos sean responsables de los mismos daños con arreglo a la presente Directiva, puedan ser considerados responsables solidariamente.
- Art. 15Los Estados miembros garantizarán que la responsabilidad de un operador económico con arreglo a la presente Directiva no esté limitada o excluida, en relación con la persona perjudicada, por una disposición contractual o por el Derecho nacional.
Exhibición de pruebas
- Art. 9(1)1. Los Estados miembros garantizarán que, a petición de una persona que reclame una indemnización en un procedimiento ante un órgano jurisdiccional nacional por los daños causados por un producto defectuoso (en lo sucesivo, «demandante»), y que haya presentado hechos y pruebas suficientes para respaldar la verosimilitud de la demanda de indemnización, se exigirá al demandado que exhiba las pruebas pertinentes de que disponga, de acuerdo con las condiciones establecidas en el presente artículo.
Carga de la prueba
- Art. 10(2)2. Se presumirá el carácter defectuoso del producto cuando se cumpla alguna de las siguientes condiciones:
- Art. 10(2)(a)el demandado no haya exhibido las pruebas pertinentes de conformidad con el artículo 9, apartado 1;
- Art. 10(2)(b)el demandante demuestre que el producto no cumple los requisitos obligatorios de seguridad del producto establecidos en el Derecho de la Unión o nacional que tienen por objeto proteger contra el riesgo del daño sufrido por la persona perjudicada, o
- Art. 10(2)(c)el demandante demuestre que el daño fue causado por un mal funcionamiento manifiesto del producto durante un uso razonablemente previsible o en circunstancias normales.
- Art. 10(3)3. Se presumirá el nexo causal entre el carácter defectuoso del producto y el daño cuando se haya comprobado que el producto es defectuoso y el daño causado sea de un tipo compatible normalmente con el defecto en cuestión.
Exenciones
- Art. 11(1)1. Los operadores económicos a que se refiere el artículo 8 no serán responsables de los daños causados por un producto defectuoso si demuestran que:
- Art. 11(1)(c)que es probable que el carácter defectuoso que haya causado el daño no existiera en el momento en que el producto fue introducido en el mercado, puesto en servicio o, en el caso de un distribuidor, comercializado, o que ese carácter defectuoso se originase después de ese momento;
- Art. 11(1)(e)que el estado objetivo de los conocimientos científicos y técnicos en el momento en que el producto fue introducido en el mercado, puesto en servicio o durante el período en el que el producto estaba bajo el control del fabricante no permitía detectar el carácter defectuoso;
- Art. 11(2)2. No obstante lo dispuesto en el apartado 1, letra c), un operador económico no estará exento de responsabilidad cuando el defecto de un producto se deba a alguna de las causas siguientes, siempre que esté bajo el control del fabricante:
- Art. 11(2)(a)un servicio conexo;
- Art. 11(2)(b)programas informáticos, incluidas las actualizaciones o mejoras de programas informáticos;
- Art. 11(2)(c)falta de actualizaciones o mejoras de los programas informáticos necesarias para mantener la seguridad;
- Art. 18(1)1. Como excepción a lo dispuesto en el artículo 11, apartado 1, letra e), los Estados miembros podrán mantener en sus sistemas jurídicos las medidas vigentes por las que los operadores económicos sean responsables aunque demuestren que el estado objetivo de los conocimientos científicos y técnicos en el momento en que el producto fue introducido en el mercado o puesto en servicio o durante el período en el que el producto estaba bajo el control del fabricante no permitía detectar el carácter defectuoso. Todo Estado miembro que desee mantener medidas de conformidad con el presente apartado notificará el texto de las medidas a la Comisión a más tardar el 9 de diciembre de 2026. La Comisión informará de ello a los demás Estados miembros.
Repetición
- Art. 14(1)Cuando más de un operador económico sea responsable de los mismos daños, un operador económico que haya indemnizado a la persona perjudicada tendrá derecho a reclamar de otros operadores económicos responsables de conformidad con lo dispuesto en el artículo 8 y en virtud del Derecho nacional.
Plazos
- Art. 16(1)1. Los Estados miembros garantizarán que se aplique un plazo de prescripción de tres años a la interposición de una acción para reclamar una indemnización por los daños incluidos en el ámbito de aplicación de la presente Directiva. El plazo de prescripción contará a partir del día en que la persona perjudicada tuvo conocimiento, o debería haber tenido razonablemente conocimiento, de todo lo siguiente:
- Art. 17(1)1. Los Estados miembros garantizarán que una persona perjudicada deje de tener derecho a indemnización en virtud de la presente Directiva al vencimiento de un período de diez años, a menos que la persona perjudicada haya interpuesto, entre tanto, una acción contra un operador económico que pueda ser considerado responsable con arreglo al artículo 8. Dicho plazo comenzará a contar a partir de:
Transposición
- Art. 22(1)1. Los Estados miembros pondrán en vigor las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva a más tardar el 9 de diciembre de 2026. Informarán de ello inmediatamente a la Comisión. Cuando los Estados miembros adopten dichas disposiciones, estas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.
Derecho nacional
Cada Estado miembro debe poner en vigor sus medidas nacionales a más tardar el 9 de diciembre de 2026. Qué Estados han comunicado medidas hasta ahora figura en el registro de la UE de medidas nacionales de ejecución. Solo recoge lo que un gobierno ha notificado, así que un Estado cuyo parlamento ha legislado sin notificarlo aparece sin medidas. Medidas nacionales de ejecución en EUR-Lex
Leído en Directive (EU) 2024/2853 en el Diario Oficial el 29 de septiembre de 2026, con la corrección de errores aplicada en cada lengua mostrada. EUR-Lex
Preguntas
- ¿Me protege el Reglamento de Ciberresiliencia de la responsabilidad por productos?
- No. La conformidad con el CRA no es una defensa ni crea presunción alguna de que el producto no sea defectuoso. Su incumplimiento permite al demandante presumir el defecto (artículo 10, apartado 2, letra b)), como muestra la tabla anterior.
- ¿Puedo limitar esta responsabilidad en mis condiciones de uso?
- No. Conforme al artículo 15, la responsabilidad no puede limitarse ni excluirse frente a la persona perjudicada, ni por contrato ni por el Derecho nacional.
- Solo suministramos software, no hardware. ¿Nos afecta?
- Sí. El artículo 4, apartado 1, cita el software como producto.
- Introdujimos el producto en el mercado antes de la fecha.
- El artículo 2, apartado 1, se aplica a los productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026. Lo anterior sigue bajo la directiva de 1985, que el artículo 21 deroga con una disposición transitoria.
- ¿No publicar una actualización de seguridad es un defecto?
- Puede serlo. El artículo 11, apartado 2, letra c), suprime la exención para un defecto surgido después cuando el carácter defectuoso se debe a la falta de actualizaciones necesarias para mantener la seguridad y que están bajo su control.
Conserve la documentación que un tribunal puede pedir
StandardOS mantiene la documentación técnica del CRA, el período de soporte y el registro de cada actualización en un solo lugar, con versiones, para que las pruebas existan y digan qué hizo y cuándo.
Véase también:Reglamento de CiberresilienciaArtículos