¿Se aplica la Ley de Resiliencia Cibernética también a su empresa?
La Ley de Resiliencia Cibernética es una normativa europea que establece requisitos de ciberseguridad para productos con elementos digitales: dispositivos y software que pueden conectarse a una red u otro dispositivo. Que esa normativa afecte a su empresa depende principalmente de dos preguntas: ¿vende usted ese tipo de producto, y en qué rol lo hace — como fabricante, importador, distribuidor o como parte que comercializa un producto bajo marca propia?
Una tienda en línea que revende productos listos para usar sin marca propia suele ejercer el rol de distribuidor, con obligaciones diferentes a las de un fabricante. En el momento en que usted encarga un producto bajo marca propia o etiqueta propia, puede ser considerado jurídicamente como fabricante, incluso si usted no produce nada. Este texto no ofrece una respuesta definitiva para su situación específica — eso corresponde a un abogado o a la autoridad de supervisión designada para esta normativa.
Lo que la normativa pretende regular exactamente
La Ley de Resiliencia Cibernética se centra en el ciclo de vida de un producto: desde el diseño y desarrollo hasta las actualizaciones después de la venta. La idea subyacente es que los productos con elementos digitales a menudo contienen vulnerabilidades que solo se descubren después de la venta, y debe haber algo para contrarrestar esto: seguridad incorporada de antemano, y una forma de remediar las vulnerabilidades posteriormente. Esto afecta por tanto no solo a la técnica de un producto, sino también a cuánto tiempo y cómo permanece usted disponible después de la venta para notificaciones y actualizaciones.
Cuándo esto puede ser relevante para su empresa
El núcleo de la normativa se centra en productos que contienen software o que pueden conectarse a internet, una red u otro dispositivo. Piense en iluminación inteligente, cámaras de seguridad, enrutadores, sensores para gestión de edificios, o equipos que se controlan mediante una aplicación. Una empresa de instalación que vende y coloca ese tipo de equipos, una tienda en línea que ofrece productos de hogar inteligente bajo marca propia, o una oficina que proporciona equipos IoT a los clientes puede entrar dentro del ámbito de aplicación. Una empresa que solo proporciona servicios sin comercializar ese tipo de producto, generalmente no tiene que hacerse preguntas sobre esta normativa — aunque sigue siendo cierto que esto varía según la situación.
Si usted vende productos bajo marca propia
Este es precisamente el punto donde muchas empresas de la PYME se ven afectadas contra sus expectativas. Una tienda en línea que encarga a un fabricante en Asia que produzca un producto y lo comercializa bajo un nombre de marca propia, suele ser tratada por la normativa aplicable como fabricante, no como revendedor. Es el mismo cambio de rol que ocurre con la seguridad de productos y los empaques: el rol que usted desempeña determina qué obligaciones le corresponden, y ese rol no siempre es el que usted elegiría. Si eso también se aplica de esa manera para la Ley de Resiliencia Cibernética en su producto específico, consta en el texto oficial y ante la autoridad de supervisión designada.
Por qué rara vez se presenta de forma aislada
Una empresa que está sujeta a esta normativa a menudo también está sujeta a otras normas: seguridad de productos en sentido general, posiblemente requisitos de accesibilidad si el producto tiene una interfaz de usuario, y protección de datos personales en el momento en que el dispositivo recopila o transmite datos. Esta es precisamente la razón por la que es útil cartografiar de una vez qué normas se aplican a su empresa, en lugar de empezar de nuevo con cada pregunta. reglia es la capa sobre las plataformas que tratan cada área temática en términos de contenido; puede consultar un resumen de las plataformas conectadas para ver qué plataforma se ocupa de qué tema.
Lo que reglia en sí mismo hace y no hace con los datos que usted proporciona para ello, puede leer en la página sobre cómo funciona reglia. Una vez que ha rellenado un dossier empresarial, no tiene que hacerlo de nuevo para cada plataforma, y sigue siendo usted quien controla qué datos utiliza cada plataforma.
Si duda de si un producto que vende entra en el ámbito de aplicación de la Cyberresilience Act, se trata de una cuestión que debe dirigir a un abogado o a la autoridad de supervisión designada para ello. En la página con preguntas frecuentes encontrará más información sobre qué responde reglia y qué no.
Si desea saber qué plataformas hay disponibles y qué tema se aborda con cada una, continúe leyendo en la creación de una cuenta gratuita para ver qué hay disponible para su empresa.