Si su empresa suministra productos con elementos digitales —piense en un termostato inteligente, software que forma parte de una máquina, o una aplicación que se comunica con un dispositivo—, la Cyberresilience Act le pide un dossier que demuestre cómo se ha garantizado la ciberseguridad de ese producto. En general, se trata de una evaluación de riesgos del producto, documentación técnica sobre su funcionamiento y seguridad, un resumen de los componentes de software utilizados, un proceso para gestionar vulnerabilidades, y una declaración de conformidad. La estructura exacta y la nomenclatura figuran en el texto oficial del reglamento; consulte ese texto, o a su autoridad de control, para determinar con precisión cómo rellenarlo en el caso de su producto.
Lo que distingue este dossier de, por ejemplo, un dossier de seguridad de productos o un dossier de envasado, es que no está terminado en el momento de la entrega. Un dossier de seguridad de productos describe un producto tal como sale de fábrica. El dossier de ciberseguridad también debe demostrar qué ocurre después de esa entrega: cómo detecta vulnerabilidades, con qué rapidez publica una actualización, y cómo lo documenta. Este es el detalle que más pesa en este tema, y donde las empresas acostumbradas a dossiers puntuales tienen más riesgo de tropezar.
Qué contiene típicamente el dossier
En la mayoría de los productos con elementos digitales, un dossier de ciberseguridad es una combinación de los siguientes apartados. Un análisis de riesgos que describe qué riesgos cibernéticos conlleva el producto y cómo se han cubierto. Un resumen técnico de la arquitectura, incluidos qué software y qué componentes de terceros contiene —a menudo denominado software bill of materials, una lista de todos los componentes de software del producto. Una descripción del proceso mediante el cual detecta, evalúa y corrige vulnerabilidades. Y una declaración en la que indica que el producto cumple los requisitos vigentes.
Si su producto necesita exactamente estos documentos, y en qué forma, depende del tipo de producto y la categoría en la que se encuadra. Se trata de una cuestión de contenido que queda fuera del alcance de lo que reglia hace; para ello, el texto del reglamento o un abogado son el punto de referencia correcto. Una primera orientación sobre qué obligaciones pueden corresponder a su tipo de empresa, la encontrará en el resumen de plataformas conectadas.
Por qué el proceso de actualización merece atención especial
Muchos de los otros dossiers que pertenecen a una empresa son esencialmente una fotografía del momento: los rellena, los guarda, y los actualiza si algo sustancial cambia. El dossier de ciberseguridad pide algo diferente: un proceso continuo que también puede demostrar. ¿Quién notifica una vulnerabilidad, dentro de qué plazo se evalúa, y cómo llega una actualización al usuario? No es algo que escriba una sola vez y luego deje reposar —es una parte del dossier que se mueve constantemente mientras el producto esté en uso.
En la práctica, esto significa que el dossier contiene dos tipos de información: documentos fijos que cambian cuando el producto en sí cambia, y un registro continuo que crece con cada actualización o notificación. Las empresas que no hacen esta distinción corren el riesgo de que el dossier esté completo en el papel pero no demuestre en la práctica cómo se ha mantenido la seguridad después de la entrega. Si y cómo se aplica esto a su producto, es mejor que lo evalúe junto con un abogado o la autoridad competente.
Un dossier, pero no su única obligación
Un producto con elementos digitales que vende a consumidores suele estar sujeto en la práctica a más que solo la Cyberresilience Act. Los mismos datos sobre el producto —especificaciones, país de destino, responsable dentro de su empresa— aparecen también en seguridad de productos, en envasado y a veces en protección de datos. Reglia no rellena la normativa en sí, sino que se asegura de que usted rellene un dossier empresarial y de producto una sola vez y que las plataformas que se encargan de ello en términos de contenido lean ese dossier en lugar de que usted lo escriba cuatro veces. Cómo funciona exactamente y qué hace reglia y qué no hace con esos datos, lo puede leer en la explicación sobre el funcionamiento de reglia.
Quien quiera saber cómo se protegen los datos en el proceso y quién tiene acceso a ellos, lo encontrará en la página sobre seguridad y privacidad. Crear una cuenta es gratuito y no le obliga a nada; lo que use posteriormente en una plataforma, lo paga allí, según la tarifa que aplique esa plataforma.
¿Curioso por saber qué plataformas están conectadas con reglia y qué parte de su empresa afecta cada una? Consulte las preguntas más frecuentes sobre reglia o eche un vistazo al resumen de soluciones disponibles.