COMISIÓN EUROPEA Bruselas, 15.9.2022 COM(2022) 454 final 2022/0272(COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) 2019/1020 (Texto pertinente a efectos del EEE) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA •Razones y objetivos de la propuesta Los productos consistentes en equipos informáticos (hardware) y en programas informáticos (software) están sometidos a un número cada vez mayor de ciberataques exitosos, lo que eleva el coste anual estimado de la ciberdelincuencia a 5,5 billones EUR en todo el mundo en 2021. Estos productos se enfrentan a dos problemas principales que acarrean costes adicionales para los usuarios y la sociedad: 1) un bajo nivel de ciberseguridad, que se refleja en vulnerabilidades generalizadas y en la oferta insuficiente e incoherente de actualizaciones de seguridad para hacerles frente, y 2) la insuficiencia de la comprensión de la información y del acceso a ella por parte de los usuarios, lo que les impide elegir productos con las características de ciberseguridad adecuadas o utilizarlos de manera segura. En un entorno conectado, un incidente de ciberseguridad en un producto puede afectar a toda una organización o cadena de suministro y, con frecuencia, propagarse a través de las fronteras del mercado interior en cuestión de minutos. Esto puede dar lugar a graves perturbaciones de las actividades económicas y sociales o incluso convertirse en una amenaza para la vida. La ciberseguridad de los productos con elementos digitales tiene una importante dimensión transfronteriza, ya que los productos fabricados en un país a menudo se utilizan en todo el mercado interior. Además, es habitual que los incidentes que inicialmente afectan a una única entidad o Estado miembro se expandan en cuestión de minutos a todo el mercado interior. Si bien la legislación vigente sobre el mercado interior se aplica a determinados productos con elementos digitales, actualmente la mayoría de los productos consistentes en equipos o programas informáticos no están contemplados en ninguna norma de la Unión Europea (UE) que regule su ciberseguridad. En particular, el marco jurídico actual de la UE no aborda la ciberseguridad de los programas informáticos no incorporados, aun cuando los ataques de ciberseguridad se centran cada vez más en las vulnerabilidades de estos productos, lo que genera considerables costes sociales y económicos. Existen numerosos ejemplos de ciberataques reseñables derivados de una seguridad insuficiente de los productos, como el programa de chantaje de tipo gusano WannaCry, que explotó una vulnerabilidad de Windows para afectar a 200 000 ordenadores en 150 países en 2017 y causó daños por valor de miles de millones de dólares estadounidenses; el ataque a la cadena de suministro de Kaseya VSA, que utilizó el programa de administración de redes de Kaseya para atacar a más de 1 000 empresas y obligó a una cadena de supermercados a cerrar la totalidad de sus 500 tiendas en Suecia; o los numerosos incidentes relacionados con el pirateo de aplicaciones bancarias para robar dinero a consumidores desprevenidos. Se identificaron dos objetivos principales para garantizar el correcto funcionamiento del mercado interior: 1) crear condiciones que permitan el desarrollo de productos con elementos digitales seguros, garantizando que los productos consistentes en equipos y programas informáticos se introduzcan en el mercado con menos vulnerabilidades y que los fabricantes se tomen en serio la seguridad a lo largo de todo el ciclo de vida de un producto; y 2) crear condiciones que permitan a los usuarios tener en cuenta la ciberseguridad a la hora de elegir y utilizar productos con elementos digitales. Se establecieron cuatro objetivos específicos: i) garantizar que los fabricantes mejoren la seguridad de los productos con elementos digitales desde la fase de diseño y desarrollo y a lo largo de todo el ciclo de vida; ii) garantizar un marco de ciberseguridad coherente y facilitar su cumplimiento por parte de los productores de equipos y programas informáticos; iii) mejorar la transparencia de las características de seguridad de los productos con elementos digitales; y iv) permitir a las empresas y a los consumidores utilizar productos con elementos digitales de forma segura. La importante naturaleza transfronteriza de la ciberseguridad y el aumento de los incidentes cuyas repercusiones pueden extenderse a otros países, sectores y productos hacen que los Estados miembros por sí solos no puedan alcanzar eficazmente los objetivos planteados. Habida cuenta de la dimensión mundial de los mercados de los productos con elementos digitales, los Estados miembros hacen frente en su territorio a los mismos riesgos para un mismo producto con elementos digitales. El mosaico de normas nacionales con posibles divergencias que está surgiendo corre el riesgo de poner barreras a un mercado único abierto y competitivo para los productos con elementos digitales. Por lo tanto, se hace necesaria la acción conjunta a escala de la UE para aumentar el nivel de confianza entre los usuarios y el atractivo de los productos con elementos digitales de la UE. La acción conjunta beneficiaría también al mercado interior al proporcionar seguridad jurídica y condiciones de competencia equitativas para los vendedores de productos con elementos digitales, como también se señala en el informe final de la Conferencia sobre el Futuro de Europa, en el que los ciudadanos piden reforzar el papel de la Unión en la lucha contra las amenazas a la ciberseguridad. •Interacción con las disposiciones existentes en la misma política sectorial El marco de la UE incluye varios actos legislativos horizontales que se aplican a determinados aspectos relativos a la ciberseguridad desde diferentes ángulos (productos, servicios, gestión de crisis y delitos). En 2013 entró en vigor la Directiva relativa a los ataques contra los sistemas de información, que armoniza la tipificación penal de una serie de delitos contra los sistemas de información y las sanciones penales aplicables. En agosto de 2016 entró en vigor la Directiva (UE) 2016/1148 sobre la seguridad de las redes y sistemas de información (Directiva SRI), el primer acto legislativo a escala de la UE en materia de ciberseguridad. Su revisión, que dio origen a la Directiva [Directiva XXX/XXXX (SRI 2)], aumenta el nivel común de ambición de la UE. En 2019 entró en vigor el Reglamento sobre la Ciberseguridad de la Unión, que tiene por objeto mejorar la seguridad de los productos, servicios y procesos de tecnologías de la información y de las comunicaciones (TIC) mediante la introducción de un marco europeo voluntario de certificación de la ciberseguridad. La ciberseguridad de toda la cadena de suministro solo está garantizada si todos sus componentes son ciberseguros. Sin embargo, la legislación de la UE mencionada anteriormente presenta carencias importantes a este respecto, ya que no establece requisitos obligatorios relativos a la seguridad de los productos con elementos digitales. Si bien la propuesta de Ley de Ciberresiliencia se aplica a los productos con elementos digitales que se introducen en el mercado, la Directiva [Directiva XXX/XXX (SRI 2)] tiene por objeto garantizar un elevado nivel de ciberseguridad de los servicios prestados por entidades esenciales e importantes. La Directiva [Directiva XXX/XXXX (SRI 2)] exige a los Estados miembros que garanticen que las entidades esenciales e importantes que entren en el ámbito de aplicación de la Directiva, como los proveedores de asistencia sanitaria o de servicios en nube y las entidades de la Administración pública, adoptan medidas de ciberseguridad apropiadas y proporcionadas de tipo técnico, operativo y organizativo. Estas medidas deben, entre otras cosas, garantizar la seguridad en la adquisición, el desarrollo y el mantenimiento de las redes y sistemas de información, incluidas la gestión y la divulgación de las vulnerabilidades. La Directiva [Directiva XXX/XXXX (SRI 2)] exige a la Comisión que, en un plazo de veintiún meses a partir de la fecha de entrada en vigor de la Directiva, adopte actos de ejecución que establezcan los requisitos técnicos y metodológicos de dichas medidas para determinados tipos de entidades, como los proveedores de servicios de computación en nube. Para las demás entidades, la Comisión podrá adoptar un acto de ejecución que establezca los requisitos técnicos y metodológicos, así como requisitos sectoriales. Este marco garantizará que se apliquen especificaciones y medidas técnicas similares a los requisitos esenciales de ciberseguridad de la Ley de Ciberresiliencia en lo que respecta al diseño y el desarrollo de los programas informáticos proporcionados como servicio (software como servicio) y la gestión de las vulnerabilidades. De este modo, se podría garantizar un elevado nivel de ciberseguridad en productos como los sistemas de historiales médicos electrónicos, en especial cuando se entregan como software como servicio (SaaS) o se desarrollan en instituciones sanitarias (de forma interna), de conformidad con la propuesta de [Reglamento sobre el espacio europeo de datos sanitarios]. •Interacción con otras políticas de la Unión Como bien se indica en la Comunicación «Configurar el futuro digital de Europa», es fundamental que la UE aproveche todas las ventajas de la era digital y que refuerce su industria y su capacidad de innovación dentro de unos límites seguros y éticos. La Estrategia Europea de Datos establece cuatro pilares (protección de datos, derechos fundamentales, seguridad y ciberseguridad) como requisitos previos esenciales para una sociedad empoderada por el uso de datos. El marco actual de la UE aplicable a los productos que también puedan tener elementos digitales está compuesto por varios actos legislativos, incluida la legislación de la UE sobre productos específicos, que regula aspectos relacionados con la seguridad y la legislación general sobre responsabilidad de los productos. La propuesta es coherente con el actual marco regulador de la UE en materia de productos, así como con ciertas propuestas legislativas recientes, como la propuesta presentada por la Comisión de Reglamento [Reglamento sobre inteligencia artificial (IA)]. La propuesta de Reglamento se aplicaría a todos los equipos radioeléctricos incluidos en el ámbito de aplicación del Reglamento Delegado (UE) 2022/30 de la Comisión. Además, los requisitos establecidos en el presente Reglamento incluyen todos los elementos de los requisitos esenciales a que se refiere el artículo 3, apartado 3, letras d), e) y f), de la Directiva 2014/53/UE, incluidos los principales elementos expuestos en la [Decisión de Ejecución XXX/2022 de la Comisión relativa a una petición de normalización dirigida a las organizaciones europeas de normalización] elaborada sobre la base de dicho Reglamento Delegado. A fin de evitar un solapamiento normativo, está previsto que la Comisión derogue o modifique el Reglamento Delegado en lo que se refiere a los equipos radioeléctricos que entren en el ámbito de aplicación de la propuesta de Reglamento, de modo que sea este último el que se aplique a dichos equipos, una vez sea aplicable. Además, para evitar la duplicación de trabajo, se prevé que la Comisión y las organizaciones europeas de normalización tengan en cuenta el trabajo de normalización llevado a cabo en el contexto de la Decisión de Ejecución C(2022)5637 de la Comisión, relativa a una petición de normalización para el Reglamento Delegado (UE) 2022/30, que completa la Directiva sobre equipos radioeléctricos, en lo que respecta a la preparación y el desarrollo de normas armonizadas para facilitar la ejecución del Reglamento. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD •Base jurídica

La base jurídica de la propuesta es el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE), que trata de la adopción de medidas para garantizar el establecimiento y el funcionamiento del mercado interior. El objetivo de la propuesta es armonizar los requisitos de ciberseguridad de los productos con elementos digitales en todos los Estados miembros y eliminar las barreras a la libre circulación de mercancías. El artículo 114 del TFUE puede servir como base jurídica para evitar la aparición de estas barreras, derivadas de la divergencia entre las diferentes legislaciones y enfoques nacionales en cuanto a la manera de abordar las incertidumbres jurídicas y las carencias en los marcos jurídicos existentes. Además, el Tribunal de Justicia ha reconocido que la aplicación de requisitos técnicos heterogéneos podría justificar la activación del artículo 114 del TFUE. El marco legislativo actual de la UE aplicable a los productos con elementos digitales se basa en el artículo 114 del TFUE y está compuesto por varios actos legislativos relativos a, entre otras cosas, productos específicos y aspectos relacionados con la seguridad, así como por legislación general sobre responsabilidad de los productos. Sin embargo, solo regula determinados aspectos relacionados con la ciberseguridad de los productos digitales tangibles y, en su caso, de los programas informáticos incorporados a estos productos. A nivel nacional, los Estados miembros están empezando a adoptar medidas nacionales que exigen a los vendedores de productos digitales la mejora de su ciberseguridad. Al mismo tiempo, la ciberseguridad de los productos digitales tiene una dimensión transfronteriza de particular importancia, ya que los productos fabricados en un país suelen ser utilizados por organizaciones y consumidores en todo el mercado interior. Los incidentes que inicialmente afectan a una única entidad o Estado miembro a menudo se propagan en cuestión de minutos a otras organizaciones, sectores y Estados miembros. Los diversos actos e iniciativas adoptados hasta la fecha a escala nacional y de la UE abordan solo de manera parcial los problemas detectados, por lo que se corre el riesgo de crear un mosaico legislativo en el mercado interior, aumentar la inseguridad jurídica tanto para los vendedores como para los usuarios de estos productos y añadir una carga innecesaria a las empresas vinculada al cumplimiento de una serie de requisitos para tipos similares de productos. El Reglamento propuesto armonizaría y racionalizaría el panorama normativo de la UE mediante la introducción de requisitos de ciberseguridad para los productos con elementos digitales y evitaría el solapamiento de requisitos establecidos en diferentes actos legislativos. La adopción de este Reglamento favorecería una mayor seguridad jurídica para los operadores y los usuarios de toda la Unión, así como una mejor armonización del mercado único europeo, y establecería condiciones más viables para los operadores que desearan acceder al mercado de la UE. •Subsidiariedad (en el caso de competencia no exclusiva) La importante naturaleza transfronteriza de la ciberseguridad en general y el aumento de los riesgos e incidentes, cuyas repercusiones pueden extenderse a otros países, sectores y productos, hacen que los Estados miembros por sí solos no puedan alcanzar eficazmente los objetivos de la presente intervención. Los enfoques nacionales para abordar los problemas, en particular los que introducen requisitos obligatorios, generarán una mayor inseguridad jurídica y obstáculos jurídicos adicionales. También podrían impedir a las empresas expandirse sin trabas a otros Estados miembros, privando así a los usuarios de los beneficios de sus productos. Es por tanto necesaria la acción conjunta a escala de la UE para establecer un elevado nivel de confianza entre los usuarios y aumentar el atractivo de los productos con elementos digitales de la UE. La acción conjunta también beneficiaría al mercado único digital y al mercado interior en general al proporcionar seguridad jurídica y condiciones de competencia equitativas para los fabricantes de productos con elementos digitales. En última instancia, las Conclusiones del Consejo, de 23 de mayo de 2022, sobre el desarrollo de la posición de la Unión Europea en materia de ciberseguridad, piden a la Comisión que, a más tardar a finales de 2022, proponga requisitos comunes de ciberseguridad para los dispositivos conectados. •Proporcionalidad Por lo que respecta a la proporcionalidad del Reglamento propuesto, las medidas incluidas en las opciones de actuación planteadas no rebasarían los límites estrictamente necesarios para lograr los objetivos generales y específicos y no impondrían costes desproporcionados. Más concretamente, la intervención planteada garantizaría que los productos con elementos digitales estuvieran protegidos a lo largo de todo su ciclo de vida, de forma proporcional a los riesgos presentes, mediante requisitos orientados a objetivos, tecnológicamente neutros, de un alcance razonable y, en general, coherentes con los intereses de las entidades implicadas. Los requisitos esenciales de ciberseguridad propuestos se basan en normas de uso generalizado, y el proceso de normalización subsecuente tendría en cuenta las especificidades técnicas de los productos. Esto supone que los controles de seguridad se adaptarían cuando un determinado nivel de riesgo así lo requiriera. Además, las normas horizontales previstas solo contemplarían las evaluaciones de terceros para los productos críticos. Esto solo afectaría a una pequeña parte del mercado de los productos con elementos digitales. Las repercusiones en las pymes dependerían de su presencia en el mercado de estas categorías específicas de productos. En cuanto a la proporcionalidad de los costes de la evaluación de la conformidad, los organismos notificados que llevaran a cabo las evaluaciones de terceros tendrían en cuenta el tamaño de la empresa a la hora de fijar las tasas aplicables. También se establecería un período de transición razonable de veinticuatro meses para preparar la ejecución, a fin de dar tiempo a los mercados pertinentes para que se preparen y, al mismo tiempo, proporcionar directrices claras para las inversiones en I+D. Los costes de cumplimiento para las empresas se verían compensados con creces por los beneficios que les reportaría un nivel de seguridad más elevado de los productos con elementos digitales y, en última instancia, un aumento de la confianza de los usuarios en estos productos. •Elección del instrumento Una intervención reguladora implicaría la adopción de un reglamento y no de una directiva. Esto se debe a que, para este tipo concreto de legislación sobre productos, un reglamento abordaría los problemas detectados y cumpliría los objetivos formulados con mayor eficacia, ya que se trata de una intervención que condiciona la comercialización en el mercado interior de una categoría muy amplia de productos. Para este tipo de intervención, el proceso de transposición en el caso de una directiva podría dejar un margen de discrecionalidad a nivel nacional demasiado amplio, lo que podría dar lugar a una falta de homogeneidad de determinados requisitos esenciales de ciberseguridad, inseguridad jurídica, una mayor fragmentación del mercado o incluso situaciones discriminatorias a nivel transfronterizo, más aún teniendo en cuenta que los productos afectados pueden tener múltiples fines o usos y que los fabricantes pueden producir múltiples categorías de estos productos. 3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO •Consultas con las partes interesadas La Comisión ha consultado a un amplio abanico de partes interesadas. Se invitó a los Estados miembros y a las partes interesadas a participar en la consulta pública abierta y en las encuestas y talleres organizados en el marco de un estudio realizado por un consorcio que apoya a la Comisión en sus trabajos preparatorios para la evaluación de impacto, formado por Wavestone, el Centro de Estudios Políticos Europeos (CEPS) e ICF. Entre las partes interesadas consultadas figuraban autoridades nacionales de vigilancia del mercado, órganos de la Unión cuyo trabajo se enmarca en el ámbito de la ciberseguridad, fabricantes de equipos y programas informáticos, importadores y distribuidores de equipos y programas informáticos, asociaciones comerciales, organizaciones de consumidores y usuarios de productos con elementos digitales, ciudadanos, investigadores y representantes del mundo académico, organismos notificados y de acreditación y profesionales del sector de la ciberseguridad. Estas fueron las actividades de consulta: ·Un estudio inicial realizado por un consorcio formado por ICF, Wavestone, Carsa y el CEPS, publicado en diciembre de 2021. El estudio detectó varias deficiencias del mercado y evaluó posibles intervenciones reguladoras.

·Una consulta pública abierta dirigida a los ciudadanos, las partes interesadas y expertos en ciberseguridad. Se recibieron 176 respuestas, que contribuyeron a la recopilación de opiniones y experiencias diversas de todos los grupos de partes interesadas. ·Talleres organizados en el marco del estudio que apoyó los trabajos preparatorios de la Comisión para una Ley de Ciberresiliencia, que reunieron a unos cien representantes de diversas partes interesadas de los veintisiete Estados miembros. ·Entrevistas con expertos realizadas con el objetivo de comprender mejor los retos actuales en materia de ciberseguridad que afectan a los productos con elementos digitales y debatir opciones de actuación para una posible intervención normativa. ·Debates bilaterales con las autoridades nacionales de ciberseguridad, el sector privado y las organizaciones de consumidores. ·Un acercamiento específico a las principales partes interesadas en el ámbito de las pymes. •Obtención y utilización de asesoramiento técnico Las actividades de consulta tenían por objeto obtener aportaciones sobre los cinco criterios de evaluación principales, basados en las directrices de la UE para la mejora de la legislación (eficacia, eficiencia, pertinencia, coherencia, valor añadido de la UE), así como sobre las repercusiones potenciales de las posibles opciones para el futuro. El contratista no solo se ha puesto en contacto con las partes interesadas a las que el Reglamento propuesto afectaría directamente, sino que también ha consultado a una amplia gama de expertos en el ámbito de la ciberseguridad. •Evaluación de impacto La Comisión sometió la presente propuesta a una evaluación de impacto que fue examinada por su Comité de Control Reglamentario. El 6 de julio de 2022 se celebró una reunión con dicho Comité, que al término de esta emitió un dictamen positivo. La evaluación de impacto se ajustó para tener en cuenta las recomendaciones y observaciones del Comité. La Comisión examinó diversas opciones de actuación para alcanzar el objetivo general de la propuesta: ·Enfoque de Derecho indicativo y medidas voluntarias (opción 1): en esta opción no se llevaría a cabo ninguna intervención normativa obligatoria. En su lugar, la Comisión publicaría comunicaciones, orientaciones, recomendaciones y, dado el caso, códigos de conducta para fomentar la adopción de medidas voluntarias. Los regímenes nacionales, ya fueran voluntarios u obligatorios, seguirían desarrollándose para compensar la ausencia de normas horizontales de la UE. ·Intervención normativa ad hoc para la ciberseguridad de los productos tangibles con elementos digitales y sus respectivos programas informáticos incorporados (opción 2): esta opción implicaría una intervención normativa ad hoc específica del producto que se limitaría a añadir o modificar los requisitos de ciberseguridad en la legislación ya existente o a introducir nueva legislación a medida que surgieran nuevos riesgos, incluidos los que afecten a los programas informáticos no incorporados. Las opciones 3 y 4 implican una intervención normativa horizontal de alcance variable, derivada en gran medida del nuevo marco legislativo. Este marco establece una serie de requisitos esenciales como condición para la introducción de determinados productos en el mercado interior. El nuevo marco legislativo también suele prever una evaluación de la conformidad, que es el proceso que el fabricante lleva a cabo para demostrar que se han cumplido los requisitos específicos relativos a un producto. ·Enfoque mixto que incluya normas horizontales obligatorias para la ciberseguridad de los productos tangibles con elementos digitales y sus respectivos programas informáticos incorporados y un enfoque escalonado para los programas informáticos no incorporados (opción 3): esta opción incluiría un reglamento que introduciría requisitos horizontales de ciberseguridad para todos los productos tangibles con elementos digitales, así como para los programas informáticos incorporados en ellos, como condición para su introducción en el mercado, y contaría con dos subopciones según la obligatoriedad o no de la evaluación de terceros (3i y 3ii). Los programas informáticos no incorporados no estarían regulados. ·Intervención normativa horizontal que introduzca requisitos de ciberseguridad para una amplia gama de productos tangibles e intangibles con elementos digitales, incluidos los programas informáticos no incorporados (opción 4): esta opción es similar a la opción 3, excepto por el ámbito de aplicación. La opción 4 incluiría los programas informáticos no incorporados [con dos subopciones que incluirían, respectivamente, únicamente los programas críticos (4a) o todos los programas (4b)] en el ámbito de aplicación de un posible reglamento. Para cada subopción, se contemplarían las mismas subopciones relativas a la evaluación de la conformidad que en la opción 3. La opción 4 (con las subopciones que abarcan todos los programas informáticos e implican una evaluación de terceros obligatoria para los productos críticos) se posicionó como la opción preferida sobre la base de la evaluación de la eficacia respecto de los objetivos específicos y la eficiencia entre costes y beneficios. Esta opción garantizaría el establecimiento de requisitos horizontales de ciberseguridad específicos para todos los productos con elementos digitales que se introduzcan o comercialicen en el mercado interior y sería la única opción que abarcaría toda la cadena de suministro digital. Los programas informáticos no incorporados, a menudo expuestos a vulnerabilidades, también estarían cubiertos por esta intervención normativa, lo que garantizaría un enfoque coherente respecto de todos los productos con elementos digitales y posibilitaría un reparto claro de responsabilidades entre los distintos operadores económicos. Esta opción también aporta valor añadido al cubrir aspectos relacionados con el deber de diligencia y el ciclo de vida completo tras la introducción en el mercado de los productos con elementos digitales, a fin de garantizar, entre otras cosas, el suministro de actualizaciones de seguridad e información adecuada sobre el apoyo en materia de seguridad. Esta opción también sería la que complementaría de la manera más eficaz la reciente revisión del marco SRI, ya que garantizaría el establecimiento de condiciones previas para reforzar la seguridad de la cadena de suministro. La opción preferida beneficiaría considerablemente a las distintas partes interesadas. Por lo que respecta a las empresas, evitaría la divergencia entre las normas de seguridad para los productos con elementos digitales y reduciría los costes de cumplimiento de la legislación pertinente en materia de ciberseguridad. Reduciría el número de ciberincidentes, los costes de gestión de incidentes y el daño a la reputación. Para el conjunto de la UE, se calcula que la iniciativa podría dar lugar a una reducción de los costes derivados de los incidentes que afectan a las empresas de entre 180 000 y 290 000 millones EUR anuales aproximadamente. Esto permitiría un aumento del consumo de productos con elementos digitales y, por tanto, del volumen de negocio. También mejoraría la reputación mundial de las empresas, lo que a su vez daría lugar a un aumento de la demanda también fuera de la UE. A nivel de los usuarios, la opción preferida aumentaría la transparencia de las propiedades de seguridad y facilitaría el uso de productos con elementos digitales. Los consumidores y los ciudadanos también se beneficiarían de una mejor protección de sus derechos fundamentales, como la privacidad y la protección de datos. Al pedírseles que evaluaran la eficacia de las intervenciones políticas, los participantes en la consulta pública coincidieron en que la opción 4 sería la medida más eficaz (4,08 en una escala de 1 a 5). Aquí se incluyen las valoraciones de las organizaciones de consumidores (5,00), los encuestados que se identifican como usuarios (4,22), los organismos notificados (4,17), las autoridades de vigilancia del mercado (5,00) y los productores de productos con elementos digitales (3,85), incluidas las pymes (4,05). •Adecuación y simplificación normativa

La presente propuesta establece los requisitos que se aplicarán a los fabricantes de equipos y programas informáticos. Es necesario garantizar la seguridad jurídica y evitar una mayor fragmentación del mercado con respecto a los requisitos de ciberseguridad para los productos en el mercado interior, lo que ha quedado demostrado por el amplio apoyo de las diversas partes interesadas a una intervención horizontal. La propuesta reducirá al mínimo la carga normativa para los fabricantes que tienen que manejar varios instrumentos legislativos aplicables a la seguridad de sus productos. La alineación con el nuevo marco legislativo supone un mejor funcionamiento de la intervención y su ejecución. La propuesta racionaliza el proceso de los procedimientos de salvaguardia involucrando a los fabricantes y a los Estados miembros antes de la notificación a la Comisión. Gran parte de los fabricantes que entran en el ámbito de aplicación de la propuesta ya están familiarizados con el funcionamiento del nuevo marco legislativo, lo que contribuirá a su comprensión y ejecución. La propuesta también promoverá la confianza de los consumidores y las empresas en los productos con elementos digitales. •Derechos fundamentales Se espera que todas las opciones de actuación mejoren en cierta medida la protección de los derechos y las libertades fundamentales, como la privacidad, la protección de los datos personales, la libertad de empresa y la protección de los bienes y de la dignidad y la integridad de las personas. En particular, la opción 4 preferida, consistente en intervenciones normativas horizontales y un ámbito de actuación amplio, sería la más eficaz a este respecto, puesto que es más probable que contribuya a reducir el número y la gravedad de los incidentes, incluidas las violaciones de la seguridad de los datos personales. También reforzaría la seguridad jurídica, establecería unas condiciones de competencia equitativas para los operadores económicos y aumentaría la confianza de los usuarios y el atractivo de los productos de la UE con elementos digitales en su conjunto, lo que mejoraría la protección de los bienes y las condiciones para que los operadores económicos ejerzan actividades empresariales. Los requisitos horizontales de ciberseguridad contribuirían a la seguridad de los datos personales al proteger la confidencialidad, la integridad y la disponibilidad de información en los productos con elementos digitales. El cumplimiento de estos requisitos facilitaría a su vez el cumplimiento del requisito de seguridad del tratamiento de los datos personales en virtud del Reglamento (UE) 2016/679 (Reglamento general de protección de datos). La propuesta mejoraría la transparencia y la información para los usuarios, en especial aquellos que pudieran estar menos capacitados en materia de ciberseguridad. Los usuarios también estarían mejor informados acerca de los riesgos, las capacidades y las limitaciones de los productos con elementos digitales y, por tanto, mejor preparados para adoptar las medidas preventivas y paliativas necesarias a fin de reducir los riesgos residuales. 4.REPERCUSIONES PRESUPUESTARIAS A fin de cumplir las tareas asignadas a la Agencia de la Unión Europea para la Ciberseguridad (ENISA) en virtud del mencionado Reglamento, la ENISA tendrá que reasignar unos recursos aproximados de 4,5 EJC. La Comisión tendría que asignar 7 EJC para hacer frente a las responsabilidades en materia de ejecución que le atribuiría el Reglamento. En la «ficha financiera» vinculada a esta propuesta se ofrece una descripción detallada de los costes. 5.OTROS ELEMENTOS •Planes de ejecución y modalidades de seguimiento, evaluación e información La Comisión hará un seguimiento de la ejecución, la aplicación y el cumplimiento de estas nuevas disposiciones con miras a evaluar su eficacia. El Reglamento solicitará una evaluación y revisión por parte de la Comisión y la presentación de un informe público a este respecto al Parlamento Europeo y al Consejo a más tardar treinta y seis meses después de su fecha de aplicación, y posteriormente cada cuatro años. •Explicación detallada de las disposiciones específicas de la propuesta Disposiciones generales (capítulo I) La presente propuesta de Reglamento establece: a) normas para la introducción en el mercado de productos con elementos digitales destinadas a garantizar la ciberseguridad de dichos productos; b) requisitos esenciales para el diseño, el desarrollo y la fabricación de productos con elementos digitales y las obligaciones de los operadores económicos en relación con dichos productos respecto de la ciberseguridad; c) requisitos esenciales para los procesos de gestión de las vulnerabilidades establecidos por los fabricantes para garantizar la ciberseguridad de los productos con elementos digitales a lo largo de todo el ciclo de vida y las obligaciones de los operadores económicos en relación con dichos procesos; d) normas relativas a la vigilancia del mercado y a la aplicación de los requisitos y las normas antes mencionados. El Reglamento propuesto se aplicará a todos los productos con elementos digitales cuyo uso previsto y razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red. El Reglamento propuesto no se aplicará a los productos con elementos digitales que entren en el ámbito de aplicación del Reglamento (UE) 2017/745 [productos sanitarios para uso humano y accesorios de dichos productos] y del Reglamento (UE) 2017/746 [productos sanitarios para diagnóstico in vitro de uso humano y accesorios de dichos productos], ya que ambos Reglamentos contienen requisitos relativos a los productos, incluidos los programas informáticos y las obligaciones generales de los fabricantes, que abarcan todo el ciclo de vida de los productos, así como procedimientos de evaluación de la conformidad. El presente Reglamento no se aplicará a los productos con elementos digitales que hayan sido certificados de conformidad con el Reglamento 2018/1139 [nivel elevado y uniforme de seguridad de la aviación civil], ni a los productos regulados por el Reglamento (UE) 2019/2144 [relativo a los requisitos de homologación de tipo de los vehículos de motor y de sus remolques, así como de los sistemas, componentes y unidades técnicas independientes destinados a esos vehículos]. Los productos críticos con elementos digitales estarán sujetos a procedimientos específicos de evaluación de la conformidad y se dividirán en las clases I y II según lo establecido en el anexo III, dependiendo de su nivel de riesgo de ciberseguridad, conforme al que la clase II presenta un riesgo más elevado. Un producto con elementos digitales se considera crítico y, por tanto, se incluye en el anexo III considerando las repercusiones de las posibles vulnerabilidades de ciberseguridad presentes en el producto con elementos digitales. A la hora de determinar el riesgo de ciberseguridad se tienen en cuenta la funcionalidad del producto con elementos digitales relacionada con la ciberseguridad y el uso previsto del producto en entornos sensibles, como, entre otros, el industrial. La Comisión también estará facultada para adoptar actos delegados que completen el presente Reglamento mediante el establecimiento de categorías de productos altamente críticos con elementos digitales, a cuyos fabricantes se debe exigir la obtención de un certificado europeo de ciberseguridad expedido en el marco de un esquema europeo de certificación de la ciberseguridad, a fin de demostrar la conformidad con los requisitos esenciales establecidos en el anexo I o parte de ellos. Para determinar estas categorías de productos altamente críticos con elementos digitales, la Comisión tendrá en cuenta el nivel de riesgo de ciberseguridad vinculado a cada categoría de productos con elementos digitales, a la luz de uno o varios de los criterios tomados en consideración para la inclusión de productos críticos con elementos digitales en el anexo III, así como de la evaluación que determine si dicha categoría de productos es utilizada por las entidades esenciales del tipo contemplado en el anexo [anexo I] de la Directiva [Directiva XXX/XXXX (SRI 2)], si sirve a estas entidades de referencia o si, en el futuro, podría desempeñar un papel importante para sus actividades; o bien si resulta pertinente para la resiliencia de la cadena de suministro global de productos con elementos digitales frente a las perturbaciones. Obligaciones de los operadores económicos (capítulo II) La propuesta incorpora obligaciones para los fabricantes, importadores y distribuidores sobre la base de las disposiciones de referencia previstas en la Decisión 768/2008/CE. Los requisitos y obligaciones esenciales de ciberseguridad exigen que los productos con elementos digitales solo se comercialicen si, habiendo sido suministrados debidamente, instalados de manera adecuada, mantenidos y utilizados para los fines previstos, o en condiciones de uso que se puedan prever razonablemente, cumplen los requisitos esenciales de ciberseguridad establecidos en el presente Reglamento.

Los requisitos y obligaciones esenciales obligarían a los fabricantes a tener en cuenta la ciberseguridad en el diseño, el desarrollo y la producción de los productos con elementos digitales, a actuar con la diligencia debida en lo que respecta a la seguridad al diseñar y desarrollar sus productos, a ser transparentes con respecto a los aspectos relativos a la ciberseguridad que deban ponerse en conocimiento de los clientes, a garantizar el apoyo en materia de seguridad (actualizaciones) de manera proporcionada y a cumplir los requisitos relacionados con la gestión de las vulnerabilidades. Se establecerían también obligaciones para los operadores económicos, desde los fabricantes hasta los distribuidores y los importadores, relativas a la introducción en el mercado de productos con elementos digitales, conformemente a su papel y sus responsabilidades en la cadena de suministro. Conformidad del producto con elementos digitales (capítulo III) Se presupondrá que los productos con elementos digitales que sean conformes con normas armonizadas o partes de estas cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea son conformes con los requisitos esenciales del Reglamento propuesto. Cuando no existan normas armonizadas o sean insuficientes, cuando se produzcan retrasos indebidos en el procedimiento de normalización o cuando la solicitud de la Comisión no haya sido aceptada por los organismos europeos de normalización, la Comisión podrá, mediante actos de ejecución, adoptar especificaciones comunes. Además, se presumirá que los productos con elementos digitales que hayan sido certificados o para los que se haya expedido una declaración de conformidad de la UE o un certificado en el marco de un esquema europeo de certificación de la ciberseguridad establecido en virtud del Reglamento (UE) 2019/881 y para los cuales la Comisión haya especificado, mediante acto de ejecución, que puede otorgar la presunción de conformidad con el Reglamento propuesto son conformes con los requisitos esenciales del presente Reglamento o partes de estos, en la medida en que la declaración de conformidad de la UE o el certificado de ciberseguridad, o partes de estos, contemplen dichos requisitos. Además, con el fin de evitar cargas administrativas excesivas para los fabricantes, la Comisión debe, cuando proceda, especificar si un certificado de ciberseguridad expedido en el marco de uno de estos esquemas europeos de certificación de la ciberseguridad elimina la obligación para los fabricantes de llevar a cabo una evaluación de la conformidad por parte de terceros, tal como dispone el presente Reglamento para los requisitos correspondientes. El fabricante llevará a cabo una evaluación de la conformidad del producto con elementos digitales y los procesos de gestión de las vulnerabilidades que haya establecido para demostrar la conformidad con los requisitos esenciales establecidos en el anexo I por medio de uno de los procedimientos establecidos en el anexo VI. Los fabricantes de productos críticos de las clases I y II utilizarán los módulos respectivos necesarios para su cumplimiento. Los fabricantes de productos críticos de la clase II deberán recurrir a un tercero para su evaluación de la conformidad. Notificación de los organismos de evaluación de la conformidad (capítulo IV) El funcionamiento adecuado de los organismos notificados es crucial para garantizar un nivel elevado de ciberseguridad y para que todas las partes interesadas confíen en el sistema del nuevo enfoque. Por tanto, en sintonía con la Decisión 768/2008/CE, la propuesta establece los requisitos aplicables a las autoridades nacionales responsables de los organismos de evaluación de la conformidad (organismos notificados). Deja en manos de los Estados miembros la responsabilidad final de la designación y la supervisión de los organismos notificados. Los Estados miembros designarán a una autoridad notificante que será responsable de establecer y aplicar los procedimientos necesarios para la evaluación y notificación de los organismos de evaluación de la conformidad y para la supervisión de los organismos notificados. Vigilancia del mercado y aplicación de la legislación (capítulo V) De conformidad con el Reglamento (UE) 2019/1020, las autoridades nacionales de vigilancia del mercado son responsables de efectuar la vigilancia del mercado en el territorio de ese Estado miembro. Los Estados miembros podrán optar por designar a cualquier autoridad existente o nueva para que actúe en calidad de autoridad de vigilancia del mercado, incluidas las autoridades nacionales competentes a que se refiere el artículo [artículo X] de la Directiva [Directiva XXX/XXXX (SRI 2)] y las autoridades nacionales de certificación de la ciberseguridad designadas a que se refiere el artículo 58 del Reglamento (UE) 2019/881. Se pide a los operadores económicos que cooperen plenamente con las autoridades de vigilancia del mercado y otras autoridades competentes. Poderes delegados y procedimientos de comité (capítulo VI) A fin de garantizar que el marco regulador pueda adaptarse cuando sea necesario, se delegan en la Comisión los poderes para adoptar actos con arreglo a lo dispuesto en el artículo 290 del TFUE a efectos de: actualizar la lista de productos críticos de las clases I y II y especificar las definiciones de dichos productos, especificar si es necesario limitar o excluir los productos con elementos digitales regulados por otras normas de la Unión que establecen requisitos con el mismo nivel de protección que el presente Reglamento, exigir la certificación de determinados productos altamente críticos con elementos digitales sobre la base de los criterios establecidos en el presente Reglamento, especificar el contenido mínimo de la declaración de conformidad de la UE y completar los elementos que deban incluirse en la documentación técnica. La Comisión también estará facultada para adoptar actos de ejecución con el fin de: especificar el formato o los elementos de los informes obligatorios y la nomenclatura de materiales de los programas informáticos, especificar los esquemas europeos de certificación de la ciberseguridad que puedan utilizarse para demostrar la conformidad con los requisitos esenciales o partes de estos establecidos en el presente Reglamento, adoptar especificaciones comunes, establecer especificaciones técnicas para la colocación del marcado CE y adoptar medidas correctoras o restrictivas a escala de la Unión en circunstancias excepcionales que justifiquen una intervención inmediata destinada a preservar el buen funcionamiento del mercado interior. Confidencialidad y sanciones (capítulo VII) Todas las partes que apliquen el presente Reglamento respetarán la confidencialidad de la información y los datos que obtengan en el ejercicio de sus funciones y actividades. A fin de garantizar el cumplimiento efectivo de las obligaciones establecidas en el presente Reglamento, las autoridades de vigilancia del mercado deben estar facultadas para imponer multas administrativas o solicitar su imposición. En la misma línea, el presente Reglamento establece los niveles máximos para las multas administrativas que deben recoger las legislaciones nacionales para casos de incumplimiento de las obligaciones establecidas en el presente Reglamento. Disposiciones transitorias y finales (capítulo VIII) Para que los fabricantes, los organismos notificados y los Estados miembros dispongan de tiempo suficiente para adaptarse a los nuevos requisitos, el Reglamento propuesto será aplicable [veinticuatro meses] después de su entrada en vigor, a excepción de la obligación de información de los fabricantes, que se aplicaría [doce meses] después de la fecha de entrada en vigor.





2022/0272 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales y por el que se modifica el Reglamento (UE) 2019/1020 (Texto pertinente a efectos del EEE) EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114, Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo, Visto el dictamen del Comité de las Regiones, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)Es necesario mejorar el funcionamiento del mercado interior mediante el establecimiento de un marco jurídico uniforme relativo a los requisitos esenciales de ciberseguridad para la comercialización de productos con elementos digitales en la Unión. Deben abordarse dos problemas importantes que suponen un aumento de los costes para los usuarios y la sociedad: un bajo nivel de ciberseguridad de los productos con elementos digitales, que se refleja en vulnerabilidades generalizadas y en la oferta insuficiente e incoherente de actualizaciones de seguridad para hacerles frente, y la insuficiencia de la comprensión de la información y del acceso a ella por parte de los usuarios, que les impide elegir productos con las características de ciberseguridad adecuadas o utilizarlos de manera segura. (2)El presente Reglamento tiene por objeto fijar condiciones límite que permitan el desarrollo de productos con elementos digitales seguros, garantizando que los productos consistentes en equipos y programas informáticos se introduzcan en el mercado con menos vulnerabilidades y que los fabricantes se tomen en serio la seguridad a lo largo de todo el ciclo de vida de un producto. También aspira a crear condiciones que permitan a los usuarios tener en cuenta la ciberseguridad a la hora de elegir y utilizar productos con elementos digitales. (3)La legislación pertinente de la Unión actualmente en vigor está compuesta por varios conjuntos de normas horizontales que abordan determinados aspectos relacionados con la ciberseguridad desde diferentes perspectivas, incluidas medidas para mejorar la seguridad de la cadena de suministro digital. Sin embargo, la legislación vigente de la Unión relativa a la ciberseguridad, en particular la [Directiva XXX/XXXX (SRI 2)] y el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, no aborda de manera directa los requisitos obligatorios para la seguridad de los productos con elementos digitales. (4)Aunque la legislación vigente de la Unión se aplica a determinados productos con elementos digitales, no existe un marco regulador horizontal de la Unión que establezca requisitos de ciberseguridad exhaustivos para todos los productos con elementos digitales. Los diversos actos e iniciativas adoptados hasta la fecha a escala nacional y de la Unión abordan solo de manera parcial los problemas y riesgos detectados en relación con la ciberseguridad, creando un mosaico legislativo dentro del mercado interior, aumentando la inseguridad jurídica tanto para los fabricantes como para los usuarios de dichos productos y añadiendo una carga innecesaria a las empresas vinculada al cumplimiento de una serie de requisitos para tipos de productos similares. La ciberseguridad de estos productos tiene una dimensión transfronteriza de particular importancia, ya que los productos fabricados en un país suelen ser utilizados por organizaciones y consumidores en todo el mercado interior. Por todo ello se hace necesario regular este ámbito a escala de la Unión. El panorama normativo de la Unión debe armonizarse mediante la introducción de requisitos de ciberseguridad para los productos con elementos digitales. Además, debe garantizarse una mayor seguridad jurídica para los operadores y los usuarios de toda la Unión, así como una mejor armonización del mercado único, y de este modo establecer condiciones más viables para los operadores que deseen acceder al mercado de la Unión. (5)A escala de la Unión, diversos documentos programáticos y políticos, como la Estrategia de Ciberseguridad de la UE para la Década Digital, las Conclusiones del Consejo de 2 de diciembre de 2020 y de 23 de mayo de 2022 o la Resolución del Parlamento Europeo de 10 de junio de 2021, han hecho un llamamiento a que se establezcan requisitos específicos de ciberseguridad de la Unión para los productos digitales o conectados, y varios países de todo el mundo han introducido por iniciativa propia medidas para abordar esta cuestión. En el informe final de la Conferencia sobre el Futuro de Europa, los ciudadanos pidieron «reforzar el papel de la Unión en la lucha contra las amenazas a la ciberseguridad». (6)Para aumentar el nivel general de ciberseguridad de todos los productos con elementos digitales que se comercialicen en el mercado interior, es necesario disponer de requisitos esenciales de ciberseguridad orientados a objetivos y tecnológicamente neutros que se apliquen horizontalmente a estos productos. (7)En determinadas condiciones, todos los productos con elementos digitales integrados en un sistema electrónico de información más amplio o conectados a este pueden servir de vector de ataque para agentes malintencionados. En consecuencia, incluso los equipos y programas informáticos considerados menos críticos pueden facilitar que un dispositivo o red se vea comprometido en una fase inicial, lo que permite a los agentes malintencionados obtener un acceso privilegiado a un sistema o moverse lateralmente entre sistemas. Por consiguiente, los fabricantes deben garantizar que todos los productos con elementos digitales conectables se diseñen y desarrollen de conformidad con los requisitos esenciales establecidos en el presente Reglamento. Se incluyen aquí tanto los productos que puedan conectarse físicamente, a través de interfaces en los equipos informáticos, como los que se conecten mediante conexiones lógicas, a través, por ejemplo, de zócalos, conductos, archivos, interfaces de programación de aplicaciones o cualquier otro tipo de interfaz de programa. Teniendo en cuenta que las amenazas a la ciberseguridad pueden propagarse a través de diversos productos con elementos digitales antes de alcanzar un objetivo determinado, por ejemplo, mediante el aprovechamiento sucesivo de múltiples vulnerabilidades, los fabricantes también deben garantizar la ciberseguridad de aquellos productos cuya conexión a otros dispositivos o redes es indirecta.

(8)El establecimiento de requisitos de ciberseguridad para la introducción en el mercado de productos con elementos digitales mejorará la ciberseguridad de dichos productos tanto para los consumidores como para las empresas. Entre ellos se incluyen requisitos para la introducción en el mercado de productos de consumo con elementos digitales destinados a consumidores vulnerables, como juguetes y vigilabebés. (9)El presente Reglamento garantiza un elevado nivel de ciberseguridad de los productos con elementos digitales. No regula servicios, como el software como servicio (SaaS), excepto en el caso de las soluciones de tratamiento de datos a distancia relacionadas con un producto con elementos digitales, entendido como todo tratamiento de datos a distancia para el que el programa informático haya sido diseñado y desarrollado por el fabricante del producto en cuestión o bajo la responsabilidad de dicho fabricante, y cuya ausencia impediría que el producto con elementos digitales cumpliera alguna de sus funciones. La [Directiva XXX/XXXX (SRI 2)] establece requisitos de ciberseguridad y de notificación de incidentes para las entidades esenciales e importantes, como las infraestructuras críticas, con el objetivo de aumentar la resiliencia de los servicios prestados. La [Directiva XXX/XXXX (SRI 2)] se aplica a los servicios de computación en nube y a los modelos de servicios en nube, como el SaaS. Todas las entidades que prestan servicios de computación en nube en la Unión y alcanzan o superan el umbral para las medianas empresas entran en el ámbito de aplicación de la Directiva. (10)Para no obstaculizar la innovación o la investigación, el presente Reglamento no debe aplicarse a los programas informáticos libres y de código abierto desarrollados o suministrados al margen de una actividad comercial. Este es el caso, en particular, de los programas informáticos, incluidos su código fuente y sus versiones modificadas, que se comparten abiertamente y son accesibles, utilizables, modificables y redistribuibles libremente. En el contexto de los programas informáticos, una actividad comercial puede caracterizarse no solo por la aplicación de un precio a un producto, sino también por la aplicación de un precio a los servicios de asistencia técnica, por el suministro de una plataforma de software a través de la cual el fabricante monetiza otros servicios o por el uso de datos personales por razones distintas de las relacionadas exclusivamente con la mejora de la seguridad, la compatibilidad o la interoperabilidad del programa informático. (11)Una internet segura es indispensable para el funcionamiento de las infraestructuras críticas y para la sociedad en su conjunto. La [Directiva XXX/XXXX (SRI 2)] tiene por objeto garantizar un elevado nivel de ciberseguridad de los servicios prestados por entidades esenciales e importantes, incluidos los proveedores de infraestructuras digitales que apoyan las funciones básicas de la internet abierta o garantizan el acceso a internet y los servicios de internet. Por consiguiente, es importante que los productos con elementos digitales necesarios para que los proveedores de infraestructuras digitales garanticen el funcionamiento de internet se desarrollen de manera segura y cumplan normas de seguridad de internet bien establecidas. El presente Reglamento, que se aplica a todos los productos conectables consistentes en equipos y programas informáticos, tiene también por objeto facilitar que los proveedores de infraestructuras digitales cumplan los requisitos de la cadena de suministro con arreglo a la [Directiva XXX/XXXX (SRI 2)], garantizando que los productos con elementos digitales que utilizan para prestar sus servicios se desarrollen de forma segura y que tienen acceso a actualizaciones de seguridad oportunas para dichos productos. (12)El Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo establece normas sobre los productos sanitarios y el Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo establece normas sobre los productos sanitarios para diagnóstico in vitro. Ambos Reglamentos abordan los riesgos de ciberseguridad y adoptan enfoques particulares que el presente Reglamento también aborda. Más concretamente, los Reglamentos (UE) 2017/745 y (UE) 2017/746 establecen requisitos esenciales para los productos sanitarios que funcionan a través de un sistema electrónico o que son en sí mismos programas informáticos. Estos Reglamentos también abarcan algunos tipos de programas informáticos no incorporados y el enfoque global del ciclo de vida. Estos requisitos obligan a los fabricantes a desarrollar y crear sus productos aplicando principios de gestión de riesgos y estableciendo requisitos que tengan en cuenta las medidas de seguridad informática y los procedimientos de evaluación de la conformidad correspondientes. Además, desde diciembre de 2019 existen orientaciones específicas sobre la ciberseguridad de los productos sanitarios, que proporcionan a los fabricantes de productos sanitarios, incluidos los productos para diagnóstico in vitro, orientaciones relativas al cumplimiento de todos los requisitos esenciales pertinentes relativos a la ciberseguridad establecidos en el anexo I de dichos Reglamentos. Por lo tanto, los productos con elementos digitales a los que se aplique alguno de estos Reglamentos no deben estar sujetos al presente Reglamento. (13)El Reglamento (UE) 2019/2144 del Parlamento Europeo y del Consejo establece requisitos para la homologación de tipo de los vehículos, así como de sus sistemas y componentes, a cuyo fin introduce determinados requisitos de ciberseguridad, en particular relativos al funcionamiento de un sistema de gestión de la ciberseguridad certificado y a las actualizaciones de los programas informáticos; aborda las políticas y los procesos de las organizaciones en relación con los riesgos de ciberseguridad que afectan a todo el ciclo de vida de los vehículos, los equipos y los servicios, en consonancia con los reglamentos aplicables de las Naciones Unidas sobre especificaciones técnicas y ciberseguridad; y establece procedimientos específicos de evaluación de la conformidad. En el ámbito de la aviación, el principal objetivo del Reglamento (UE) 2018/1139 del Parlamento Europeo y del Consejo es establecer y mantener un nivel elevado y uniforme de seguridad de la aviación civil en la Unión. Este Reglamento crea un marco para los requisitos esenciales de aeronavegabilidad de los productos, componentes y equipos aeronáuticos, incluidos los programas informáticos, en el que se tienen en cuenta las obligaciones relativas a la protección contra las amenazas para la seguridad de la información. Por consiguiente, los productos con elementos digitales a los que se aplica el Reglamento (UE) 2019/2144 y los productos certificados de conformidad con el Reglamento (UE) 2018/1139 no están sujetos a los requisitos esenciales ni a los procedimientos de evaluación de la conformidad establecidos en el presente Reglamento. El proceso de certificación establecido en el Reglamento (UE) 2018/1139 garantiza el nivel de garantía al que aspira el presente Reglamento. (14)El presente Reglamento establece normas horizontales en materia de ciberseguridad que no son específicas de determinados sectores o productos con elementos digitales. No obstante, podrían introducirse normas de la Unión específicas por productos o sectores que establezcan requisitos que aborden la totalidad o parte de los riesgos cubiertos por los requisitos esenciales establecidos en el presente Reglamento. En tales casos, la aplicación del presente Reglamento a los productos con elementos digitales sujetos a otras normas de la Unión que establezcan requisitos que abordan la totalidad o parte de los riesgos cubiertos por los requisitos esenciales establecidos en el anexo I del presente Reglamento podrá limitarse o excluirse siempre que dicha limitación o exclusión sea coherente con el marco regulador general aplicable a dichos productos y que las normas sectoriales alcancen un nivel de protección equivalente al previsto en el presente Reglamento. La Comisión estará facultada para adoptar actos delegados a fin de modificar el presente Reglamento mediante la especificación de dichos productos y normas. El presente Reglamento contiene disposiciones específicas que aclaran su relación con la legislación vigente de la Unión que implique la aplicación de tales limitaciones o exclusiones. (15)El Reglamento Delegado (UE) 2022/30 especifica que los requisitos esenciales establecidos en el artículo 3, apartado 3, letra d) (daños a la red y utilización inadecuada de los recursos de la red), letra e) (datos personales y privacidad) y letra f) (fraude) de la Directiva 2014/53/UE se aplican a determinados equipos radioeléctricos. [La Decisión de Ejecución XXX/2022 de la Comisión relativa a una petición de normalización dirigida a las organizaciones europeas de normalización] establece requisitos para la elaboración de normas específicas que detallan con mayor precisión cómo deben abordarse estos tres requisitos esenciales. Los requisitos esenciales establecidos por el presente Reglamento incluyen todos los elementos de los requisitos esenciales mencionados en el artículo 3, apartado 3, letras d), e) y f), de la Directiva 2014/53/UE. Además, los requisitos esenciales establecidos en el presente Reglamento se ajustan a los objetivos de los requisitos de las normas específicas incluidos en dicha petición de normalización. Por tanto, si la Comisión deroga o modifica el Reglamento Delegado (UE) 2022/30 y, en consecuencia, este deja de aplicarse a determinados productos sujetos al presente Reglamento, la Comisión y las organizaciones europeas de normalización deben tener en cuenta el trabajo de normalización llevado a cabo en el contexto de la Decisión de Ejecución C(2022)5637 de la Comisión, relativa a una petición de normalización para el Reglamento Delegado (UE) 2022/30, que completa la Directiva sobre equipos radioeléctricos, en lo que respecta a la preparación y el desarrollo de normas armonizadas para facilitar la ejecución del presente Reglamento. (16)La Directiva 85/374/CEE se complementa con el presente Reglamento. Esta Directiva establece normas en materia de responsabilidad por los daños causados por productos defectuosos, de forma que los perjudicados puedan reclamar una indemnización cuando hayan sufrido un daño derivado de dichos productos. Establece el principio de que el fabricante de un producto es responsable de los daños causados por la falta de seguridad de su producto, con independencia de la eventual existencia de culpa («responsabilidad objetiva»). Cuando dicha falta de seguridad consista en una falta de actualizaciones de seguridad posterior a la introducción del producto en el mercado, y esta cause daños, podría aplicarse la responsabilidad del fabricante. Las obligaciones de los fabricantes relativas a la provisión de actualizaciones de seguridad deben establecerse en el presente Reglamento. (17)El presente Reglamento debe entenderse sin perjuicio del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, en particular de las disposiciones para implantar mecanismos de certificación en materia de protección de datos y sellos y marcas de protección de datos a fin de demostrar la conformidad con ese Reglamento de las operaciones realizadas por los responsables y los encargados del tratamiento. Este tipo de operaciones podrían integrarse en un producto con elementos digitales. La protección de datos desde el diseño y por defecto, así como la ciberseguridad en general, son elementos clave del Reglamento (UE) 2016/679. Al proteger a los consumidores y a las organizaciones de los riesgos de ciberseguridad, los requisitos esenciales de ciberseguridad establecidos en el presente Reglamento también contribuyen a mejorar la protección de los datos personales y la privacidad de las personas. Deben tenerse en cuenta las sinergias tanto en materia de normalización como de certificación en los aspectos relativos a la ciberseguridad a través de la cooperación entre la Comisión, las organizaciones europeas de normalización, la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el Comité Europeo de Protección de Datos (CEPD) creado por el Reglamento (UE) 2016/679 y las autoridades nacionales de supervisión de la protección de datos. También deben fomentarse las sinergias entre el presente Reglamento y el Derecho de la Unión en materia de protección de datos en el ámbito de la vigilancia del mercado y la ejecución de las normas. A tal fin, las autoridades nacionales de vigilancia del mercado designadas en virtud del presente Reglamento deben cooperar con las autoridades responsables de la supervisión del Derecho de la Unión en materia de protección de datos. Estas últimas también deben tener acceso a la información pertinente para el desempeño de sus tareas. (18)En la medida en que sus productos entren en el ámbito de aplicación del presente Reglamento, los emisores de carteras de identidad digital europea a que se refiere el artículo [artículo 6 bis, apartado 2, del Reglamento (UE) n.º 910/2014, modificado por la propuesta de Reglamento por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea] deben cumplir tanto los requisitos esenciales horizontales establecidos en el presente Reglamento como los requisitos específicos de seguridad establecidos en el artículo [artículo 6 bis del Reglamento (UE) n.º 910/2014, modificado por la propuesta de Reglamento por el que se modifica el Reglamento (UE) n.º 910/2014 en lo que respecta al establecimiento de un Marco para una Identidad Digital Europea]. A fin de facilitar el cumplimiento de sus obligaciones, los emisores de carteras deben poder demostrar la conformidad de las carteras de identidad digital europea con los requisitos establecidos en cada uno de los dos actos mediante la certificación de sus productos con arreglo a un esquema europeo de certificación de la ciberseguridad establecido en virtud del Reglamento (UE) 2019/881 para el cual la Comisión haya especificado, mediante acto de ejecución, una presunción de conformidad con el presente Reglamento, en la medida en que el certificado, o partes de este, abarque dichos requisitos. (19)De conformidad con el artículo 3, apartado 2, del Reglamento (UE) 2019/881, corresponde a la ENISA desempeñar determinadas tareas previstas en el presente Reglamento. En particular, la ENISA debe recibir notificaciones de los fabricantes relativas a las vulnerabilidades aprovechadas activamente presentes en los productos con elementos digitales y a los incidentes que repercutan en la seguridad de dichos productos. La ENISA también debe transmitir estas notificaciones a los equipos de respuesta a incidentes de seguridad informática (CSIRT) pertinentes o, según corresponda, a los puntos de contacto únicos de los Estados miembros designados de conformidad con el artículo [artículo X] de la Directiva [Directiva XXX/XXXX (SRI 2)], así como informar a las autoridades de vigilancia del mercado pertinentes sobre la vulnerabilidad notificada. Sobre la base de la información que recopile, la ENISA debe elaborar un informe técnico bienal sobre las tendencias emergentes en relación con los riesgos de ciberseguridad en productos con elementos digitales y presentarlo al Grupo de Cooperación especificado en la Directiva [Directiva XXX/XXXX (SRI 2)]. Además, teniendo en cuenta sus conocimientos técnicos y su mandato, la ENISA debe poder apoyar el proceso de ejecución del presente Reglamento. En particular, debe ser capaz de proponer actividades conjuntas que las autoridades de vigilancia del mercado deberán llevar a cabo sobre la base de determinadas indicaciones o información sobre el posible incumplimiento del presente Reglamento por parte de productos con elementos digitales en varios Estados miembros, o de identificar categorías de productos para las que deban organizarse acciones de control simultáneas coordinadas. En circunstancias excepcionales que requieran una intervención inmediata para preservar el buen funcionamiento del mercado interior, la ENISA, a petición de la Comisión, debe poder llevar a cabo evaluaciones relativas a productos específicos con elementos digitales que presenten un riesgo de ciberseguridad significativo. (20)Los productos con elementos digitales deben llevar el marcado CE para acreditar su conformidad con el presente Reglamento y así poder circular libremente por el mercado interno. Los Estados miembros no deben crear obstáculos injustificados a la introducción en el mercado de productos con elementos digitales que cumplan los requisitos establecidos en el presente Reglamento y lleven el marcado CE. (21)A fin de garantizar que los fabricantes puedan publicar programas informáticos a efectos de ensayo antes de someter sus productos a la evaluación de la conformidad, los Estados miembros no deben impedir la disponibilidad de programas informáticos inacabados, como versiones alfa, beta o candidatas a la publicación, siempre y cuando la versión solo esté disponible durante el tiempo necesario para probarla y recabar información al respecto. Los fabricantes deben garantizar que los programas informáticos disponibles en estas condiciones solo se publiquen una vez que se sometan a la evaluación de riesgos y que cumplan, en la medida de lo posible, los requisitos de seguridad relativos a las propiedades de los productos con elementos digitales que establece el presente Reglamento. Los fabricantes también deben aplicar, en la medida de lo posible, los requisitos de gestión de las vulnerabilidades. Los fabricantes no deben obligar a los usuarios a actualizar las versiones publicadas únicamente a efectos de ensayo. (22)A fin de garantizar que los productos con elementos digitales no planteen riesgos de ciberseguridad para las personas y las organizaciones al ser introducidos en el mercado, deben establecerse requisitos esenciales para dichos productos. Cuando estos se modifiquen posteriormente, por medios físicos o digitales, de una manera no prevista por el fabricante y que pueda implicar que dejen de cumplir los requisitos esenciales pertinentes, dicha modificación deberá considerarse sustancial. Por ejemplo, las actualizaciones de los programas informáticos o las reparaciones pueden ser incluidas entre las operaciones de mantenimiento siempre que no modifiquen un producto ya introducido en el mercado de tal manera que puedan afectar a su observancia de los requisitos vigentes o cambiar el uso previsto para el cual se ha evaluado el producto. Al igual que en el caso de las reparaciones o modificaciones físicas, un producto con elementos digitales debe considerarse sustancialmente modificado por un cambio en los programas informáticos cuando la actualización de los programas informáticos modifique las funciones, el tipo o las prestaciones del producto previstos originalmente y ese cambio no estuviese previsto en la evaluación inicial del riesgo; o cuando la naturaleza del peligro haya cambiado o el nivel de riesgo haya aumentado debido a la actualización de los programas informáticos. (23)En consonancia con la noción comúnmente establecida de «modificación sustancial» de los productos regulados por la legislación de armonización de la Unión, cada vez que se produzca una modificación sustancial que pueda afectar al cumplimiento del presente Reglamento por parte del producto o cuando la finalidad prevista del producto cambie, conviene que se verifique la conformidad del producto con elementos digitales y que, cuando proceda, se someta a una nueva evaluación de la conformidad. En su caso, si el fabricante lleva a cabo una evaluación de la conformidad en la que participa un tercero, deben notificarse a este último los cambios que puedan dar lugar a modificaciones sustanciales. (24)La renovación, el mantenimiento y la reparación de un producto con elementos digitales, tal como se definen en el Reglamento [Reglamento sobre diseño ecológico], no conducen necesariamente a una modificación sustancial del producto, por ejemplo, si el uso previsto y las funcionalidades no se modifican y el nivel de riesgo no se ve afectado. No obstante, la mejora de un producto por parte del fabricante podría dar lugar a cambios en el diseño y el desarrollo del producto y, por tanto, podría afectar al uso previsto y a la conformidad del producto con los requisitos establecidos en el presente Reglamento. (25)Los productos con elementos digitales deben considerarse críticos si las consecuencias negativas del aprovechamiento de posibles vulnerabilidades de ciberseguridad en el producto pueden ser graves debido a, entre otras cosas, su funcionalidad relacionada con la ciberseguridad o su uso previsto. En particular, las vulnerabilidades de los productos con elementos digitales cuya funcionalidad está relacionada con la ciberseguridad, como los elementos seguros, pueden llevar a que los problemas de seguridad se propaguen a lo largo de la cadena de suministro. La gravedad de las consecuencias de un incidente de ciberseguridad también puede acrecentarse dependiendo del uso previsto del producto, como puede ocurrir en un entorno industrial o en el contexto de una entidad esencial contemplada en el anexo [anexo I] de la Directiva [Directiva XXX/XXXX (SRI 2)], así como del desempeño de funciones críticas o sensibles, como el tratamiento de datos personales. (26)Los productos críticos con elementos digitales deben estar sujetos a procedimientos de evaluación de la conformidad más estrictos, al tiempo que se garantiza un enfoque proporcionado. A tal fin, los productos críticos con elementos digitales deben dividirse en dos clases que reflejen el nivel de riesgo de ciberseguridad presente en estas categorías de productos. Un posible incidente de ciberseguridad que afecte a productos de la clase II podría tener repercusiones negativas de mayor gravedad que un incidente que afecte a productos de la clase I, por ejemplo, debido a la naturaleza de su función vinculada a la ciberseguridad o su uso previsto en entornos sensibles, por lo que estos productos deben someterse a un procedimiento de evaluación de la conformidad más estricto. (27)Las categorías de productos críticos con elementos digitales a que se refiere el anexo III del presente Reglamento deben entenderse como productos cuya funcionalidad principal se enumera en el anexo III del presente Reglamento. Por ejemplo, el anexo III del presente Reglamento incluye en la clase II los productos que se definen, por su funcionalidad principal, como microprocesadores de uso general. Como consecuencia de ello, los microprocesadores de uso general están sujetos a una evaluación de la conformidad por parte de terceros obligatoria. Esto no sucede con otros productos que no se mencionan explícitamente en el anexo III del presente Reglamento y que pueden llevar incorporado un microprocesador de uso general. La Comisión debe adoptar actos delegados [a más tardar doce meses después de la entrada en vigor del presente Reglamento] para especificar las definiciones de las categorías de productos comprendidas en las clases I y II, tal como se dispone en el anexo III.

(28)El presente Reglamento aborda los riesgos de ciberseguridad de una manera específica. Sin embargo, los productos con elementos digitales podrían plantear otros riesgos para la seguridad ajenos a la ciberseguridad. Estos riesgos deben seguir estando regulados por otra legislación pertinente de la Unión sobre productos. Si ninguna otra legislación de armonización de la Unión es aplicable, los productos deben estar sujetos al Reglamento [Reglamento relativo a la seguridad general de los productos]. Por consiguiente, habida cuenta del carácter específico del presente Reglamento, no obstante lo dispuesto en el artículo 2, apartado 1, párrafo tercero, letra b), del Reglamento [Reglamento relativo a la seguridad general de los productos], el capítulo III, sección 1, los capítulos V y VII y los capítulos IX a XI del Reglamento [Reglamento relativo a la seguridad general de los productos] deben ser aplicables a los productos con elementos digitales en lo que respecta a los riesgos para la seguridad no contemplados en el presente Reglamento, a condición de que dichos productos no estén sujetos a requisitos específicos impuestos por otra legislación de armonización de la Unión a los efectos del [artículo 3, punto 25, del Reglamento relativo a la seguridad general de los productos]. (29)Los productos con elementos digitales considerados sistemas de inteligencia artificial (IA) de alto riesgo con arreglo al artículo 6 del Reglamento [Reglamento sobre IA] que entren en el ámbito de aplicación del presente Reglamento deben cumplir los requisitos esenciales establecidos en el presente Reglamento. Cuando estos sistemas de IA de alto riesgo cumplan los requisitos esenciales del presente Reglamento, debe considerarse que cumplen los requisitos de ciberseguridad establecidos en el artículo [artículo 15] del Reglamento [Reglamento sobre IA] en la medida en que dichos requisitos estén contemplados en la declaración UE de conformidad expedida en virtud del presente Reglamento o en partes de esta. Por lo que se refiere a los procedimientos de evaluación de la conformidad relativos a los requisitos esenciales de ciberseguridad de un producto con elementos digitales sujeto al presente Reglamento y considerado sistema de IA de alto riesgo, las disposiciones pertinentes del artículo 43 del Reglamento [Reglamento sobre IA] deben aplicarse como norma general en lugar de las respectivas disposiciones del presente Reglamento. Sin embargo, esta norma no debe dar lugar a una reducción del nivel de garantía necesario para los productos críticos con elementos digitales sujetos al presente Reglamento. Por consiguiente, no obstante lo dispuesto en esta norma, los sistemas de IA de alto riesgo que entren en el ámbito de aplicación del Reglamento [Reglamento sobre IA], que asimismo se consideren productos críticos con elementos digitales con arreglo al presente Reglamento y a los que se aplique el procedimiento de evaluación de la conformidad basado en el control interno especificado en el anexo VI del Reglamento [Reglamento sobre IA] deben estar sujetos a las disposiciones relativas a la evaluación de la conformidad incluidas en el presente Reglamento en la medida en que se refieran a los requisitos esenciales del presente Reglamento. En este caso, para todos los demás aspectos que entren en el ámbito de aplicación del Reglamento [Reglamento sobre IA], deben aplicarse las respectivas disposiciones relativas a la evaluación de la conformidad basadas en el control interno establecidas en el anexo VI del Reglamento [Reglamento sobre IA]. (30)Las máquinas y sus partes y accesorios que entren en el ámbito de aplicación del Reglamento [propuesta de Reglamento sobre máquinas], que sean productos con elementos digitales a los efectos del presente Reglamento y para los que se haya expedido una declaración de conformidad sobre la base del presente Reglamento deben presumirse conformes con los requisitos esenciales de salud y seguridad establecidos en el [anexo III, secciones 1.1.9 y 1.2.1] del Reglamento [propuesta de Reglamento sobre máquinas], en lo que respecta a la protección contra la corrupción y la seguridad y fiabilidad de los sistemas de mando, en la medida en que la declaración UE de conformidad emitida en virtud del presente Reglamento demuestre el cumplimiento de dichos requisitos. (31)El Reglamento [propuesta de Reglamento sobre el espacio europeo de datos sanitarios] completa los requisitos esenciales establecidos en el presente Reglamento. Por tanto, los sistemas de historiales médicos electrónicos («sistemas HME») que entren en el ámbito de aplicación del Reglamento [propuesta de Reglamento sobre el espacio europeo de datos sanitarios] y sean productos con elementos digitales a los efectos del presente Reglamento también deben cumplir los requisitos esenciales establecidos en el presente Reglamento. Sus fabricantes deben demostrar la conformidad con arreglo a lo dispuesto en el Reglamento [propuesta de Reglamento sobre el espacio europeo de datos sanitarios]. A fin de facilitar el cumplimiento, los fabricantes pueden elaborar una única documentación técnica que contenga los elementos requeridos por ambos actos jurídicos. Dado que el presente Reglamento no regula el SaaS propiamente dicho, los sistemas HME que se ofrezcan a través del modelo de concesión de licencias y distribución del SaaS no entran en el ámbito de aplicación del presente Reglamento. Del mismo modo, los sistemas HME desarrollados y utilizados internamente no entran en el ámbito de aplicación del presente Reglamento, ya que no se introducen en el mercado. (32)Para garantizar que los productos con elementos digitales sean seguros tanto en el momento de su introducción en el mercado como a lo largo de su ciclo de vida, es necesario establecer requisitos esenciales para la gestión de las vulnerabilidades y requisitos esenciales de ciberseguridad relativos a las propiedades de los productos con elementos digitales. Si bien los fabricantes deben cumplir todos los requisitos esenciales en relación con la gestión de las vulnerabilidades y garantizar que todos sus productos se entreguen sin ninguna vulnerabilidad aprovechable conocida, también deben determinar qué otros requisitos esenciales relacionados con las propiedades del producto son pertinentes para el tipo de producto de que se trate. A tal fin, los fabricantes deben llevar a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con elementos digitales para determinar los riesgos y los requisitos esenciales pertinentes y aplicar adecuadamente las normas armonizadas o especificaciones comunes apropiadas. (33)Para mejorar la seguridad de los productos con elementos digitales comercializados en el mercado interior, es necesario establecer requisitos esenciales. Dichos requisitos deben entenderse sin perjuicio de las evaluaciones coordinadas de riesgos de la UE que se efectúen con respecto a las cadenas de suministro críticas, según lo establecido en el [artículo X] de la Directiva [Directiva XXX/XXXX (SRI 2)], que tienen en cuenta factores de riesgo tanto técnicos como, cuando proceda, de otra índole, por ejemplo la influencia indebida de un tercer país sobre los proveedores. Además, sin perjuicio de las prerrogativas de los Estados miembros y con el fin de garantizar un alto nivel de resiliencia, deben establecerse requisitos adicionales que tengan en cuenta los factores no técnicos, incluidos los definidos en la Recomendación (UE) 2019/534, en la evaluación coordinada de riesgos a escala de la Unión de la seguridad de las redes 5G y en el conjunto de instrumentos de la UE para la ciberseguridad de las redes 5G acordado por el Grupo de Cooperación SRI a que hace referencia la [Directiva XXX/XXXX (SRI 2)]. (34)Para garantizar que los CSIRT nacionales y los puntos de contacto únicos designados de conformidad con el artículo [artículo X] de la Directiva [Directiva XX/XXXX (SRI 2)] reciban la información necesaria para desempeñar sus funciones y aumentar el nivel general de ciberseguridad de las entidades esenciales e importantes, así como para garantizar el funcionamiento efectivo de las autoridades de vigilancia del mercado, los fabricantes de productos con elementos digitales deben notificar a la ENISA las vulnerabilidades que se estén aprovechando activamente. Dado que la mayoría de los productos con elementos digitales se comercializan en todo el mercado interior, cualquier vulnerabilidad aprovechada en un producto con elementos digitales debe considerarse una amenaza para el funcionamiento del mercado interior. Los fabricantes también deben considerar la posibilidad de divulgar las vulnerabilidades subsanadas en la base de datos europea de vulnerabilidades creada en virtud de la Directiva [Directiva XX/XXXX (SRI 2)] y gestionada por la ENISA o en cualquier otra base de datos de vulnerabilidades que sea de acceso público. (35)Los fabricantes también deben notificar a la ENISA cualquier incidente que repercuta en la seguridad del producto con elementos digitales. Sin perjuicio de las obligaciones de notificación de incidentes establecidas en la Directiva [Directiva XXX/XXXX (SRI 2)] para las entidades esenciales e importantes, es fundamental que los fabricantes de productos con elementos digitales proporcionen a la ENISA, a los puntos de contacto únicos designados por los Estados miembros de conformidad con el artículo [artículo X] de la Directiva [Directiva XXX/XXXX (SRI 2)] y a las autoridades de vigilancia del mercado información que les permita evaluar la seguridad de dichos productos. Para garantizar que los usuarios puedan reaccionar rápidamente ante incidentes que repercutan en la seguridad de sus productos con elementos digitales, los fabricantes también deben informar a sus usuarios sobre cualquier incidente de este tipo y, en su caso, sobre las medidas correctoras que los usuarios puedan adoptar para mitigar las repercusiones del incidente, por ejemplo, mediante la publicación de la información pertinente en sus sitios web o, cuando el fabricante pueda ponerse en contacto con los usuarios y los riesgos lo justifiquen, comunicándose directamente con ellos. (36)Los fabricantes de productos con elementos digitales deben establecer políticas de divulgación coordinada de las vulnerabilidades para facilitar la notificación de vulnerabilidades por parte de particulares o entidades. Una política de divulgación coordinada de vulnerabilidades debe especificar un proceso estructurado a través del cual las vulnerabilidades se notifican al fabricante de tal manera que este pueda diagnosticar y subsanar las vulnerabilidades antes de que se revele información detallada sobre ellas a terceros o al público. Dado que la información sobre vulnerabilidades aprovechables en productos de uso generalizado con elementos digitales puede venderse a precios elevados en el mercado negro, los fabricantes de estos productos, como parte de sus políticas de divulgación coordinada de vulnerabilidades, deben poder utilizar programas para incentivar la notificación de vulnerabilidades, garantizando que las personas o las entidades reciban reconocimiento y compensación por sus esfuerzos (los denominados «programas de recompensa por detección de errores» o «bug bounty»). (37)A fin de facilitar el análisis de las vulnerabilidades, los fabricantes deben especificar y documentar los componentes contenidos en los productos con elementos digitales, en particular mediante la elaboración de una nomenclatura de materiales de los programas informáticos. Una nomenclatura de materiales de los programas informáticos puede proporcionar a quienes fabrican, compran y utilizan dichos programas información que mejore su comprensión de la cadena de suministro, lo que tiene múltiples beneficios, sobre todo ayudar a los fabricantes y a los usuarios a rastrear las vulnerabilidades y los riesgos conocidos de reciente aparición. Es de particular importancia que los fabricantes garanticen que sus productos no contengan componentes vulnerables desarrollados por terceros. (38)A fin de facilitar la evaluación de la conformidad con los requisitos establecidos en el presente Reglamento, debe aplicarse una presunción de conformidad de los productos con elementos digitales que sean conformes con normas armonizadas que plasmen los requisitos esenciales del presente Reglamento en especificaciones técnicas detalladas y se adopten con arreglo al Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo. El Reglamento (UE) n.º 1025/2012 establece un procedimiento de presentación de objeciones a las normas armonizadas para el caso en que estas no cumplan plenamente los requisitos del presente Reglamento. (39)El Reglamento (UE) 2019/881 establece un marco europeo voluntario de certificación de la ciberseguridad para productos, procesos y servicios de TIC. Los esquemas europeos de certificación de la ciberseguridad pueden aplicarse a productos con elementos digitales regulados por el presente Reglamento. El presente Reglamento debe crear sinergias con el Reglamento (UE) 2019/881. A fin de facilitar la evaluación de la conformidad con los requisitos establecidos en el presente Reglamento, se presupondrá que los productos con elementos digitales que hayan sido certificados o para los que se haya expedido una declaración de conformidad en el marco de un esquema de ciberseguridad establecido en virtud del Reglamento (UE) 2019/881 y reconocido por la Comisión mediante acto de ejecución son conformes con los requisitos esenciales del presente Reglamento en la medida en que el certificado de ciberseguridad o la declaración de conformidad, o partes de estos, cubran dichos requisitos. La necesidad de nuevos esquemas europeos de certificación de la ciberseguridad para productos con elementos digitales debe evaluarse a la luz del presente Reglamento. Estos futuros esquemas europeos de certificación de la ciberseguridad que se apliquen a productos con elementos digitales deben tener en cuenta los requisitos esenciales establecidos en el presente Reglamento y facilitar su cumplimiento. La Comisión debe estar facultada para especificar, mediante actos de ejecución, los esquemas europeos de certificación de la ciberseguridad que puedan utilizarse para demostrar la conformidad con los requisitos esenciales establecidos en el presente Reglamento. Además, con el fin de evitar cargas administrativas excesivas para los fabricantes, la Comisión debe, cuando proceda, especificar si un certificado de ciberseguridad expedido en el marco de dichos esquemas europeos de certificación de la ciberseguridad elimina la obligación para los fabricantes de llevar a cabo una evaluación de la conformidad por parte de terceros, tal como dispone el presente Reglamento para los requisitos correspondientes. (40)Tras la entrada en vigor del acto de ejecución por el que se establece el [Reglamento de Ejecución (UE) n.º .../... de la Comisión, de XXX, relativo al esquema europeo de certificación de la ciberseguridad basado en criterios comunes], que regula los productos consistentes en equipos informáticos sujetos al presente Reglamento, como los módulos de seguridad y los microprocesadores de los equipos informáticos, la Comisión podrá especificar, mediante acto de ejecución, el modo en que el esquema europeo de certificación de la ciberseguridad supone la presunción de conformidad con los requisitos esenciales especificados en el anexo I del presente Reglamento o partes de estos. Además, dicho acto de ejecución podrá especificar la medida en que un certificado expedido en virtud del esquema europeo de certificación de la ciberseguridad exime a los fabricantes de la obligación de llevar a cabo una evaluación de terceros, tal como exige el presente Reglamento para los requisitos correspondientes. (41)Cuando no se adopten normas armonizadas o cuando las normas armonizadas no tengan suficientemente en cuenta los requisitos esenciales del presente Reglamento, la Comisión debe poder adoptar especificaciones comunes mediante actos de ejecución. Las razones para elaborar estas especificaciones comunes en lugar de basarse en normas armonizadas pueden incluir la denegación de la solicitud de normalización por parte de cualquiera de los organismos europeos de normalización, retrasos indebidos en el establecimiento de normas armonizadas apropiadas o la falta de conformidad de las normas establecidas con los requisitos del presente Reglamento o con una petición de la Comisión. Para facilitar la evaluación de la conformidad con los requisitos esenciales establecidos en el presente Reglamento, debe presuponerse la conformidad de los productos con elementos digitales que sean conformes con las especificaciones comunes adoptadas por la Comisión con arreglo al presente Reglamento a fin de indicar las especificaciones técnicas detalladas de dichos requisitos. (42)Los fabricantes deben elaborar una declaración UE de conformidad a fin de aportar la información requerida por el presente Reglamento sobre la conformidad de los productos con elementos digitales con los requisitos esenciales del presente Reglamento y, cuando proceda, de otra legislación de armonización de la Unión aplicable al producto. También puede obligarse a los fabricantes a preparar una declaración UE de conformidad con arreglo a otras normas de la Unión. Para garantizar un acceso efectivo a la información con fines de vigilancia del mercado, deberá prepararse una única declaración UE de conformidad relativa al cumplimiento de todos los actos pertinentes de la Unión. A fin de reducir las cargas administrativas para los operadores económicos, dicha declaración única de la UE ha de poder consistir en un expediente compuesto por cada una de las correspondientes declaraciones de conformidad. (43)El marcado CE, que indica la conformidad de un producto, es el resultado visible de todo un proceso que comprende la evaluación de la conformidad en sentido amplio. Los principios generales por los que se rige el marcado CE se establecen en el Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo. En el presente Reglamento deben establecerse normas relativas a la colocación del marcado CE en productos con elementos digitales. El marcado CE debe ser el único marcado que garantice que los productos con elementos digitales cumplen con los requisitos del presente Reglamento. (44)Para que los operadores económicos puedan demostrar la conformidad con los requisitos esenciales establecidos en el presente Reglamento y para que las autoridades de vigilancia del mercado puedan garantizar que los productos con elementos digitales comercializados cumplen dichos requisitos, es necesario establecer procedimientos de evaluación de la conformidad. La Decisión n.º 768/2008/CE del Parlamento Europeo y del Consejo establece módulos de procedimientos de evaluación de la conformidad proporcionales al nivel de riesgo existente y al nivel de seguridad requerido. Para garantizar la coherencia intersectorial y evitar variantes ad hoc, los procedimientos de evaluación de la conformidad adecuados para verificar la conformidad de los productos con elementos digitales con los requisitos esenciales establecidos en el presente Reglamento se han basado en dichos módulos. Los procedimientos de evaluación de la conformidad deben examinar y verificar los requisitos relacionados con los productos y los procesos que abarcan todo el ciclo de vida de los productos con elementos digitales, en particular la planificación, el diseño, el desarrollo o la producción, los ensayos y el mantenimiento del producto. (45)Como norma general, el fabricante debe llevar a cabo la evaluación de la conformidad de los productos con elementos digitales bajo su propia responsabilidad mediante un procedimiento basado en el módulo A de la Decisión n.º 768/2008/CE. El fabricante deberá ser flexible en lo que se refiere a la elección de un procedimiento de evaluación de la conformidad más estricto en el que participe un tercero. Si el producto está considerado producto crítico de la clase I, se requieren garantías adicionales para demostrar la conformidad con los requisitos esenciales establecidos en el presente Reglamento. Si el fabricante desea llevar a cabo la evaluación de la conformidad bajo su propia responsabilidad (módulo A), debe aplicar normas armonizadas, especificaciones comunes o esquemas de certificación de la ciberseguridad con arreglo al Reglamento (UE) 2019/881 que hayan sido reconocidos por la Comisión mediante acto de ejecución. Si el fabricante no aplica estas normas armonizadas, especificaciones comunes o esquemas de certificación de la ciberseguridad, debe someterse a una evaluación de la conformidad en la que participe un tercero. Teniendo en cuenta la carga administrativa de los fabricantes y el hecho de que la ciberseguridad desempeña un papel importante en la fase de diseño y desarrollo de productos tangibles e intangibles con elementos digitales, los procedimientos de evaluación de la conformidad basados, respectivamente, en los módulos B + C o H de la Decisión n.º 768/2008/CE han sido elegidos como los más adecuados para evaluar la conformidad de los productos críticos con los elementos digitales de manera proporcionada y eficaz. El fabricante que opte por la evaluación de la conformidad de terceros puede elegir el procedimiento que mejor se adapte a su proceso de diseño y producción. Habida cuenta del riesgo de ciberseguridad aún mayor asociado al uso de productos clasificados como productos críticos de la clase II, la evaluación de la conformidad de estos productos siempre debe contar con la participación de un tercero. (46)Si bien la creación de productos tangibles con elementos digitales suele exigir a los fabricantes un esfuerzo considerable a lo largo de las fases de diseño, desarrollo y producción, la creación de productos con elementos digitales en forma de programas informáticos se centra casi exclusivamente en el diseño y el desarrollo, mientras que la fase de producción desempeña un papel menor. No obstante, en muchos casos, los productos consistentes en programas informáticos aún tienen que compilarse, integrarse, empaquetarse, hacerse disponibles para su descarga o copiarse en soportes físicos antes de su introducción en el mercado. Estas actividades deben considerarse como equivalentes a la fase de producción cuando se apliquen los módulos de evaluación de la conformidad pertinentes para verificar la conformidad del producto con los requisitos esenciales del presente Reglamento a lo largo de las fases de diseño, desarrollo y producción. (47)Las autoridades notificantes nacionales deben informar a la Comisión y a los demás Estados miembros acerca de los organismos que realizarán la evaluación de la conformidad por parte de terceros de los productos con elementos digitales, siempre y cuando cumplan una serie de requisitos, fundamentalmente en lo que respecta a su independencia, sus competencias y la ausencia de conflictos de intereses.

(48)Para garantizar un mismo nivel de calidad en la evaluación de la conformidad de los productos con elementos digitales, también es necesario establecer los requisitos que deben cumplir las autoridades notificantes y otros organismos que participen en la evaluación, la notificación y la supervisión de los organismos notificados. El sistema que dispone el presente Reglamento debe complementarse con el sistema de acreditación establecido en el Reglamento (CE) n.º 765/2008. Puesto que la acreditación es un medio esencial para comprobar la competencia de los organismos de evaluación de la conformidad, debe utilizarse también a efectos de notificación. (49)Una acreditación transparente como la prevista en el Reglamento (CE) n.º 765/2008, que garantice el nivel de confianza necesario en los certificados de conformidad, debe ser considerada por las autoridades públicas nacionales de toda la Unión la forma más adecuada de demostrar la competencia técnica de dichos organismos de evaluación. No obstante,