Opinión A estas normas, dirigidas principalmente a las organizaciones, se suma una regulación específica centrada en la seguridad de los productos. El Reglamento (UE) 2024/2847 de Ciberresiliencia, conocido como Cyber Resilience Act (CRA), fue publicado el 20 de noviembre de 2024 y entró en vigor el 10 de diciembre de ese mismo año. Esta normativa establece requisitos de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea, incorpora los principios de seguridad desde el diseño y por defecto, y obliga a los fabricantes a gestionar las vulnerabilidades durante el periodo de soporte del producto. Su aplicación se realiza de forma escalonada. Desde el 11 de junio se aplican las disposiciones relativas a la notificación de los organismos de evaluación de la conformidad; y desde el 11 de septiembre, las obligaciones de notificación de vulnerabilidades explotadas activamente y de incidentes graves que afecten a la seguridad de los productos. La aplicación general del Reglamento está prevista para el 11 de diciembre de 2027. Los sistemas biométricos y determinados productos de gestión de accesos se encuentran entre las categorías sometidas a requisitos reforzados. Organización y producto son piezas del mismo engranaje: quien está sujeto a NIS2 o a CER debe evaluar y justificar los riesgos asociados a su cadena de suministro, y el fabricante debe aportar evidencias verificables sobre la seguridad de su producto y sobre la gestión de sus vulnerabilidades. ENS y CPSTIC En España, el Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, publicado el 4 de mayo de 2022 y en vigor desde el día siguiente, es el marco de referencia para las entidades del sector público y para los sistemas de información de las entidades del sector privado que les prestan servicios o proveen soluciones dentro de su ámbito de aplicación. El ENS certifica sistemas de información y organizaciones dentro de un alcance determinado, no productos aislados. El ENS exige considerar la utilización de productos evaluados o certificados conforme a estándares reconocidos y, en especial, los productos cualificados incluidos en el Catálogo de Productos y Servicios de Seguridad TIC (CPSTIC) del Centro Criptológico Nacional (CCN). En sistemas de categoría media o alta, la utilización de productos certificados adquiere un peso particular; cuando se adopta una alternativa, la decisión debe sustentarse adecuadamente en el análisis de riesgos. La incorporación de un producto al CPSTIC exige evidencias de seguridad obtenidas mediante los procesos admitidos por el CCN para la categoría correspondiente. Estos procesos pueden incluir certificaciones LINCE o Common Criteria, así como otras evaluaciones STIC previstas por el esquema del catálogo. Se trata de evaluaciones independientes de seguridad, no de una mera declaración del fabricante. No existe un esquema oficial europeo de certificación NIS2 creado por la propia directiva. En España, el ENS puede actuar como referencia y aportar evidencias de cumplimiento de una parte relevante de los requisitos de la directiva, sin que ambas figuras sean equivalentes ni una certificación ENS acredite por sí sola el cumplimiento íntegro de NIS2. Conviene distinguir el alcance de cada certificación o esquema. El proyecto de ley español de transposición de CER prevé, además, un esquema nacional de certificación en materia de resiliencia de entidades críticas. Mientras el texto no culmine su tramitación, debe entenderse como una previsión legislativa y no como una obligación ya vigente. Cumplimiento y evidencias Este escenario cambia la forma de comprar. Una entidad sujeta a NIS2 debe po- / Noviembre-Diciembre 2026 67
RkJQdWJsaXNoZXIy MTI4MzQz