Nuestro dispositivo conectado y las normas de ciberseguridad

La Directiva sobre equipos radioeléctricos 2014/53/UE contiene desde siempre requisitos de ciberseguridad en su artículo 3, apartado 3: los equipos radioeléctricos no deben dañar la red ni hacer un uso indebido de sus recursos (letra d)), deben incorporar salvaguardias para los datos personales y la privacidad (letra e)) y deben admitir funciones que protejan contra el fraude (letra f)). Esos requisitos solo son exigibles a las categorías que la Comisión designa mediante un acto delegado.^[1]

Las designa el Reglamento Delegado (UE) 2022/30. La letra d) se aplica a los equipos radioeléctricos conectados a internet; la letra e), a los equipos radioeléctricos conectados a internet, a los equipos radioeléctricos de puericultura, a los juguetes radioeléctricos y a los equipos radioeléctricos para llevar puestos que pueden tratar datos personales, de tráfico o de localización; la letra f), a los equipos radioeléctricos conectados a internet que permiten al titular transferir dinero, valor monetario o moneda virtual (artículo 1). Quedan excluidos los productos sanitarios y los productos sanitarios para diagnóstico in vitro; los equipos radioeléctricos que también estén regulados por el Reglamento (UE) 2018/1139 (aviación civil), el Reglamento (UE) 2019/2144 (homologación de tipo de los vehículos de motor) o la Directiva (UE) 2019/520 (peaje electrónico en carretera) quedan excluidos de las letras e) y f) (artículo 2). Tras su modificación por el Reglamento Delegado (UE) 2023/2444, se aplica desde el 1 de agosto de 2025 (artículo 3).^[2]

Las normas armonizadas EN 18031-1, -2 y -3:2024 se publicaron con restricciones. No otorgan presunción de conformidad en sus secciones de justificación y orientación, ni cuando se permite al usuario no establecer ni utilizar ninguna contraseña, y la EN 18031-2 tampoco para los equipos a los que se refieren sus apartados 6.1.3 a 6.1.6 cuando no se garantiza el control de acceso parental o del tutor (Decisión de Ejecución (UE) 2025/138, anexo). Cuando el fabricante no ha aplicado las normas armonizadas para los requisitos del artículo 3, apartado 3, o solo las ha aplicado en parte, el equipo debe someterse al examen UE de tipo o al aseguramiento de la calidad total (Directiva sobre equipos radioeléctricos, artículo 17, apartado 4).^[3]

El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, es la capa siguiente. Se aplica a los productos con elementos digitales cuyo uso previsto o razonablemente previsible incluye una conexión de datos a un dispositivo o a una red (artículo 2, apartado 1). Se aplica desde el 11 de diciembre de 2027, pero las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026 y las normas sobre organismos notificados, desde el 11 de junio de 2026 (artículo 71, apartado 2). Los fabricantes notifican las vulnerabilidades activamente explotadas con una alerta temprana en un plazo de 24 horas y una notificación en un plazo de 72 horas desde que tengan conocimiento de ellas, y un informe final en un plazo de 14 días desde que se disponga de una corrección (artículo 14, apartados 1 y 2); los incidentes graves se notifican del mismo modo (artículo 14, apartados 3 y 4). El Reglamento Delegado (UE) 2026/339 deroga el Reglamento Delegado (UE) 2022/30 con efectos desde el 11 de diciembre de 2027 (artículo 1).^[4][5]