CRA: productos con elementos digitales, no servicios

El Reglamento de Ciberresiliencia (CRA) se centra en productos de hardware y software que contienen componentes digitales, como dispositivos inteligentes, sistemas operativos o aparatos del internet de las cosas (IoT). No regula servicios como la computación en nube o las plataformas en línea. La distinción clave se establece respecto de NIS2, que se ocupa de la ciberseguridad de las organizaciones y sus servicios, no de los propios productos. Si una pregunta menciona un termostato inteligente o un juguete conectado, piense en el CRA; si menciona un hospital o un banco, piense en NIS2.

Para evitar confundirlos, recuerde que el CRA abarca objetos que se pueden comprar e instalar, mientras que NIS2 abarca entidades que prestan servicios críticos. Otra pista: el CRA se aplica a los productos introducidos en el mercado de la UE con independencia del lugar donde esté establecido el fabricante. Si un supuesto describe el requisito de actualizar el software de un rúter, corresponde al ámbito del CRA. Para realizar una eliminación rápida, pregúntese: ¿se trata de un producto tangible o de las operaciones de una organización? La respuesta indica cuál es el reglamento correcto.

Una forma concisa de ponerse a prueba: si una pregunta enumera un altavoz inteligente, un vehículo conectado y un servicio en la nube, ¿cuáles están incluidos en el CRA? Los dos primeros, porque son productos con elementos digitales; el servicio en la nube es un servicio, por lo que está incluido en NIS2. Tenga presente esta distinción entre producto y servicio y no confundirá ambas normas.