Vender un producto con software puede exigir revisar el Reglamento de Ciberresiliencia, pero el calendario no es igual para todas sus obligaciones. ¿Estás comprobando las primeras reglas aplicables o dando por obligatorio ya todo el sistema?
El reglamento europeo sitúa su aplicación general en diciembre de 2027 y adelanta determinadas disposiciones. Entre ellas, las obligaciones de información de los fabricantes del artículo 14 se aplican desde septiembre de 2026. Antes de organizar la respuesta, identifica el producto y el papel de tu empresa en su comercialización.
Empieza por el producto y por tu función
No es lo mismo fabricar un producto, introducirlo en el mercado o distribuirlo. Tampoco basta con que una empresa utilice software en su trabajo para concluir que cualquier obligación del reglamento se le aplica de la misma manera.
Describe qué vendes y qué elementos digitales incorpora. Después revisa con el proveedor y con los responsables técnicos cómo se actualiza, quién atiende las incidencias y qué documentación existe sobre el producto. Esa información permite estudiar su encaje sin partir de una etiqueta genérica.
El reglamento contiene un ámbito y exclusiones propios. Si desconoces cómo se clasifica el producto, acláralo antes de utilizar una lista de obligaciones preparada para otro tipo de operador. Esta guía no certifica la conformidad de un producto concreto.
Las primeras obligaciones no equivalen a la aplicación de todo el reglamento
El artículo 71 fija la aplicación general a partir del 11 de diciembre de 2027. Adelanta el artículo 14 al 11 de septiembre de 2026 y el capítulo sobre notificación de organismos de evaluación al 11 de junio de 2026.
Esas fechas obligan a distinguir qué regla estás revisando. Una empresa puede necesitar preparar información o un procedimiento antes de que resulte aplicable el conjunto de requisitos. Al mismo tiempo, no conviene adelantar cualquier obligación sin leer su fecha y destinatario.
| Plano | Qué debes identificar |
|---|---|
| Producto y operador | Qué comercializas y qué papel tiene tu empresa |
| Disposición concreta | Qué obligación estás estudiando y a quién se dirige |
| Calendario | Desde cuándo se aplica esa disposición |
Guarda la referencia normativa utilizada en la revisión. Si un proveedor afirma que «todavía no hace falta nada», pídele que concrete a qué artículo y función se refiere. La fecha general no responde por sí sola a las disposiciones adelantadas.
La información de los fabricantes requiere una organización previa
El artículo 14 regula la notificación de vulnerabilidades aprovechadas activamente e incidentes graves que afectan a la seguridad del producto. Su destinatario es el fabricante y prevé comunicaciones a las autoridades que identifica el propio reglamento.
Para preparar ese circuito necesitas saber quién recibe las incidencias, quién valora su alcance y quién decide qué comunicación corresponde. La revisión debe contar con conocimientos técnicos sobre el producto; no puede descansar únicamente en quien lleva las facturas o responde el correo comercial.
Documenta cómo llega la información desde distribuidores, clientes y proveedores. Si nadie sabe dónde comunicar un problema, la empresa puede perder tiempo antes incluso de empezar a valorar qué ha sucedido.
Pregunta al proveedor por el soporte real del producto
Antes de continuar una comercialización, pide la información técnica y contractual necesaria para entender actualizaciones, soporte y comunicación de incidencias. Una promesa comercial de seguridad no describe cómo funciona ese seguimiento.
Imagina, como ejemplo ilustrativo, que vendes un dispositivo conectado de otra marca. Lo primero es identificar tu papel y el del fabricante, además de saber a quién trasladar una incidencia. No asumas automáticamente obligaciones de otro operador ni des por desaparecidas las propias.
Si el producto o su configuración cambia, revisa la información que habías utilizado. Una evaluación de una versión anterior puede no describir lo que ahora se pone a disposición de los clientes.
Qué puede preparar la empresa desde la gestión
Reúne el catálogo afectado, los contratos de suministro, los contactos de soporte y las fechas de las revisiones realizadas. Deja identificadas las cuestiones técnicas o jurídicas que necesiten un análisis específico antes de dar el expediente por cerrado.
La organización de una pequeña empresa también requiere saber qué obligaciones acompañan al producto que vende. Aquí el resultado útil es una revisión con alcance y responsables definidos, sin confundir un archivo ordenado con una certificación de cumplimiento.
