Categoría: Transformacion digital

El Reglamento Europeo de Ciberresiliencia (Cyber Resilience Act -CRA- en inglés), marca un hito en la legislación sobre ciberseguridad de la Unión Europea. Este nuevo marco normativo, adoptado el pasado 10 de octubre por el Consejo de la UE, establece requisitos de seguridad obligatorios para los productos con elementos digitales, abarcando desde cámaras domésticas y frigoríficos hasta televisores y juguetes conectados. El objetivo principal es garantizar que estos productos sean seguros antes de su introducción en el mercado europeo y durante todo su ciclo de vida.

El CRA introduce requisitos de ciberseguridad en el diseño, desarrollo, fabricación y comercialización de productos de hardware y software e intenta evitar el solapamiento con las normas nacionales y de la propia UE.  Uno de los problemas más complejos es regular para que exista un verdadero mercado europeo de la ciberseguridad que, como problema transnacional, necesita soluciones transversales que no se pierdan en los recovecos de las regulaciones y supervisores nacionales.

Uno de los aspectos más destacados del reglamento es la Marca CE para productos de software y hardware y el establecimiento de requisitos evaluables en el propio reglamento. Esta marca, ya conocido en muchos productos comercializados en el Espacio Económico Europeo (EEE), ahora se extenderá a los productos digitales, asegurando que cumplen con altos estándares de seguridad, salud y protección del medio ambiente.

El reglamento se aplica a todos los productos conectados directa o indirectamente a otros dispositivos o redes. Sin embargo, se establecen excepciones para productos que ya están sujetos a requisitos de ciberseguridad en otras normas vigentes de la UE, como los productos sanitarios, aeronáuticos y los vehículos de motor.

Un aspecto destacable del reglamento es que permitirá a los consumidores considerar la ciberseguridad al elegir y utilizar productos con elementos digitales. Esto facilitará la identificación de productos de hardware y software que cumplen con las características de ciberseguridad adecuadas.

El CRA entrará en vigor 20 días después de su publicación en el DOCE. Sin embargo, la aplicación efectiva de las disposiciones se retrasará durante un período de transición para permitir que los actores del mercado se adapten a los nuevos requisitos. Este período de transición se fija en 36 meses desde su entrada en vigor en el que los fabricantes deberán:

1. Realizar análisis de riesgos en sus productos para identificar vulnerabilidades;
2. Establecer procedimientos internos de conformidad; y
3. Desarrollar e implementar actualizaciones de seguridad para productos existentes.

La implantación del CRA involucra a varios actores clave: los fabricantes, los importadores, las autoridades y las entidades de certificación.

Los fabricantes, como es obvio, son los principales responsables de garantizar que los productos cumplan con el CRA debiendo diseñar productos seguros, proporcionar actualizaciones de seguridad y mantener documentación técnica completa.

Los importadores y distribuidores, por su parte, deben verificar que los productos que comercializan cumplan con los requisitos del CRA y conservar la documentación técnica necesaria para acreditarlo.

Por último, las autoridades de vigilancia del mercado tienen labores de supervisión de la conformidad de los productos, realizando auditorías e inspecciones, e imponiendo sanciones cuando sea necesario. En el caso de los productos de alto riesgo, los mismos tienen que pasar una evaluación de conformidad por organismos de evaluación de la conformidad independientes.

El proceso de evaluación de conformidad es un elemento central del CRA y comprende desde la autoevaluación a la evaluación de tercera parte. En el caso de los productos de bajo riesgo, los fabricantes podrán recurrir a la autoevaluación, siempre que proporcionen la documentación técnica necesaria. Sin embargo, como ya hemos indicado, en los de alto riesgo deberán de pasar una evaluación de conformidad de tercera parte realizada por un organismo independiente.

Una vez que un producto ha pasado la evaluación de conformidad, el fabricante puede colocar la Marca CE. Este sello indica que el producto cumple con los requisitos de ciberseguridad y otras normas aplicables de la UE. Junto con la Marca CE, los fabricantes deben proporcionar una declaración de conformidad que indique el cumplimiento del producto con los requisitos del CRA.

El CRA se enmarca en un ecosistema más amplio de normativas de ciberseguridad de la UE. Es fundamental analizar su relación con otras normas clave, principalmente la Directiva NIS 2 y el Reglamento sobre Ciberseguridad. Así, con la Directiva NIS 2 comparte el objetivo de mejorar la ciberseguridad en la UE pero el CRA la complementa al asegurar que los productos utilizados en infraestructuras críticas sean seguros desde su diseño. En cuanto al Reglamento sobre Ciberseguridad (Reglamento (UE) 2019/881), que establece un sistema de certificación de ciberseguridad de productos, servicios y procesos TIC que podría ser similar, podría entrar en colisión con el CRA.  El CRA se alinea con los esquemas de certificación establecidos en el Reglamento sobre Ciberseguridad, lo que evita esta colisión con lo que se podría simplificar los procesos de cumplimiento para los fabricantes.

El Reglamento Europeo de Ciberresiliencia, por tanto, representa un gran paso hacia un mercado digital más seguro en la UE. Si bien establece un marco generalmente coherente con las normas existentes, su implantación efectiva requerirá una cuidadosa coordinación para evitar confusiones y maximizar la eficiencia.

La nueva directiva sobre responsabilidad por productos defectuosos aprobada el 10 de octubre por el Consejo y pendiente de publicación en el DOCE, aborda el desafío que plantean las tecnologías conectadas. Pero ¿realmente soluciona los problemas que la antigua directiva no podía abordar? Analicémoslo en detalle.

La obsolescencia de la antigua directiva

La directiva original sobre responsabilidad por productos defectuosos, que data de 1985, fue concebida en una época en la que los productos eran mayoritariamente estáticos. Una vez que un producto salía de la fábrica y llegaba al consumidor, sus características y funcionalidades permanecían prácticamente inalteradas durante toda su vida útil. Sin embargo, el auge de la IoT y los dispositivos conectados ha cambiado radicalmente este paradigma.

Imaginemos un termostato inteligente. Cuando se instaló en tu casa funcionaba perfectamente, pero, seis meses después, una actualización de software introduce un error que hace que el dispositivo falle, provocando que tu sistema de calefacción se sobrecaliente. ¿Quién es responsable? Con la antigua directiva en la mano, el fabricante no sería responsable, o al menos no lo sería por el producto vendido y en base a una responsabilidad objetiva, ya que el mismo salió de fábrica sin fallo alguno.  Teniendo en cuenta que el software se vende bajo la licencia “as is”, que excluye la responsabilidad de su desarrollador y de la entidad que lo comercializa, nos encontramos ante un panorama de impunidad en el que el consumidor carece de la capacidad técnica para establecer la causalidad que exige la responsabilidad civil en el derecho continental.

La complejidad de los productos modernos

Otro desafío que la antigua directiva no podía abordar adecuadamente es la creciente complejidad de los productos modernos. Tomemos como ejemplo un coche conectado. Este vehículo no es simplemente un producto de un solo fabricante, sino una compleja amalgama de componentes hardware y software de múltiples proveedores.

El coche en sí puede ser fabricado por una empresa, pero su sistema de info-entretenimiento puede provenir de otra. El software que controla las funciones críticas del vehículo puede ser desarrollado por una tercera empresa y actualizarse regularmente de forma remota. Además, el coche puede depender de servicios de conectividad proporcionados por operadores de telecomunicaciones y utilizar algoritmos de inteligencia artificial que se alimentan de datos recopilados de toda una flota de vehículos similares.

Ahora, imaginemos que este coche sufre un accidente debido a un fallo en su sistema de frenado autónomo. ¿Quién es responsable? ¿El fabricante del coche? ¿El desarrollador del software? ¿La empresa que proporciona los algoritmos de IA? ¿O tal vez el proveedor de conectividad si hubo un fallo en la transmisión de datos críticos?

Bajo la antigua directiva, determinar la responsabilidad en un escenario tan complejo sería un desafío legal formidable. La cadena de responsabilidad se vuelve difusa cuando un producto depende de tantos componentes y servicios interconectados.

¿Cómo aborda estos problemas la nueva directiva?

La nueva directiva sobre responsabilidad por productos defectuosos introduce varios cambios importantes para abordar estos desafíos de la era digital:

1. Definición ampliada de «producto»: La nueva directiva expande la definición de producto para incluir explícitamente el software y los servicios digitales relacionados. Esto significa que las actualizaciones de software que introducen defectos pueden ahora considerarse claramente dentro del ámbito de la responsabilidad del fabricante.
2. Responsabilidad continua: La directiva reconoce que los fabricantes pueden mantener el control sobre un producto incluso después de su venta, especialmente a través de actualizaciones de software. Por lo tanto, establece que los fabricantes pueden ser responsables de los defectos que surjan después de que el producto haya sido puesto en circulación, siempre que estos defectos estén bajo su control.
3. Cadena de responsabilidad clara: Para abordar la complejidad de los productos modernos, la directiva establece una cadena de responsabilidad más clara. Aunque el fabricante del producto final sigue siendo el principal responsable, también se puede considerar responsables a los fabricantes de componentes defectuosos. Esto es particularmente relevante para productos complejos como los coches conectados aunque plantea el problema añadido de la producción extracomunitaria, tan común, en países con complejos sistemas judiciales como China.
4. Responsabilidad de las plataformas en línea: La directiva también aborda el papel de las plataformas online en la venta de productos, estableciendo que pueden ser consideradas responsables en ciertas circunstancias si actúan como distribuidores.
5. Carga de la prueba: Reconociendo la dificultad que los consumidores pueden enfrentar para probar la defectuosidad en productos tecnológicamente complejos, la directiva introduce presunciones que pueden aliviar la carga de la prueba para los demandantes en ciertas circunstancias.
6. Divulgación de pruebas: La directiva establece normas para facilitar el acceso de los demandantes a las pruebas relevantes que están en posesión del fabricante. Esto puede ser crucial en casos que involucren sistemas complejos o algoritmos de IA.

¿Resuelve todos los problemas?

Si bien la nueva directiva representa un avance evidente, es importante reconocer que no resuelve todos los desafíos potenciales. Algunos aspectos que podrían seguir siendo problemáticos incluyen:

1. Complejidad tecnológica: Aunque la directiva proporciona herramientas para abordar productos complejos, determinar la causa exacta de un fallo en sistemas altamente integrados y basados en IA puede seguir siendo un desafío técnico y legal.
2. Evolución rápida de la tecnología: La tecnología evoluciona a un ritmo vertiginoso. Aunque la nueva directiva es más flexible que su predecesora, es posible que surjan nuevas formas de productos o servicios que no estén completamente cubiertas.
3. Alcance global: Muchos productos y servicios digitales operan a escala global. Aunque la directiva fortalece la protección dentro de la UE, la coordinación con regímenes de responsabilidad en otras partes del mundo sigue siendo un desafío.
4. Inteligencia Artificial autónoma: Aunque la directiva aborda el software y los algoritmos de IA, el tratamiento de sistemas de IA altamente autónomos que toman decisiones de forma independiente podría requerir consideraciones adicionales en el futuro.

La nueva directiva europea aborda muchas de las deficiencias de la antigua directiva, proporcionando una mayor claridad y protección en casos que involucran dispositivos conectados, software y productos complejos. La implantación práctica de la directiva, así como su interpretación por parte de los tribunales, serán cruciales para determinar su eficacia a largo plazo.

Pero, en todo caso, el problema sangrante de la irresponsabilidad de los fabricantes de software, seguirá pendiente.