¿Qué documentos necesita el fabricante según el Reglamento de Ciberresiliencia y qué plazos rigen?

Tres plazos

Las fechas las fija el art. 71, apartado 2.

• 11 de junio de 2026: capítulo IV sobre autoridades notificantes y organismos notificados (art. 35 a 51)
• 11 de septiembre de 2026: obligaciones de notificación de los fabricantes (art. 14), para todos los productos sujetos al reglamento
• 11 de diciembre de 2027: todas las demás obligaciones, también la nomenclatura de materiales de los programas informáticos

A quién afecta

El reglamento se aplica a los productos con elementos digitales comercializados cuya finalidad prevista o uso razonablemente previsible incluye una conexión de datos lógica o física, directa o indirecta, a un dispositivo o a una red (art. 2, apartado 1). Puede ser software, un aparato conectado o una máquina con control e interfaz de datos. Algunos productos con normas propias, como los productos sanitarios, quedan excluidos (art. 2, apartado 2).

Los productos introducidos en el mercado antes del 11 de diciembre de 2027 solo quedan sujetos a los demás requisitos tras una modificación sustancial (art. 69, apartado 2). Las obligaciones de notificación se les aplican en todo caso (art. 69, apartado 3).

Qué documentos deben estar listos desde el 11 de diciembre de 2027

• Documentación técnica antes de la introducción en el mercado, con al menos los elementos del anexo VII (art. 13, apartado 12, y art. 31)
• En ella: descripción general, diseño y gestión de vulnerabilidades, evaluación de riesgos, base para fijar el período de soporte, normas aplicadas, informes de ensayo y copia de la declaración
• Declaración UE de conformidad según el anexo V (art. 28), adjunta al producto o como declaración UE de conformidad simplificada según el anexo VI, con la dirección de internet exacta (art. 13, apartado 20)
• Información e instrucciones para los usuarios según el anexo II, en papel o en formato electrónico (art. 13, apartado 18)
• Fecha de fin del período de soporte, al menos mes y año, claramente visible en el momento de la compra (art. 13, apartado 19)
• Nomenclatura de materiales de los programas informáticos (SBOM) en un formato de uso común y legible por máquina, que incluya al menos las dependencias de nivel superior (anexo I, parte II, punto 1)

Desde cuándo rige la SBOM

Las fuentes dan fechas distintas. El texto es claro: el art. 71, apartado 2, solo adelanta el art. 14 y el capítulo IV. La SBOM está en el anexo I, parte II, y rige por tanto desde el 11 de diciembre de 2027. El reglamento no exige publicarla: si el fabricante la pone a disposición de los usuarios, indica dónde (anexo II, punto 9). A la autoridad de vigilancia del mercado se la facilita previa solicitud motivada (anexo VII, punto 8). Formato y elementos puede fijarlos la Comisión mediante un acto de ejecución (art. 13, apartado 24).

Qué conviene documentar desde el 11 de septiembre de 2026

Las vulnerabilidades explotadas activamente y los incidentes graves se notifican a través de la plataforma única de notificación: alerta temprana en 24 horas, notificación en 72 horas e informe final, en las vulnerabilidades a más tardar 14 días después de disponer de una medida correctora y en los incidentes en un mes (art. 14, apartados 2 y 4). Según la Comisión, la plataforma funciona desde el 11 de septiembre de 2026.

Conviene registrar quién notifica, cuándo tuvo conocimiento el fabricante del hecho y qué notificó. Según las orientaciones de la Comisión, no hay que notificar con carácter retroactivo las vulnerabilidades cuya explotación activa conocía ya el fabricante antes del 11 de septiembre de 2026. La gestión técnica de vulnerabilidades no se trata en esta página.

Cuánto tiempo conservar

La documentación técnica y la declaración, al menos diez años desde la introducción del producto en el mercado o durante el período de soporte, si este es más largo (art. 13, apartado 13). Lo mismo rige para la información de los usuarios (art. 13, apartado 18). El período de soporte es de al menos cinco años, salvo que el producto vaya a usarse menos tiempo (art. 13, apartado 8). Los importadores conservan una copia de la declaración durante el mismo tiempo (art. 19, apartado 6).

En qué punto están las empresas

ENISA hizo en 2026 una encuesta entre pymes (194 respuestas de 31 países y regiones, no representativa según ENISA): el 66 % conocía el reglamento antes de la encuesta. El 42 % dijo entender los documentos exigidos solo de forma limitada o nada. Más del 70 % esperaba modelos de documentación técnica.

Qué hacer ahora

• Comprobar para cada producto si tiene conexión de datos y si está sujeto al reglamento.
• Designar quién notifica en la plataforma y registrar las fechas.
• Fijar el período de soporte de cada producto y justificarlo.
• Estructurar la documentación técnica según el anexo VII.
• Planificar que la declaración y la información para los usuarios estén en una dirección fija.

Preguntas frecuentes