Evaluación de riesgos regulatorios vs. evaluación de riesgos de ciberseguridad CRA: lo que los fabricantes de electrónica necesitan saber

La evaluación de riesgos regulatorios tiene un propósito específico: demostrar que el fabricante ha identificado los requisitos esenciales aplicables al producto y ha documentado cómo se logra el cumplimiento de cada uno de ellos. La base legal es la Decisión 768/2008/CE, que exige que la documentación técnica incluya "un análisis y una evaluación adecuados del riesgo o riesgos" en todos los módulos de evaluación de la conformidad.

La Blue Guide sobre la implementación de las normas de producto de la UE desarrolla este concepto: los fabricantes deben llevar a cabo un análisis de riesgos para identificar todos los riesgos posibles que el producto pueda presentar y determinar los requisitos esenciales pertinentes para el producto. El análisis debe estar documentado. Además, el fabricante debe documentar cómo se abordan los riesgos identificados, y cuando las normas no cubran completamente los requisitos, describir las soluciones técnicas alternativas adoptadas.

En este contexto regulatorio, "daño" y "riesgo" tienen significados específicos que difieren del uso cotidiano: daño se define como no conformidad con un requisito esencial, y riesgo es la combinación de la probabilidad de que esa no conformidad ocurra y la gravedad de sus consecuencias. No es un modelo de amenazas. No es una evaluación de lo que un actor malicioso podría hacer. Es un análisis de si el producto cumple los requisitos regulatorios que le son aplicables.

Para un fabricante de electrónica que comercializa productos en el mercado de la UE, la evaluación de riesgos regulatorios cubre habitualmente los requisitos esenciales de RoHS, RED (si es un producto radio) o EMC y LVD. Los fabricantes de drones deben cubrir también el Reglamento de Máquinas y el Reglamento UAS.

El marco normativo no prescribe un formato ni una metodología. El fabricante es libre de elegir la estructura, la profundidad y el enfoque. Lo que importa es que la evaluación sea adecuada para el producto y cubra el terreno necesario.

Basándose en los requisitos de la 768/2008 y la Blue Guide, la evaluación de riesgos para un producto electrónico debe abordar las siguientes áreas.

El punto de partida. ¿Quién usará este producto? ¿En qué entorno? ¿Bajo qué condiciones? Un dispositivo Bluetooth de consumo utilizado en interior por el público general presenta consideraciones diferentes a las de un gateway IoT industrial instalado en exterior, en un entorno hostil, y mantenido por personal cualificado. Los grupos de usuarios y el entorno operativo determinan qué peligros son relevantes y qué normas son apropiadas.

Si el producto está destinado a usuarios vulnerables (niños, personas mayores, personas con discapacidad), la evaluación de riesgos debe tener en cuenta sus necesidades específicas. Si el producto va a operar en condiciones fuera del alcance de las normas armonizadas aplicadas, esas condiciones deben identificarse y abordarse.

La evaluación debe identificar todos los requisitos esenciales que aplican al producto de cada directiva relevante. Esto no es una declaración genérica ("el producto cumple con todos los requisitos esenciales"). Es una identificación específica: qué requisitos, de qué directiva, aplican a este producto concreto y su uso previsto.

La evaluación de riesgos debe documentar qué normas armonizadas se han seleccionado para abordar cada requisito esencial, y confirmar que las normas aplicadas son las versiones actualmente referenciadas en el Diario Oficial (DOUE). Si el fabricante ha aplicado una norma no armonizada, la evaluación debe justificar esa elección y explicar cómo se demuestra igualmente el cumplimiento de los requisitos esenciales.

Un problema frecuente en la práctica es la aplicación parcial de normas. Un fabricante puede aplicar una norma armonizada pero no todas sus cláusulas o anexos. La evaluación de riesgos debe identificar qué partes se han aplicado, cuáles no, y cómo se abordan los requisitos esenciales cubiertos por las partes no aplicadas mediante medios alternativos.

Esta es la sección más crítica y la que con mayor frecuencia falta o es inadecuada. Las normas armonizadas están redactadas para cubrir productos típicos en condiciones típicas. Si un producto tiene características o funcionalidades que no fueron anticipadas cuando se redactó la norma, la norma por sí sola puede no ser suficiente para demostrar la conformidad.

La evaluación de riesgos debe identificar cualquier característica excepcional del producto que pueda no estar completamente cubierta por las normas aplicadas: frecuencias de operación inusuales, configuraciones de potencia no estándar, funcionalidades combinadas (dispositivos multi-radio), parámetros configurables por software que podrían llevar al producto fuera de las configuraciones ensayadas, o la integración de un módulo radio en un equipo host que modifica el entorno electromagnético o térmico.

Cuando se identifican gaps, el fabricante debe documentar cómo se cumplen los requisitos esenciales mediante medios alternativos: ensayos adicionales, análisis de ingeniería o medidas de diseño.

Una vez identificados los requisitos aplicables, las normas seleccionadas y los gaps, la evaluación de riesgos documenta cómo se aborda cada requisito. Para los requisitos cubiertos por normas armonizadas listadas en el DOUE y aplicadas en su totalidad, se aplica la presunción de conformidad. Para los requisitos no cubiertos, o cuando las normas se aplican solo parcialmente, el fabricante debe explicar la solución técnica adoptada y aportar evidencia de cumplimiento.

Aquí es donde la evaluación funciona como una hoja de ruta de conformidad: un argumento estructurado que conecta el diseño del producto y la evidencia de ensayos con cada requisito esencial aplicable.

La evaluación de riesgos regulatorios se revisa en dos contextos muy diferentes, dependiendo de la ruta de evaluación de la conformidad que siga el fabricante. Ambos aplican el mismo estándar de adecuación, pero el momento, el evaluador y las consecuencias difieren.

Cuando un fabricante presenta la documentación técnica para un examen UE de tipo bajo el Módulo B de la RED, la evaluación de riesgos es uno de los primeros documentos que revisa el Organismo Notificado. Proporciona al evaluador el análisis del propio fabricante sobre qué requisitos esenciales aplican y cómo se han cumplido.

La evaluación no es un checklist de aprobado/suspenso. El Organismo Notificado valora si la evaluación de riesgos es adecuada para el producto específico. "Adecuada" significa que cubre todos los requisitos esenciales relevantes, identifica las normas correctas, reconoce los gaps y proporciona una justificación coherente de cómo se logra la conformidad.

Hay varios puntos que los evaluadores examinan de forma consistente. Los grupos de usuarios y las condiciones de operación deben ser realistas y coherentes con el uso real del producto. Si un producto se comercializa para uso en exterior pero la evaluación de riesgos solo considera operación en interior, o si se comercializa como apto para niños pero la evaluación no considera su menor masa corporal para la exposición a RF, la evaluación es inadecuada.

La selección de normas debe estar actualizada y ser completa. Los evaluadores comprueban si las normas armonizadas aplicadas son las versiones actualmente listadas en el DOUE, si cubren todo el alcance de la operación del producto (todas las bandas de frecuencia, todos los modos de operación, todas las configuraciones de potencia), y si el fabricante ha identificado algún requisito no cubierto.

Las características especiales deben abordarse, no ignorarse. Si el producto tiene una configuración de antena no estándar, o si puede reconfigurarse por software en modos que no fueron ensayados, o si opera en una banda de frecuencia donde la norma armonizada tiene restricciones en el DOUE, la evaluación de riesgos debe reconocer y abordar estos puntos. Una evaluación que solo lista las normas aplicadas sin considerar las características específicas del producto proporciona información insuficiente para la evaluación.

Si el Organismo Notificado considera que la evaluación de riesgos es inadecuada, emitirá solicitudes de aclaración o de información adicional. El fabricante debe complementar o revisar la evaluación antes de que pueda emitirse el Certificado de Examen UE de Tipo. Esto añade tiempo y coste al proceso de evaluación de la conformidad. En casos donde la evaluación de riesgos es fundamentalmente insuficiente, puede ser necesario reconsiderar toda la evaluación una vez se presente una evaluación apropiada.

La mayoría de productos electrónicos se comercializan en el mercado de la UE mediante autodeclaración bajo el Módulo A, sin intervención de un Organismo Notificado. En ese caso, la evaluación de riesgos nunca es revisada por un tercero antes de que el producto llegue al mercado. Sin embargo, se exige con el mismo estándar de adecuación, y puede ser examinada en cualquier momento por las autoridades de vigilancia del mercado.

Las autoridades de vigilancia del mercado pueden solicitar la documentación técnica. Cuando lo hacen, la evaluación de riesgos es un elemento central de lo que revisan. Los criterios de evaluación son los mismos que aplica un Organismo Notificado: si la evaluación es adecuada para el producto, si se han identificado los requisitos esenciales aplicables, si la selección de normas es apropiada y actual, y si los gaps se reconocen y abordan.

La diferencia radica en las consecuencias. Durante una evaluación de Organismo Notificado, una evaluación de riesgos inadecuada genera solicitudes de aclaración y retrasos antes de la emisión del certificado. Durante una inspección de vigilancia del mercado, una evaluación de riesgos inadecuada se descubre después de que el producto ya está en el mercado. Las consecuencias pueden ser más severas: solicitudes de acción correctiva, restricción de disponibilidad en el mercado, retirada obligatoria del producto, y sanciones administrativas dependiendo del marco de aplicación del Estado miembro.

Para fabricantes que utilizan el Módulo A, la evaluación de riesgos es efectivamente la única evidencia documentada de que el fabricante ha llevado a cabo el análisis que exige la legislación. Una evaluación exhaustiva y bien estructurada es la mejor protección frente a acciones de enforcement, precisamente porque no hubo revisión de tercera parte en el momento de entrada al mercado.

El Cyber Resilience Act introduce un requisito separado. El Artículo 13 exige al fabricante llevar a cabo una evaluación de riesgos de ciberseguridad del producto con elementos digitales y tener en cuenta el resultado durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento.

El propósito es diferente al de la evaluación de riesgos regulatorios. La evaluación de riesgos de ciberseguridad del CRA pregunta: ¿cuáles son los riesgos de ciberseguridad asociados a este producto? ¿A qué amenazas se enfrenta? ¿Qué podría hacer un adversario para comprometer la seguridad del producto? ¿Y cómo ha abordado el fabricante esos riesgos a través del diseño y los requisitos esenciales de ciberseguridad del Anexo I?

El Artículo 13 del CRA exige que la evaluación indique si los requisitos esenciales de ciberseguridad del Anexo I Parte I aplican al producto y, en caso afirmativo, cómo se implementan. Debe considerar el propósito previsto y el uso razonablemente previsible, las condiciones de uso (incluyendo el entorno operativo y los activos a proteger), y la duración de uso esperada.

La guía de la Comisión sobre el CRA aclara que no se trata de una evaluación de riesgos organizativa. La tolerancia al riesgo interna del fabricante o su estrategia comercial no son relevantes. El estándar es si los riesgos de ciberseguridad identificados han sido suficientemente abordados mediante la implementación de los requisitos esenciales, a la luz del propósito previsto y el uso razonablemente previsible del producto. El riesgo residual es un resultado inherente del tratamiento del riesgo, pero la existencia de riesgo residual no significa que cualquier riesgo pueda aceptarse a discreción del fabricante. El producto solo puede comercializarse cuando los riesgos residuales hayan sido suficientemente abordados.

Las FAQs del CRA añaden que los fabricantes deben usar una metodología de modelado de amenazas apropiada al producto. Los productos destinados a infraestructuras críticas pueden necesitar considerar actores estatales y amenazas persistentes avanzadas. Los productos de consumo pueden utilizar un modelo de amenazas diferente. El reglamento no impone una metodología específica, pero la evaluación debe respaldar la conclusión de que todos los riesgos relevantes han sido identificados y tratados.

La evaluación de riesgos regulatorios es fundamentalmente un documento puntual. Se prepara antes de comercializar el producto y se actualiza cuando cambia el diseño del producto o cuando se revisan las normas o regulaciones aplicables. Entre esos eventos, es en gran medida estática.

La evaluación de riesgos de ciberseguridad del CRA debe mantenerse y actualizarse durante todo el periodo de soporte del producto. Surgen nuevas vulnerabilidades. El panorama de amenazas evoluciona. Una vulnerabilidad que no era explotable en el momento de la comercialización puede volverse explotable a medida que se desarrollan nuevas técnicas de ataque. La evaluación del fabricante debe permanecer actualizada, no como un reflejo del estado del producto en el momento de su entrada al mercado, sino como un análisis vivo que se mantiene bajo revisión conforme al Artículo 13.

Esta es una diferencia operativa fundamental. La evaluación de riesgos regulatorios forma parte de la evaluación de la conformidad en el momento de la comercialización. La evaluación de riesgos de ciberseguridad del CRA es una obligación continua que requiere atención constante a lo largo del ciclo de vida del producto.

Una vez que la aplicación completa del CRA entre en vigor, todos los productos con elementos digitales necesitarán ambos tipos de evaluación de riesgos. La evaluación de riesgos regulatorios cubre el riesgo de no conformidad frente a la legislación de la UE aplicable y sus requisitos esenciales. La evaluación de riesgos de ciberseguridad del CRA cubre los requisitos técnicos de ciberseguridad: ausencia de vulnerabilidades explotables conocidas, seguridad por defecto, protección de confidencialidad e integridad, minimización de superficies de ataque, actualizaciones seguras, y los requisitos de gestión de vulnerabilidades de la Parte II.

Sin embargo, hay un área donde ambas se encuentran hoy. Los fabricantes que aplican la serie de normas EN 18031 para el cumplimiento de ciberseguridad del Artículo 3.3 de RED ya están descubriendo que la metodología de la norma les exige evaluar el perfil de riesgo de ciberseguridad de su producto. EN 18031 pide al fabricante que determine qué controles de seguridad son aplicables en función del nivel de riesgo del producto, su entorno previsto y los activos que protege. Para hacer esa determinación, el fabricante necesita efectivamente evaluar las amenazas de ciberseguridad a las que se enfrenta el producto, el impacto de un posible compromiso y el nivel de protección apropiado. Aunque el texto legal de RED no exige formalmente una evaluación de riesgos de ciberseguridad independiente como documento separado, la aplicación práctica de EN 18031 conduce a los fabricantes hacia una.

Esto es significativo porque crea un puente entre ambos mundos. Los fabricantes que ya han pasado por el cumplimiento de EN 18031 para RED 3.3 han empezado a construir la base analítica que la evaluación de riesgos de ciberseguridad del CRA formaliza y amplía. La serie EN 18031 también sirve como punto de partida para las normas horizontales del CRA. Lo que era un ejercicio implícito bajo RED 3.3 se convierte en una obligación explícita, documentada y continuamente mantenida bajo el CRA.

Un enfoque práctico para los fabricantes es mantener la evaluación de riesgos regulatorios y la de ciberseguridad del CRA como documentos separados con referencias cruzadas donde las mismas características del producto sean relevantes para ambas. Intentar fusionarlas en un único documento probablemente generará confusión y hará que ambas sean más difíciles de evaluar, ya sea por un Organismo Notificado o por una autoridad de vigilancia del mercado.

Dado que la evaluación de riesgos regulatorios ha sido un requisito durante décadas, resulta llamativo lo a menudo que sigue siendo uno de los elementos más débiles del expediente técnico. Esta sección resume las consideraciones prácticas que determinan de forma consistente si una evaluación es adecuada, tanto si la revisa un Organismo Notificado durante un examen UE de tipo como si la examina una autoridad de vigilancia del mercado con el producto ya en el mercado.

Empieza por la evaluación de riesgos, no por los informes de ensayo. La evaluación debe informar el programa de ensayos, no documentarlo a posteriori. Identificar los requisitos esenciales aplicables, seleccionar las normas e identificar los gaps antes de que comiencen los ensayos produce una mejor cobertura y reduce la probabilidad de descubrir lagunas después de que los informes de ensayo hayan sido emitidos. Una evaluación de riesgos redactada retrospectivamente para justificar un producto ya finalizado es menos útil y menos defendible bajo revisión.

Sé específico sobre el producto. Las evaluaciones genéricas que podrían aplicarse a cualquier producto proporcionan información insuficiente. La evaluación debe reflejar las características específicas del producto: sus tecnologías radio, sus modos de operación, sus configuraciones de potencia, su entorno previsto y sus grupos de usuarios. Las plantillas copy-paste aplicadas sin adaptación son una de las fuentes más frecuentes de solicitudes de aclaración durante las evaluaciones de Organismos Notificados, y una de las debilidades más comunes identificadas durante las inspecciones de vigilancia del mercado.

Documenta los gaps de forma explícita. Cuando una norma armonizada no cubre completamente un requisito esencial, o cuando el producto tiene una característica no anticipada por la norma, documenta el gap y la solución. Una evaluación que reconoce los gaps y los aborda es más sólida que una que los ignora

Considera la envolvente operativa completa. Para productos con parámetros configurables por software, múltiples tecnologías radio o configuraciones modulares, la evaluación de riesgos debe abordar todos los estados posibles, no solo la configuración por defecto que fue ensayada. Un dispositivo multi-radio (Wi-Fi, Bluetooth, celular) debe tener en cuenta la coexistencia y la posible interacción entre sus tecnologías radio, no evaluar cada una de forma aislada.

Mantenla actualizada. Cuando se actualizan las normas, cuando entran en vigor nuevos requisitos regulatorios (como los actos delegados del Artículo 3.3 de la RED), o cuando cambia el diseño del producto, la evaluación de riesgos debe revisarse y actualizarse en consecuencia. Una evaluación de riesgos preparada contra una versión superada de una norma armonizada ya no es adecuada.