¿Se aplica el Reglamento de Ciberresiliencia al software como servicio?

En general no a un servicio en línea puro, pero puede alcanzar la parte en la nube de un producto. El CRA abarca los productos con elementos digitales que se introducen en el mercado. El software prestado solo como servicio por internet, sin un producto que instale el cliente, queda en principio fuera; la seguridad de esos servicios es sobre todo cosa de NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas. cuando el proveedor está incluido. Sin embargo, el CRA cubre también el tratamiento remoto de datos que un fabricante diseña como parte de un producto, cuando sin él el producto no podría cumplir alguna de sus funciones: el servidor en la nube de una cámara inteligente o de un sensor de red que se entrega con un agente son ejemplos típicos. Así que una empresa que vende un componente instalable y un servicio en la nube puede tener obligaciones del CRA para el conjunto. Identifique qué partes de su oferta instalan los clientes y cuáles funcionan solo de su lado, y lea con cuidado las definiciones del Reglamento. NetSenX, que entrega agentes junto con un servicio en la nube, se hace la misma pregunta.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 20 preguntas sobre Derecho UE: RGPD, DORA, CRA y Ley de IATodos los temas