CRA para fabricantes holandeses: NCSC, RDI y Rotterdam

Los fabricantes holandeses tienen las mismas obligaciones CRA que el resto de fabricantes de la UE, más un elemento particular que pocos otros Estados miembros afrontan a la misma escala: una parte importante del tráfico de productos del país son mercancías no comunitarias que entran por Rotterdam, son rebautizadas por una entidad neerlandesa y distribuidas al resto de la UE. Eso coloca a una entidad holandesa en el rol de fabricante con más frecuencia de la que sugiere la sede registrada. Esta guía cubre cómo se encaminan las notificaciones a través del NCSC fusionado, dónde encaja RDI como autoridad de notificación y de vigilancia de mercado, qué papel desempeña RvA en la acreditación, qué requieren las obligaciones en lengua neerlandesa, cómo el puente de cambio de marca de Rotterdam mueve la línea del fabricante y qué programas de financiación de 2026 son realistas. Para el conjunto completo de obligaciones, consulta la guía clúster del fabricante y la guía clúster del importador.

Cuándo se te aplica esta guía

Eres el lector al que va dirigida esta guía si tu «establecimiento principal en la Unión» como fabricante está en los Países Bajos: el lugar donde se toman mayoritariamente las decisiones relativas a la ciberseguridad de tus productos con elementos digitales. Una entidad de ventas o holding registrada en los Países Bajos con ingeniería en el exterior no es el establecimiento principal. Si tu equipo de ingeniería, tu gestión del SDLC y las personas que aprueban las actualizaciones de seguridad están en los Países Bajos, esta guía es para ti.

Si tu establecimiento principal está en otro lugar de la UE y solo envías productos a los Países Bajos, tus notificaciones CRA van al CSIRT del Estado miembro de tu establecimiento principal, no al NCSC neerlandés. La obligación de lengua neerlandesa para la información dirigida al usuario sigue siendo aplicable a cualquier producto colocado en el mercado holandés.

Esta guía también se dirige a un segundo tipo de lector: una entidad holandesa que importa un producto no comunitario a través de Rotterdam y lo redistribuye bajo su propia marca o lo modifica sustancialmente antes de su primera comercialización. Esa entidad entra en el régimen del fabricante a través del puente de cambio de marca del CRA, no bajo el régimen más ligero del importador. Consulta la sección dedicada más abajo.

NCSC: la vía CSIRT holandesa

Las notificaciones CRA se encaminan a través del CSIRT designado como coordinador del Estado miembro donde el fabricante tenga su establecimiento principal en la Unión. Para un fabricante cuyo establecimiento principal esté en los Países Bajos, ese CSIRT es el NCSC.

Hay un cambio respecto a la generación anterior de orientaciones holandesas sobre ciberseguridad que conviene conocer. CSIRT-DSP ya se había integrado en el NCSC, y el 1 de enero de 2026 el Digital Trust Center se incorporó al NCSC reforzado. Ahora existe un único CSIRT nacional para fabricantes de productos, entidades esenciales, proveedores de servicios digitales y el segmento de PYMES al que antes atendía el DTC. Las orientaciones antiguas que mencionan un modelo de dos CSIRT (NCSC-NL más CSIRT-DSP) describen la estructura anterior a la fusión.

El canal técnico para el ciclo de notificación de 24 h / 72 h / 14 días es la plataforma única de notificación de ENISA, que entra en funcionamiento el 11 de septiembre de 2026, junto con el portal nacional holandés mijn.NCSC.nl. Un fabricante holandés envía a través de la plataforma de ENISA con el NCSC como coordinador receptor. La designación como CSIRT determina el enrutamiento. La plataforma es el canal de envío.

Organismos notificados: RDI notifica, RvA acredita

Los productos Importantes de Clase I necesitan un organismo notificado (Módulo B+C o Módulo H) únicamente cuando las normas armonizadas, las especificaciones comunes o un esquema de certificación no los cubren íntegramente. Los productos Importantes de Clase II utilizan un organismo notificado (Módulo B+C o Módulo H) o un esquema de certificación disponible y aplicable. Los productos Críticos (Anexo IV) siguen el Artículo 32(4): la vía de certificación del Artículo 8(1) cuando la Comisión la haya activado; de lo contrario, las mismas vías del Artículo 32(3).

La cadena institucional holandesa tiene un reparto claro:

• RvA (Raad voor Accreditatie) es el único organismo nacional de acreditación, con rango estatutario bajo la Wet aanwijzing nationale accreditatie-instantie. RvA acredita a los organismos de evaluación de la conformidad conforme a ISO/IEC 17065:2012. La acreditación es el paso técnico.
• RDI (Rijksinspectie Digitale Infrastructuur) es la autoridad de notificación prevista que registrará formalmente a los organismos notificados holandeses del CRA ante la Comisión Europea cuando la ley holandesa de transposición sea definitiva. RDI depende del Ministerie van Economische Zaken en Klimaat y asumió este papel del antiguo Agentschap Telecom. La notificación es el paso jurídico.

El marco del CRA para los organismos notificados se aplica a partir del 11 de junio de 2026, fecha desde la cual los organismos notificados pueden empezar a emitir certificados de evaluación de la conformidad del CRA. La Uitvoeringswet verordening cyberweerbaarheid es el instrumento holandés que previsiblemente colocará a RDI en el asiento de autoridad de notificación. Verifica el estado parlamentario actual y el texto final del Staatsblad antes de cualquier presentación formal. Un fabricante holandés puede usar cualquier organismo notificado de la UE, no solo los notificados en los Países Bajos. Las notificaciones definitivas aparecen en la base de datos NANDO de la Comisión Europea.

RDI: la autoridad de vigilancia del mercado del CRA

La Uitvoeringswet verordening cyberweerbaarheid previsiblemente designará al Ministro de Asuntos Económicos, en la práctica a RDI, como la autoridad holandesa de vigilancia del mercado del CRA. RDI obtendría competencias formales de supervisión y ejecución, incluida la facultad de imposición de multas administrativas dentro de los límites a escala UE del CRA (hasta EUR 15 millones o el 2,5 % de la facturación global, lo que sea mayor).

Los Países Bajos se situarían en el grupo de los que consolidan ambos roles en la misma institución, junto a la italiana ACN, si el texto final sigue el proyecto de ley. España (CCN + MTDFP) y Francia (ANSSI + ANFR) reparten los roles de notificación y de vigilancia de mercado entre instituciones distintas. Un fabricante holandés tendría entonces un único interlocutor nacional para la correspondencia formal del CRA: el NCSC para el flujo de notificaciones y RDI para todo lo demás.

Rotterdam y el ángulo importador

Rotterdam es el mayor puerto de la UE por volumen de mercancías, con aproximadamente 14,5 millones de TEU al año y el mayor peso bruto de importaciones no comunitarias de todos los puertos europeos. Para los productos con elementos digitales, una parte significativa de las primeras comercializaciones en la UE se produce aquí, frecuentemente a través de una entidad holandesa que compra productos terminados a un proveedor no comunitario y los distribuye a Bélgica, Alemania, Francia y al resto del comercio minorista europeo.

La Ley de Ciberresiliencia distingue por el rol que ejerces de hecho, no por el que figura en tus documentos aduaneros. Dos patrones de operación son habituales en los flujos con ruta Rotterdam y recaen en regímenes distintos:

• Patrón 1: importas un producto no comunitario y lo comercializas en la UE sin modificaciones, bajo la marca original del fabricante. Este es el régimen del importador. Tienes que ejecutar las cuatro comprobaciones previas a la comercialización (evidencia de evaluación de la conformidad, declaración UE de conformidad, marcado CE, identidad y dirección del fabricante en el producto), permaneces en la cadena de contacto de respaldo cuando el fabricante no comunitario no es localizable y conservas las referencias a la documentación técnica durante al menos diez años. Consulta la guía clúster del importador.
• Patrón 2: importas un producto no comunitario, lo rebautizas bajo tu propio nombre, cambias la finalidad prevista o lo modificas sustancialmente antes de su primera comercialización. Este es el régimen del fabricante a través del puente de cambio de marca del CRA. Tu entidad holandesa pasa a ser el fabricante. Las obligaciones del fabricante se aplican en su totalidad, incluidos el cumplimiento de los requisitos esenciales, la documentación técnica, la evaluación de la conformidad, la divulgación del fin del soporte y el ciclo de notificación de 24 h / 72 h / 14 días.

Un error frecuente es tratar el Patrón 2 como el Patrón 1 porque los documentos aduaneros señalan «importador de registro». Los roles del CRA no siguen los Incoterms. En el momento en que la marca original se sustituye por la tuya, o la finalidad prevista original cambia, tú eres el fabricante. Los SBOM y los marcados CE aportados por el proveedor no comunitario son insumos para tu propia documentación técnica, no sustitutos de ella. La misma lógica se aplica al comercio de marca blanca: un minorista holandés que distribuye productos bajo su propia marca asume el régimen del fabricante independientemente de dónde se haya fabricado el hardware.

El requisito de lengua neerlandesa en la práctica

La Ley de Ciberresiliencia exige que la información del producto dirigida al usuario esté en una lengua fácilmente comprensible por los usuarios y por la autoridad de vigilancia del mercado local. Para los productos comercializados en el mercado holandés, esa lengua es el neerlandés (Nederlands). La Warenwet (Ley de Productos de Consumo) y las normas sectoriales de información sobre productos imponen de manera independiente el uso del neerlandés en la denominación de productos de consumo, las condiciones de garantía, las instrucciones de uso, los avisos y la información sobre las propiedades del producto.

Debe estar en neerlandés:

• Las instrucciones de uso y la información del producto que se entregan con el producto.
• Los datos de contacto del fabricante, dondequiera que aparezcan.
• La indicación de la fecha de fin de soporte que se muestra en el punto de venta.
• Las condiciones de garantía y la información sobre derechos del consumidor que se entregan con el producto.

Puede ser multilingüe:

• La etiqueta del producto y el marcado CE.
• El texto del embalaje.
• La documentación en línea, siempre que haya una versión en neerlandés accesible.

El inglés se acepta normalmente en:

• La información B2B entre compradores profesionales cuando las partes tienen acordada una lengua de trabajo.
• La documentación técnica interna. RDI puede solicitar igualmente una traducción al neerlandés mediante solicitud motivada, así que conviene tenerlo previsto.

Las marcas comerciales, la terminología científica o técnica habitual y las indicaciones de origen del producto quedan exentas. La declaración UE de conformidad puede redactarse en cualquier lengua oficial de la UE. El frisón (frisón) es cooficial en Friesland, pero la Ley de Ciberresiliencia no exige traducción al frisón.

Vender en otros países desde los Países Bajos

Los fabricantes holandeses que venden en Alemania, Bélgica, Francia o cualquier otro Estado miembro de la UE siguen la misma regla de enrutamiento único: las notificaciones CRA siguen yendo al NCSC, porque el enrutamiento sigue el establecimiento principal, no el destino de cada envío. La obligación lingüística sí se ramifica por mercado. Un producto enviado a Alemania necesita contenido de usuario en alemán, uno enviado a Francia necesita contenido en francés. El paquete en neerlandés no cubre esos mercados. La autoridad de vigilancia del mercado de cada Estado miembro receptor también puede solicitar la documentación técnica en una lengua fácilmente comprensible para esa autoridad. Prepara las secciones más solicitadas en una lengua de trabajo de uso extendido para absorber solicitudes motivadas transfronterizas.

Programas de financiación nacionales

El panorama de financiación holandesa para inversión CRA en 2026 incluye un gran programa de crédito fiscal, dos programas de innovación para PYMES y un fondo dedicado a la ciberseguridad.

• WBSO (Wet Bevordering Speur- en Ontwikkelingswerk) es el crédito fiscal sobre costes salariales de I+D gestionado por RVO. El presupuesto de 2026 es de EUR 1.817 millones, con un beneficio del 36 % sobre los salarios de I+D cualificados hasta EUR 391.020 (50 % para empresas de nueva creación). El desarrollo de seguridad por diseño, las herramientas SBOM, las plataformas de gestión de vulnerabilidades y el diseño de procesos CVD son elegibles cuando se enmarcan como I+D genuina.
• MIT (MKB-Innovatiestimulering Regio en Topsectoren) financia proyectos de innovación de PYMES a nivel regional, con líneas de estudios de viabilidad y colaboración en I+D en el rango de EUR 20.000 a EUR 350.000.
• Innovation Box (Innovatiebox) es un tipo reducido del impuesto sobre sociedades (9 % efectivo) sobre los beneficios derivados de actividades de innovación cualificadas. Habitualmente se combina con el WBSO.
• CIF-NL (Cybersecurity Innovation Fund) es la línea de subvención de RVO dedicada a la innovación en productos de ciberseguridad. La convocatoria 2025-2026 tenía un presupuesto de EUR 2,5 millones (de EUR 60.000 a EUR 100.000 por proyecto) centrado en cripto-agilidad y accesibilidad. Las solicitudes se cerraron el 10 de febrero de 2026. Sigue las novedades de RVO y del NCSC fusionado para convocatorias posteriores de CIF-NL.
• El Herstel- en Veerkrachtplan holandés (RRF) está en su ventana de cierre del NextGenerationEU, con ejecución prevista para el 31 de agosto de 2026 y solicitudes de pago final hasta el 30 de septiembre de 2026. No es un instrumento de planificación viable para el plazo del 11 de diciembre de 2027.

Para el 11 de diciembre de 2027, el panorama holandés realista es WBSO más MIT más Innovation Box, con CIF-NL elegible para las partes genuinamente innovadoras.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica de cumplimiento CRA, consulta con asesoría legal cualificada.