ECSMAF v3.0 explicado: Cómo ENISA mapea el mercado europeo de ciberseguridad

¿Qué es ECSMAF v3.0 y por qué debería importarte?

En marzo de 2026, ENISA publicó la tercera versión de su Cybersecurity Market Analysis Framework. No es un informe de mercado. Es la metodología que ENISA y las instituciones asociadas utilizan para realizar análisis estructurados del sector europeo de ciberseguridad, con mandato en el artículo 8(7) de la Ley de Ciberseguridad de la UE.

El marco define un flujo de trabajo de 7 pasos que abarca desde la delimitación de un segmento de mercado hasta la recopilación de datos y la presentación de resultados. ENISA ya ha aplicado versiones anteriores a tres grandes análisis: ciberseguridad en la nube (2023), productos y servicios criptográficos (2024) y servicios de seguridad gestionados (2025).

flowchart LR
    S1["1. Iniciar"]
    S2["2. Delimitar"]
    S3["3. Analizar\nSegmento"]
    S4["4. Definir\nPreguntas"]
    S5["5. Recopilar\nDatos"]
    S6["6. Analizar\nDatos"]
    S7["7. Presentar\nResultados"]

    S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7

    style S1 fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style S2 fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style S3 fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style S4 fill:#2c5f8a,color:#fff,stroke:#0d6efd
    style S5 fill:#2c5f8a,color:#fff,stroke:#0d6efd
    style S6 fill:#2c5f8a,color:#fff,stroke:#0d6efd
    style S7 fill:#1a3a5c,color:#fff,stroke:#0d6efd

Lo que ENISA decide medir determina hacia dónde fluyen la financiación de la UE, la contratación pública y la atención política. Las categorías de productos que aparecen en el marco figurarán en los informes de mercado de ENISA y en los datos que consultan los responsables de política. Las que no aparecen, no existen.

Qué cambió realmente de v2.0 a v3.0

Las versiones anteriores del marco de ENISA trataban el análisis del mercado de ciberseguridad como un ejercicio puntual: delimitar un segmento, recopilar datos, publicar un informe y pasar a lo siguiente. Tras aplicar este enfoque a tres estudios reales, ENISA concluyó que el modelo era demasiado rígido. Los informes tardaban demasiado. Los resultados quedaban obsoletos. El marco no podía seguir el ritmo de los plazos regulatorios. La versión 3.0 aborda estas deficiencias con tres cambios estructurales.

Los flujos de trabajo configurables reemplazan el proceso único. La v3.0 introduce cuatro rutas de análisis distintas basadas en dos variables: el inicio (planificado o solicitud ad hoc) y la duración (corta, menos de seis meses, o larga).

Las empresas se benefician porque ENISA puede producir ahora evaluaciones de mercado de respuesta rápida cuando una regulación genera una demanda repentina de inteligencia específica de segmento, en lugar de esperar un año para un estudio exhaustivo.

La Monitorización Continua del Mercado es la novedad principal. La v3.0 introduce un concepto tomado de las operaciones de sistemas: un "proceso (semi)automatizado" que rastrea eventos de mercado como vulnerabilidades de productos, emisiones de certificados y adquisiciones de empresas. Cuando la monitorización detecta un evento relevante, puede iniciarse un análisis de mercado para evaluar su impacto. El marco vincula explícitamente esta capacidad a las fases de implementación del CRA. A medida que las disposiciones del CRA entran en vigor (requisitos de SBOM, controles de seguridad, obligaciones de gestión de vulnerabilidades), aumenta el volumen de datos estructurados a nivel de producto disponibles para la monitorización. ENISA espera que las necesidades de monitorización continua emerjan una vez que "se haya alcanzado un determinado nivel de madurez en el CRA a través de la adopción de sus disposiciones por parte de los fabricantes". Hasta entonces, ENISA señala que "se espera que los tipos de análisis de mercado más frecuentes sigan siendo puntuales". La agencia está sentando las bases para detectar riesgos sistémicos (una vulnerabilidad crítica de OSS que afecte a miles de productos regulados por el CRA, por ejemplo) y evaluar el impacto en el mercado, pero esta capacidad está supeditada a que la adopción del CRA madure primero.

La alineación regulatoria es estructural, no cosmética. El CRA aparece en las secciones de identificación de activos, evaluación de amenazas, requisitos de seguridad y monitorización continua. Se trata como un input estructural junto a NIS 2 y otras regulaciones de la UE.

flowchart TD
    CRA["Las disposiciones del CRA entran en vigor"]
    SBOM["SBOMs"]
    SC["Controles de\nSeguridad"]
    PC["Categorización de\nProductos\n(Anexo III / IV)"]
    VD["Divulgación de\nVulnerabilidades"]

    CRA --> SBOM
    CRA --> SC
    CRA --> PC
    CRA --> VD

    AGG["Los datos agregados del mercado\ncrecen en toda la industria"]
    SBOM --> AGG
    SC --> AGG
    PC --> AGG
    VD --> AGG

    AGG --> CMM["Monitorización Continua\ndel Mercado de ENISA"]
    CMM --> |"Evento detectado"| AH["Análisis de Mercado\nAd Hoc"]
    CMM --> |"Periódico"| REC["Análisis de Mercado\nRecurrente"]

    style CRA fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style AGG fill:#2c5f8a,color:#fff,stroke:#0d6efd
    style CMM fill:#0d6efd,color:#fff,stroke:#0d6efd
    style AH fill:#198754,color:#fff,stroke:#198754
    style REC fill:#198754,color:#fff,stroke:#198754
    style SBOM fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style SC fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style PC fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style VD fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6

La sección 5 aborda específicamente cómo los datos mandados por el CRA alimentarán los flujos de monitorización continua. Para las empresas que ya invierten en herramientas de cumplimiento del CRA, la implicación es concreta: a medida que las disposiciones del CRA entren en vigor, el volumen de datos estructurados a nivel de producto en todo el mercado crecerá. Esos datos agregados son los que ENISA planea utilizar para la monitorización continua. La infraestructura de cumplimiento que construyes hoy alimenta el ecosistema de datos que ENISA está diseñando.

Cómo ENISA mapea el lado de la oferta en ciberseguridad

Annex G define ocho grupos de "pilas de valor" que clasifican a todos los proveedores de ciberseguridad en Europa. Si vendes herramientas de cumplimiento del CRA, necesitas saber dónde te sitúas en esta taxonomía. Determina cómo te contabiliza ENISA, cómo ve tu segmento de mercado el legislador y, cada vez más, cómo filtran los proveedores los equipos de contratación.

Los ocho grupos, con las subcategorías más relevantes para el CRA:

1. I+D y Educación. Dos pilas de valor: Educación (programas de formación, plataformas de concienciación) e I+D (investigación sobre amenazas, I+D en estándares y certificación, seguridad para IA y tecnologías emergentes). Si contribuyes al desarrollo de estándares del CRA, ENISA te rastrea aquí.

2. Software. El grupo más grande por número de subcategorías. Siete pilas de valor: Software de Seguridad de Aplicaciones (evaluación de vulnerabilidades, herramientas de desarrollo seguro), Software de Seguridad en la Nube, Software de Seguridad de Datos, Software de Gestión de Identidades y Accesos, Software de Protección de Infraestructuras (endpoint/XDR), Plataformas Operacionales (SIEM, SOAR, inteligencia de amenazas) y Software Integrado de Gestión de Riesgos / GRC (gestión de riesgos digitales, gestión de riesgos de proveedores, gestión de auditoría y cumplimiento, supervisión legal). La generación de SBOM, el seguimiento de vulnerabilidades y los paneles de cumplimiento del CRA encajan plenamente en este bloque GRC. Si tu producto ayuda a los fabricantes a construir expedientes técnicos o a gestionar la divulgación coordinada de vulnerabilidades, este es tu lugar en la taxonomía de ENISA.

3. Hardware. Equipos de seguridad de red, módulos de seguridad hardware, TPM, dispositivos biométricos. Relevante si fabricas productos físicos con elementos digitales que necesitan evaluación de conformidad conforme al CRA.

4. Distribución. Reventa de software, reventa de hardware, reventa de servicios gestionados. Socios de canal, no fabricantes.

5. Asesoramiento y Consultoría. Servicios profesionales: estrategia de ciberseguridad, pruebas de penetración, servicios de cumplimiento y auditoría, informática forense, diseño de SOC. Las evaluaciones de brechas del CRA por terceros y la consultoría de conformidad se encuentran aquí.

6. Servicios de Implementación. Diseño e integración: arquitectura de seguridad, servicios de interoperabilidad, soporte técnico de implementación. Las empresas que despliegan y configuran las herramientas.

7. Servicios Gestionados. Cuatro pilas de valor: detección y respuesta gestionadas, gestión de dispositivos (parcheo, descomisión), servicios de amenazas y vulnerabilidades, y ciberseguridad virtualizada o como servicio. La monitorización continua de vulnerabilidades del CRA como oferta gestionada encaja en este grupo.

8. Servicios de Certificación. Tres pilas de valor distintas que ENISA separa con precisión. La Certificación de Productos cubre los servicios para la certificación de seguridad de productos: definición de requisitos, evaluación, controles y pruebas. Aquí se encuentran los organismos de evaluación de conformidad del CRA y sus herramientas. La Certificación de Servicios y Procesos cubre auditorías, análisis de brechas y acreditación de laboratorios y procesos. La Certificación Profesional cubre los programas de credenciales individuales, el desarrollo de exámenes y la acreditación de organizaciones de pruebas.

Cómo usar Annex G para posicionamiento:

flowchart TD
    subgraph BUILD["Desarrollar y Proteger"]
        RD["I+D y\nEducación"]
        SW["Software\n(7 pilas de valor)"]
        HW["Hardware"]
    end

    subgraph DELIVER["Entregar y Operar"]
        DIST["Distribución"]
        IMPL["Servicios de\nImplementación"]
        MS["Servicios\nGestionados"]
    end

    subgraph ADVISE["Asesorar y Certificar"]
        ADV["Asesoría y\nConsultoría"]
        CERT["Servicios de\nCertificación"]
    end

    SW -.- |"Software GRC\nSBOM, seguimiento de vulns.,\npaneles de compliance"| CRA_TOOL["Tus herramientas\nde Compliance\nCRA"]
    CERT -.- |"Certificación de Producto\nEvaluación de conformidad"| CRA_TOOL
    ADV -.- |"Compliance y Auditoría\nAnálisis de brechas"| CRA_TOOL

    style CRA_TOOL fill:#0d6efd,color:#fff,stroke:#0d6efd,stroke-width:2px
    style SW fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style CERT fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style ADV fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style RD fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style HW fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style DIST fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style IMPL fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style MS fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6

Lee la Tabla 4 como un mapa de mercado, no solo como un ejercicio de clasificación. Identifica en qué grupo de pilas de valor encaja la función principal de tu producto y comprueba si las funcionalidades secundarias te llevan a pilas adyacentes. Una plataforma SaaS de cumplimiento del CRA es principalmente Software GRC, pero si incluye análisis automático de vulnerabilidades, también toca Software de Seguridad de Aplicaciones. Si genera documentación de conformidad, se solapa con las herramientas de Certificación de Productos. Los futuros informes de dimensionamiento de mercado de ENISA utilizarán estas categorías como ejemplos (el marco señala que pueden variar por sector). Entender dónde te sitúas ayuda a alinear tu posicionamiento con el vocabulario que usan los responsables de política.

El CRA ya está integrado en cómo Europa analiza los mercados de ciberseguridad

ECSMAF v3.0 es el primer marco analítico de la UE que trata el Cyber Resilience Act como un input estructural para la inteligencia de mercado, no como una consideración de fondo. El resumen ejecutivo abre nombrando el Cyber Resilience Act como uno de los principales requisitos legislativos que dan forma al mercado europeo de ciberseguridad. El CRA es la primera regulación citada en esa frase, y aparece a lo largo de todo el marco; aunque NIS 2, DORA y la Ley de IA también figuran en los criterios de alcance (Annex E) como regulaciones que modelan la demanda.

Las categorías de productos del CRA informan la identificación de activos. Al analizar productos con elementos digitales, ECSMAF indica a los analistas que utilicen el Annex III del CRA (productos importantes) y el Annex IV (productos críticos) para identificar qué partes cuentan como activos (secciones 3.5.2 y 4.5.2). Los futuros informes de mercado de ENISA sobre productos digitales referenciarán, por tanto, las mismas categorías de productos que determinan tus obligaciones de evaluación de conformidad.

Para los segmentos vinculados a sectores críticos (infraestructuras críticas de NIS 2, productos críticos del CRA), el análisis de amenazas debe incluir también "escenarios tanto de alto impacto como de baja probabilidad" (secciones 3.5.4 y 4.5.4). Es probable que los responsables de contratación y los reguladores utilicen estos informes de ENISA como material de referencia al evaluar proveedores.

El software de código abierto recibe una división tripartita. La sección 5 introduce una distinción que se alinea con las categorías del CRA para el código abierto. Cuando se detecta una vulnerabilidad en un componente OSS, ECSMAF exige a los analistas que diferencien entre tres categorías:

flowchart LR
    VULN["Vulnerabilidad OSS\nDetectada"]

    VULN --> A["Impulsado por la\nComunidad\n(No comercial)"]
    VULN --> B["Gestionado por Steward\n(ej. Fundación)"]
    VULN --> C["OSS Comercial\n(CRA 'Fabricante')"]

    A --> RA["Evaluación de riesgo\nsistémico en cadena\nde suministro"]
    B --> RB["Evaluar la gestión de\nvulnerabilidades\ndel steward"]
    C --> RC["Problema contenido\ndel fabricante,\nrespuesta estándar"]

    style VULN fill:#dc3545,color:#fff,stroke:#dc3545
    style A fill:#ffc107,color:#1a3a5c,stroke:#ffc107
    style B fill:#fd7e14,color:#fff,stroke:#fd7e14
    style C fill:#198754,color:#fff,stroke:#198754
    style RA fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style RB fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6
    style RC fill:#f8f9fa,color:#1a3a5c,stroke:#dee2e6

Esta clasificación importa porque determina si un evento de mercado indica un riesgo sistémico en la cadena de suministro o un problema contenido de un único proveedor. Una vulnerabilidad crítica en una librería de uso generalizado impulsada por la comunidad (categoría a) podría afectar a miles de productos regulados por el CRA, desencadenando una respuesta de mercado diferente a la misma vulnerabilidad en la oferta comercial de un único proveedor (categoría c).

El marco también referencia en notas al pie el proyecto OCCTET de la Eclipse Foundation, el curso Linux Foundation Express Learning 1001 de la Open Source Security Foundation y el Open Regulatory Compliance Working Group de Eclipse como ejemplos de recursos de cumplimiento emergentes impulsados por la comunidad.

La encuesta del lado de la demanda captura señales de contratación regulatoria. La plantilla de cuestionario del lado de la demanda de Annex L pide a los compradores que informen sobre varias áreas que se corresponden directamente con las decisiones de cumplimiento del CRA:

Aunque la plantilla es genérica (no nombra el CRA específicamente), las preguntas sobre certificaciones, niveles de aseguramiento y autoevaluación se corresponden directamente con las decisiones de evaluación de conformidad que afrontan los fabricantes bajo el CRA. Cuando ENISA aplique esta plantilla a un segmento de mercado que incluya productos regulados por el CRA, los resultados proporcionarán datos estructurados a escala europea sobre cómo los requisitos regulatorios están dando forma a las decisiones de compra.

La encuesta del lado de la oferta pregunta directamente a los fabricantes. Annex L incluye también una plantilla de cuestionario para el lado de la oferta. Si eres encuestado por ENISA, espera preguntas sobre:

• Certificaciones que posees, frecuencia de renovacion y barreras para la certificacion
• Certificaciones que demandan tus clientes
• Modelo de entrega (on-premises, nube, hibrido, externalizado)
• Requisitos de clientes mas frecuentes
• Que regulaciones de la UE y nacionales afectan a tu oferta
• Experiencia con incidentes: concienciacion, impacto, notificacion obligatoria, tiempo de resolucion
• Potencial de innovacion: start-ups, scale-ups, empresas de la UE en IA, IoT, convergencia OT/IT
• Tamano de empresa y facturacion anual, porcentaje de ingresos procedentes de ciberseguridad

Si recibes una invitacion de EUSurvey de ENISA, este es el marco que la sustenta.

La monitorización continua está vinculada a la madurez del CRA. La sección 5.3 afirma claramente: "Hasta que se alcance un determinado nivel de madurez en el CRA, se espera que los tipos de análisis de mercado más frecuentes sigan siendo puntuales." ENISA espera que la monitorización continua del mercado sea factible solo a medida que madure la implementación del CRA, porque las disposiciones de este (SBOMs, controles de seguridad, categorización de productos) generarán los datos estructurados a nivel de producto que la monitorización continua necesita. La posición de ENISA es clara: el CRA generará la infraestructura de datos que permitirá la monitorización continua del mercado europeo de ciberseguridad.

Qué más monitorizará ENISA

Varios aspectos del marco merecen atención aunque queden fuera del debate principal sobre el CRA.

Los Estados miembros pueden adoptar ECSMAF. El marco está diseñado para ser utilizado no solo por ENISA, sino también por "Estados miembros, autoridades sectoriales y otros actores públicos o privados" (sección 6). Las agencias nacionales de ciberseguridad y las autoridades de vigilancia del mercado podrían aplicar ECSMAF para analizar segmentos de productos del CRA en sus jurisdicciones. La metodología de este documento puede convertirse en un estándar de facto utilizado por múltiples reguladores en toda Europa.

El Annex E define exactamente cómo ENISA delimita tu segmento de mercado. Cuando ENISA decide analizar un segmento del mercado de ciberseguridad, el Annex E (Tabla 2) lista los criterios que utilizan los analistas. Estas son las dimensiones que determinan cómo se perfila tu mercado:

ENISA también rastrea el origen del capital riesgo y la estructura financiera de las empresas propietarias de productos estratégicos (sección 5). Para los fabricantes con sede fuera de la UE o inversores no europeos, este es un contexto relevante.

Los datos del CRA, el análisis de ENISA y la aplicación forman un ciclo cerrado. El artículo 17(3) del CRA exige a ENISA un informe técnico bienal sobre riesgos emergentes de ciberseguridad. ECSMAF utiliza ese informe como input al seleccionar segmentos de mercado (notas al pie 19, 31, 38). Los hallazgos de los análisis de mercado pueden entonces desencadenar inspecciones coordinadas de cumplimiento dirigidas a categorías específicas de productos (secciones 3.8.3 y 4.8.3). Los resultados de esas inspecciones alimentan el siguiente ciclo.

flowchart LR
    CRA["Datos de Cumplimiento CRA\n(SBOMs, divulgaciones\nde vulnerabilidades, certificados)"]
    EUVD["Base de Datos Europea\nde Vulnerabilidades + Informe\nBienal de ENISA\n(Art. 17.3)"]
    ECSMAF["Seleccion y Analisis\nde Segmentos de\nMercado ECSMAF"]
    SWEEP["Inspecciones Coordinadas\nde Cumplimiento\n(Secciones 3.8.3 / 4.8.3)"]

    CRA --> EUVD
    EUVD --> ECSMAF
    ECSMAF --> SWEEP
    SWEEP --> CRA

    style CRA fill:#1a3a5c,color:#fff,stroke:#0d6efd
    style EUVD fill:#2c5f8a,color:#fff,stroke:#0d6efd
    style ECSMAF fill:#0d6efd,color:#fff,stroke:#0d6efd
    style SWEEP fill:#dc3545,color:#fff,stroke:#dc3545

Esto significa que la infraestructura de cumplimiento que construyes hoy (SBOMs, procesos de gestión de vulnerabilidades, documentación de conformidad) no se queda en un archivador. Entra en un ecosistema de datos que ENISA utiliza para el análisis de mercado, que puede informar acciones de aplicacion, que generan mas datos para el siguiente ciclo.

Las barreras de adopción están catalogadas formalmente. El Annex I (Tabla 5) lista 28 barreras estructurales en 8 categorías que ENISA evaluará en cada segmento de mercado. Las más relevantes para los fabricantes del CRA:

No son preocupaciones hipotéticas; son categorías formales en el marco analítico de ENISA, y ENISA evaluará cada segmento de mercado frente a ellas.

ENISA obtiene datos de GitHub, bases de datos de capital riesgo y registros mercantiles. El Annex K enumera las fuentes de datos secundarias que ENISA utiliza:

• Bases de datos de negocio e inversion para datos de propiedad y cuota de mercado
• GitHub y repositorios de codigo abierto para rastrear la innovacion en herramientas
• Bancos de inversion y fondos de capital riesgo para el analisis de flujos de financiacion
• Bases de datos de organismos de normalizacion para el mapeo de cumplimiento
• Medios de comunicacion tecnologicos y publicaciones sectoriales para senales tempranas de cambio

Tu presencia publica en estas fuentes forma parte de los datos que analiza ENISA.

La ventaja del consultor: demostrar alineación a los clientes

Si vendes productos o servicios de ciberseguridad a organizaciones europeas, ECSMAF v3.0 te ofrece algo valioso: el vocabulario propio de ENISA para describir lo que haces.

Mapea tus capacidades a las categorías específicas de la pila de valor de Annex G. Al presentarte ante clientes de la UE, la frase "Nuestra solución aborda la [categoría específica de ECSMAF]" te aporta un respaldo terminológico de la agencia de ciberseguridad de la UE, que tiene más peso con los equipos de contratación europeos que las comparativas de funcionalidades.

Tres formas de utilizar las categorías de ECSMAF v3.0 hoy mismo

1. Mapea tu producto a la pila de valor

Usando los grupos de pilas de valor de Annex G descritos anteriormente, identifica en qué categoría encaja la función principal de tu producto y si las funcionalidades secundarias te sitúan en pilas adyacentes.

Nota: tu Declaración de Conformidad y expediente técnico deben referenciar estándares armonizados y procedimientos de evaluación de conformidad bajo el CRA, no las categorías de mercado de ENISA.

2. Compara tu evidencia con los criterios del lado de la demanda

La plantilla de encuesta del lado de la demanda (Annex L) detalla qué buscan las organizaciones al seleccionar proveedores de ciberseguridad. Úsala como lista de verificación interna:

• [ ] ¿Puedes demostrar qué certificaciones tienes (producto, servicio, personal, herramientas)?
• [ ] ¿Puedes articular tu postura de cumplimiento frente a las regulaciones de la UE aplicables (CRA, NIS 2)?
• [ ] ¿Tienes documentadas las capacidades de gestión de incidentes y notificación obligatoria?
• [ ] ¿Puedes explicar a qué nivel de aseguramiento ha sido evaluado tu producto?
• [ ] Donde aplica la autoevaluación, ¿tienes la evidencia que respalda tus afirmaciones?

Las brechas en cualquiera de estas áreas probablemente afloren durante los procesos de contratación.

3. Posiciona tu inversión en CRA usando el marco de ENISA

Al presentar la inversión en CRA a la dirección o a inversores, referencia la taxonomía de ECSMAF directamente: "Nuestra inversión en cumplimiento corresponde a [categoría], un segmento que ENISA ha identificado para la Monitorización Continua del Mercado a medida que la adopción del CRA madure." Esto posiciona el gasto en CRA como inversión estratégica de mercado más que como coste regulatorio puro, respaldado por las propias categorías del marco de ENISA.

Referencia rápida: dónde encontrar qué en ECSMAF v3.0

Conclusión

ENISA está construyendo el marco analítico para el mercado europeo de ciberseguridad, y ECSMAF v3.0 es la metodología. Las empresas que lo entiendan y hablen la taxonomía de ENISA navegarán la contratación pública y el cumplimiento en la UE con más eficacia que aquellas que no han alineado su posicionamiento con él.

Fuentes oficiales

• ENISA Cybersecurity Market Analysis Framework (ECSMAF) v3.0 (PDF)
• Página de publicación de ENISA

Este artículo tiene fines exclusivamente informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento normativo, consulte con asesores legales cualificados.