Productos marca blanca y OEM bajo el CRA: guía del fabricante

Vendes tablets bajo tu marca y un ODM en Shenzhen las fabrica. Bajo el CRA, tú eres el fabricante, el ODM es tu proveedor y el detonante es la marca, no la fábrica. Esta página es la capa operativa de marca blanca. Para el conjunto completo de obligaciones del fabricante consulta el clúster del fabricante.

Por qué la marca blanca es una categoría aparte

La marca blanca ocupa una esquina específica del mapa de roles del CRA. La frontera con los roles adyacentes es nítida sobre el papel y borrosa en la realidad de la compra.

Tres fronteras se cruzan a menudo. Primero, la frontera entre marca blanca (eres fabricante desde el día uno) y modificación sustancial (alguien modifica un producto ya introducido). La marca blanca es un detonante en el momento de la introducción; la modificación sustancial es un detonante posterior a la introducción. Segundo, la frontera entre marca blanca e importador: si pones tu marca en el producto, has salido del rol de importador y has entrado en el de fabricante, aunque también importes físicamente el dispositivo. Tercero, la frontera entre marca blanca y aprovisionamiento de componentes: si introduces un producto bajo tu marca, eres el fabricante de ese producto; si integras un componente en un producto que construyes tú, la capa operativa es la guía de diligencia debida de proveedores.

La defensa del «es solo una pegatina» y qué cuenta de verdad

Los responsables de compras a veces argumentan que añadir una pegatina con la marca a un producto terminado no puede activar el estado completo de fabricante. La tabla de errores típicos del clúster del importador recoge esta misma reclamación («Es solo una pegatina con nuestro logo.») y la desmonta: si la pegatina te presenta como fuente del producto, te aplican las obligaciones del fabricante. El detonante es la presentación de la marca al mercado, no la profundidad de la modificación.

La pregunta operativa es qué cuenta como «marcado con tu marca» y qué se queda en territorio de distribuidor.

La regla unificadora es la presentación como fuente. Si una autoridad de vigilancia del mercado, ante la pregunta «¿quién es el fabricante de este producto?», señalaría tu marca, eres el fabricante bajo el CRA. La profundidad de la pegatina, el esfuerzo de diseño y el nivel de personalización no son el test.

Taxonomía de escenarios de marca blanca

Siete escenarios cubren el territorio operativo. Cada uno se asigna a una combinación distinta de ruta CRA, profundidad de diligencia sobre el proveedor y exposición contractual.

1. Rebranding simple (producto terminado, solo tu marca)

Compras tablets terminadas, aplicas tu logo y vendes bajo tu marca. Marca blanca por defecto.

• Ruta CRA: fabricante desde la primera venta.
• Evaluación de la conformidad: tuya. La evaluación previa del OEM puede alimentar tu expediente técnico, pero no se transfiere.
• Profundidad de la diligencia: alta sobre el OEM como proveedor, en especial documentación, gestión de vulnerabilidades y compromiso de período de soporte.
• Riesgo operativo: la voluntad del OEM de enviar actualizaciones de seguridad dicta tu capacidad de honrar tu propio compromiso de soporte ante los usuarios.

2. Marca blanca oculta (tu reseller re-rebrandea)

Marcas un producto OEM como Marca-A y lo vendes a un reseller. El reseller retira tu marca y lo re-rebrandea como Marca-B sin avisarte, y después introduce las unidades Marca-B en el mercado de la UE.

• Ruta CRA: el reseller se convierte en el fabricante de las unidades Marca-B. Tú sigues siendo el fabricante de las unidades Marca-A que introdujiste. El OEM sigue siendo proveedor de ambos.
• Señal operativa de descubrimiento: tickets de atención al cliente que mencionan Marca-B y se comportan como Marca-A, o devoluciones que llegan en embalaje Marca-B cuando tú nunca vendiste a Marca-B.
• Solución contractual: los acuerdos con resellers deben prohibir el re-rebranding sin consentimiento por escrito. Sin esa cláusula, tu único remedio es la terminación.
• Por qué importa: el parche que tú envíes para una vulnerabilidad no llegará a las unidades Marca-B salvo que el reseller lo propague, y puede que el reseller no tenga infraestructura para hacerlo.

3. Marca blanca multinivel (tú marcas, tu distribuidor vuelve a marcar la tuya)

El OEM fabrica, tú lo marcas como tu marca, vendes a un distribuidor europeo y el distribuidor lo re-marca con la suya.

• Ruta CRA: tres posiciones jurídicas apiladas. El OEM es proveedor, tú eres fabricante de las unidades que introdujiste bajo tu marca y el distribuidor pasa a ser fabricante de las unidades que él introdujo bajo la suya.
• Patrón operativo: habitual en automatización industrial, equipos AV e IoT B2B.
• Cláusula crítica: tu contrato con el distribuidor debe especificar si se permite el re-rebranding y, si se permite, que el distribuidor asume el estado de fabricante para la variante re-marcada. Sin eso, ambas partes pueden acabar reclamando estado de distribuidor mientras las autoridades miran la marca visible en cada unidad.

4. Productos co-branded (los dos nombres en el producto)

El producto lleva tu marca y la del OEM de forma visible para el usuario final.

• Ruta CRA: normalmente la marca de cara al canal minorista carga el estado de fabricante; ambas partes pueden ser designadas como fabricantes si ambas se presentan como fuente.
• Solución contractual: la designación de fabricante debe escribirse en el acuerdo de co-branding. Lectura por defecto: quien firme la declaración UE de conformidad es el fabricante para esa cohorte de unidades.
• Riesgo operativo: la visibilidad compartida de marcas puede confundir al usuario sobre a quién acudir para notificar vulnerabilidades; el punto único de contacto del producto debe ser inequívoco.

5. Marca privada del minorista (Amazon Basics, Lidl Silvercrest, Tesco)

Un minorista de alto volumen encarga a un OEM la fabricación de un producto bajo la marca privada del minorista. El minorista es el propietario de la marca blanca.

• Ruta CRA: el minorista es el fabricante. El volumen no cambia el análisis; lo cambia la presentación de marca.
• Escala operativa: cientos de SKU repartidos entre varios OEM es lo habitual. Expediente técnico por SKU, declaración UE de conformidad por SKU y reloj de período de soporte por SKU. Un comprador minorista que trate el cumplimiento del CRA como una pregunta de compra de una sola pasada subestima la carga.
• Patrón contractual: acuerdos marco a largo plazo con el OEM, cláusulas de espejo del período de soporte (el OEM se compromete AL MENOS tanto como el minorista se compromete ante el usuario), escrow de código fuente del firmware y traslado explícito de los requisitos CRA a los subcomponentes.

6. ODM solo hardware + tu firmware

Encargas hardware ODM (placa industrial, tablet rugerizada, carcasa de pasarela IoT) y le metes tu propio firmware. El sustrato hardware lo aporta el OEM; el envoltorio de seguridad es tuyo.

• Ruta CRA: eres el fabricante del producto integrado. El ODM es tu proveedor de hardware. Distinto del rebranding simple porque tú sí construyes algo encima del sustrato.
• Forma de la diligencia: se apoya en la guía de ODM solo hardware (controles de BOM, origen del elemento seguro, inyección de claves en fábrica, ventana de fin de vida de la plataforma hardware).
• Error operativo común: firmar un compromiso plurianual de soporte al cliente con un ODM cuya ventana de fin de vida del hardware es más corta. Cuando el silicio queda obsoleto, tu obligación de soporte no se ablanda.

7. SaaS de marca blanca o componente de tratamiento de datos a distancia

El «producto» que ven los clientes es tu SaaS con tu marca o tu API con tu marca. El procesamiento real corre sobre una plataforma OEM en marca blanca para ti (un clúster Kafka gestionado, una plataforma de autenticación SaaS, un servicio gestionado de fleet management de dispositivos).

• Ruta CRA: depende de si el propio SaaS es un «producto con elementos digitales» bajo el CRA. El CRA cubre «soluciones de tratamiento de datos a distancia» solo cuando son integrantes de un producto introducido en el mercado. Un SaaS puro que no se integra con un producto introducido suele quedar fuera del ámbito. Si tu SaaS es un componente integrante de un producto introducido (firmware que llama a casa, gestión de flotas de dispositivos IoT), el proveedor de SaaS forma parte de tu cadena de suministro y se aplica la guía de componente cloud.
• Patrón contractual: cartera de atestaciones SaaS (SOC 2, ISO/IEC 27001, ISO/IEC 27017), acuerdo de tratamiento de datos, lista de subencargados y ventana de aviso de discontinuación del servicio.

Personalización del firmware: dónde acaba la regla puente y empieza la cláusula residual

La confusión más común en cumplimiento de marca blanca es entre la regla puente (un importador o distribuidor que modifica sustancialmente un producto ya introducido en el mercado pasa a ser el fabricante del producto modificado) y la cláusula residual (cualquier otro tercero que modifique sustancialmente un producto introducido pasa a ser el fabricante). Las dos rutas están en el CRA; cubren actores distintos.

La frontera, proyectada sobre los escenarios de personalización de firmware que se encuentra un propietario de marca blanca:

Dos implicaciones operativas. Primera, el propietario de la marca blanca no «escapa» a la cláusula residual alegando que la modificación sustancial la hizo otro; si introduces el producto modificado en el mercado bajo tu marca, la modificación forma parte de tu ámbito como fabricante. Segunda, cuando uno de tus distribuidores personaliza tu firmware de marca blanca, la regla puente aterriza sobre él, no sobre ti, para esas unidades concretas. Lleva la cuenta de qué unidades salieron de tu control sin modificar y cuáles se modificaron aguas abajo; la responsabilidad del período de soporte para las unidades modificadas se desplaza al modificador.

Para el texto completo de la regla puente y la cláusula residual, consulta las preguntas frecuentes del clúster del distribuidor, que las recogen una al lado de la otra.

Reloj del período de soporte para la marca blanca

El reloj del período de soporte del CRA arranca cuando el fabricante introduce el producto en el mercado de la UE. Para la marca blanca, tú eres el fabricante, así que el reloj arranca cuando tú introduces por primera vez tu versión rebrandeada en el mercado de la UE, no cuando el OEM introdujo por primera vez el original sin marca ni cuando te lo vendió a ti.

RELOJ DEL PERÍODO DE SOPORTE (MARCA BLANCA)

Año 0   El OEM introduce por primera vez la versión sin marca en el mercado de la UE
        El reloj de soporte del OEM arranca sobre su propia declaración UE de conformidad

Año 0   El OEM envía a tu almacén el primer lote rebrandeado
        (Aún no arranca ningún reloj CRA sobre ti, no está en el mercado de la UE)

Año 1   Introduces las primeras unidades rebrandeadas en el mercado de la UE
        TU reloj de soporte arranca sobre TU declaración UE de conformidad (5 años mínimo)

Año 1   El OEM sigue vendiendo el original sin marca en paralelo
        (Corren ahora dos relojes independientes; el del OEM cubre sus unidades, el tuyo las tuyas)

Año 4   El OEM detiene la producción
        Tu obligación de soporte sigue al menos hasta el año 6
        (y más allá si introdujiste unidades después del año 1)

La obligación de espejo que se desprende: tu contrato con el OEM debe comprometer al OEM a enviarte actualizaciones de seguridad AL MENOS durante el mismo período que tú comprometes ante tus usuarios. Si te comprometes a cinco años ante el usuario y el OEM se compromete a tres años contigo, cargas con una brecha de dos años sin fuente de parches. El escrow de código fuente y la cualificación de segunda fuente son las dos mitigaciones estándar.

Cuando el OEM cesa su actividad

Un malentendido común: cuando el OEM cierra, el CRA te impone un deber de notificación que transfiere parte de las obligaciones del OEM.

Dos aclaraciones importan. Primera, el deber de notificación del CRA sobre el cese del fabricante recae sobre el importador, no sobre ti. Como propietario de la marca blanca, eres el fabricante CRA de tu producto rebrandeado; el OEM era tu proveedor, no el fabricante de tu producto con marca. La disposición de notificación de cese del importador no te aplica en este escenario, porque el OEM no era el fabricante CRA de tu producto con marca. La sección de cese del clúster del importador detalla la obligación del lado importador.

Segunda, la obligación de soporte no «se transfiere» del OEM a ti porque siempre fue tuya. Te comprometiste con tus usuarios en la primera introducción; el cese del OEM cambia tu situación de aprovisionamiento, no tu compromiso normativo. El plan B práctico es lo que comprometió el contrato (escrow de código fuente, segunda fuente, servicios de transición), no la disposición de cese del importador.

La única notificación normativa de cese que SÍ te aplica a ti, como propietario de la marca blanca, es la obligación de cese del propio fabricante: si TÚ como fabricante cesas tu actividad, debes informar a las autoridades de vigilancia del mercado y, por cualquier medio disponible, a tus usuarios.

Marca blanca transfronteriza

Aprovisionas desde un ODM asiático, marcas e introduces el producto en el mercado de la UE a través de tu filial europea. El detonante de la marca blanca (eres fabricante desde la primera venta) se combina con la pregunta de ausencia de establecimiento en la UE a efectos de notificación de vulnerabilidades e incidentes.

Si la marca blanca pertenece a una matriz fuera de la UE y la filial europea es la entidad que introduce el producto en el mercado, hay dos rutas posibles. Ruta A: la filial europea es el fabricante legal, con la matriz actuando como propietario comercial de la marca; el Estado miembro de la filial es la autoridad competente. Ruta B: la matriz extra-UE es el fabricante legal (titular de la marca registrada) y la filial europea es el importador; la cascada de fallback del fabricante extra-UE encamina la notificación de incidentes vía Estado miembro del RA, Estado miembro del importador, Estado miembro del distribuidor y Estado miembro con más usuarios.

Elige la ruta de forma deliberada en la estructuración legal del grupo; no la dejes caer por accidente desde la titularidad de la marca. Un propietario de marca fuera de la UE sin establecimiento europeo ni representante autorizado designado encamina su notificación de incidentes al Estado miembro del importador por defecto, lo que significa que la autoridad de vigilancia del mercado de la filial europea recibirá las notificaciones esté o no preparada para tramitarlas.

Procedencia del SBOM en marca blanca

La página hermana de proveedores trata las cláusulas contractuales de SBOM en abstracto. Para la marca blanca, la realidad operativa es más afilada: no puedes generar el SBOM desde tu propio pipeline de build porque tú no escribiste el código.

Tres consecuencias operativas.

Primero, el SBOM es un entregable contractual del OEM, no un artefacto interno. Tu contrato debe especificar el formato (CycloneDX o SPDX), la cadencia de actualización (por release), la profundidad (dependencias transitivas, no solo directas) y el detonante de refresco (cualquier salto de versión del firmware). Sin esto, el OEM puede entregar un SBOM solo de dependencias directas que se deja fuera el 90 % de la superficie real de riesgo.

Segundo, la autoría del SBOM lleva tu marca aunque tú no escribieras los componentes. Cuando el SBOM lista una dependencia transitiva vulnerable, la diligencia debida de componente aterriza sobre ti. El registro de diligencia no puede ser un copia-pega del OEM; tiene que ser tu propia decisión y tu propia aceptación de riesgo por cada componente integrado. Usa la guía de diligencia debida de proveedores para los subcasos FOSS, cloud, hardware-only y stewards OSS dentro del SBOM del OEM.

Tercero, los escenarios de ODM solo hardware se dividen en BOM de hardware (BOM de componentes físicos) y SBOM de software (BOM del firmware que tú envías). El BOM de hardware lo aporta el OEM; el SBOM de software es tuyo (porque el firmware es tuyo). El expediente técnico tiene que distinguir las dos y el reparto de la monitorización de vulnerabilidades tiene que encajar: la monitorización del BOM de hardware fluye del OEM hacia ti, la monitorización del SBOM de software es responsabilidad directa tuya.

Cláusulas contractuales de reparto de responsabilidad

Siete cláusulas contractuales sostienen el acuerdo de marca blanca bajo el CRA. Cada una se conecta con una obligación específica del fabricante que nace contigo, el propietario de la marca, y depende del OEM para cumplirse.

1. Reconocimiento de fabricante CRA

El Proveedor reconoce que el Comprador introducirá el Producto
en el mercado de la UE bajo el nombre o marca del Comprador y
que el Comprador será considerado «fabricante» con arreglo al
Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia).
El Proveedor se compromete a apoyar las obligaciones de
cumplimiento del Comprador según se establece en el presente
Acuerdo.

2. Documentación técnica (anexo VII)

El Proveedor entregará al Comprador:
(a) Documentación técnica completa que cumpla los requisitos
    del anexo VII del Reglamento (UE) 2024/2847
(b) Toda la documentación necesaria para que el Comprador:
    - Realice la evaluación de la conformidad
    - Prepare la declaración UE de conformidad
    - Responda a solicitudes motivadas de vigilancia del mercado
(c) Actualizaciones de la documentación en un plazo de [10] días
    hábiles ante cualquier cambio que afecte al estado de
    conformidad

El Proveedor otorga al Comprador una licencia perpetua, irrevocable
y libre de regalías para usar dicha documentación a efectos de
cumplimiento, incluida su entrega a cualquier autoridad de
vigilancia del mercado en una lengua que la autoridad entienda.

3. Provisión de SBOM (con profundidad transitiva)

El Proveedor entregará:
(a) Software Bill of Materials en formato [CycloneDX/SPDX]
(b) SBOM actualizado en un plazo de [5] días hábiles desde cada
    release de firmware que cambie componentes directos o
    transitivos
(c) SBOM que incluya dependencias transitivas, no solo directas
(d) Identificación de componente con nombre, versión, proveedor,
    licencia y vulnerabilidades conocidas en el momento de la
    entrega

4. Notificación de vulnerabilidades (horas, no «sin demora»)

El Proveedor notificará al Comprador en un plazo de [24/48]
horas desde que tenga conocimiento de cualquier vulnerabilidad
de seguridad en el Producto o en cualquier componente integrado
transitivamente que:
(a) Esté explotada activamente
(b) Tenga una puntuación CVSS de 7,0 o superior
(c) Sea objeto de divulgación pública

Desarrollo de parches:
(a) Acuse de recibo en [24] horas
(b) Evaluación de severidad en [72] horas
(c) Entrega del parche en [7/30/90] días
    para severidad Crítica/Alta/Media

El Comprador conserva la autoridad final sobre las
comunicaciones al cliente y el calendario de release de la
actualización.

5. Espejo del período de soporte

El Proveedor se compromete a proporcionar actualizaciones de
seguridad para el Producto durante un período mínimo que iguale
o supere el compromiso de período de soporte del Comprador ante
sus usuarios finales y, en todo caso, durante al menos
[5/7/10] años desde la fecha de primera introducción en el
mercado de la UE por parte del Comprador.

El Proveedor entregará aviso por escrito con [90] días de
antelación a cualquier discontinuación planificada. Ante la
discontinuación, el Proveedor liberará el código fuente y los
artefactos de build bajo [escrow de código fuente / términos
de asistencia de transición].

6. Apoyo a la evaluación de la conformidad y derechos de auditoría

El Proveedor:
(a) Apoyará las actividades de evaluación de la conformidad
    del Comprador, incluida la entrega de informes de pruebas,
    certificados y evidencia bajo solicitud razonable
(b) Permitirá al Comprador o al organismo notificado del
    Comprador auditar las instalaciones de producción con
    [30] días de aviso por escrito
(c) Mantendrá controles de calidad coherentes con el tipo de
    producto evaluado

7. Traslado y divulgación de subcomponentes

El Proveedor:
(a) Entregará y mantendrá una lista de proveedores de
    subcomponentes que contribuyan o tengan acceso a partes
    del Producto relevantes para la seguridad
(b) Trasladará los requisitos CRA pertinentes a los
    subcomponentes
(c) Notificará al Comprador en un plazo de [30] días cualquier
    cambio material en la lista de proveedores de subcomponentes
(d) Mantendrá los registros de cualificación de proveedores de
    subcomponentes durante todo el período de soporte del
    Comprador más 10 años

Resumen de asignación de riesgos

Acuerdos de marca blanca heredados tras una operación corporativa

Adquieres una marca y descubres que la mitad de su catálogo es marca blanca sin trazabilidad de cumplimiento. El CRA no concede un período de gracia post-M&A; la entidad adquirente hereda las obligaciones del fabricante el día uno para cada producto actualmente en el mercado de la UE bajo la marca adquirida.

TRIAJE DE MARCA BLANCA POST-M&A (90 DÍAS)

DÍA 1-15: Inventario
[ ] Extraer la lista de SKU del ERP de la entidad adquirida
[ ] Etiquetar cada SKU como diseño propio / marca blanca / OEM modificado
[ ] Identificar al OEM detrás de cada SKU de marca blanca
[ ] Cotejar con el estado actual de envío (activo vs stock EOL)

DÍA 15-30: Análisis de brechas documentales
[ ] Por cada SKU activo de marca blanca: ¿hay declaración UE
    de conformidad a nombre del Comprador?
[ ] Por cada SKU activo de marca blanca: ¿hay expediente técnico
    a nombre del Comprador?
[ ] Por cada SKU activo de marca blanca: ¿hay SBOM?
[ ] Etiquetar SKU por severidad de la brecha
    (sin declaración > expediente incompleto > sin SBOM)

DÍA 30-60: Remediación de nivel 1
[ ] SKU sin declaración: retirar del mercado de la UE hasta
    contar con declaración
[ ] SKU sin expediente técnico: construir desde la evidencia
    del OEM más tu propia evaluación
[ ] SKU sin SBOM: contratar al OEM la entrega del SBOM; si el
    OEM rechaza o ha cesado, planificar sustitución o sunset

DÍA 60-90: Puerta de decisión
[ ] Cada SKU de marca blanca clasificado: mantener / sunset /
    sustituir OEM
[ ] Contratos OEM evaluados contra el conjunto de 7 cláusulas;
    brechas mapeadas
[ ] Cobertura de espejo de período de soporte analizada de
    extremo a extremo

CONTINUO:
[ ] Etiquetar el origen «adquirido vía M&A» en cada registro de
    SKU para auditoría
[ ] Incorporar los SKU heredados al ciclo normal de release de
    SBOM y monitorización de vulnerabilidades

El triaje no es un ejercicio de papel. Las autoridades que pregunten por qué un SKU de marca blanca de 12 años no tiene declaración UE de conformidad tras la adquisición aceptarán mejor «detectamos la brecha en nuestro triaje post-adquisición de 90 días y retiramos el SKU hasta su remediación» que «aún estamos averiguando qué OEM lo fabricó».

Errores típicos

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento, consulta con asesores legales cualificados familiarizados con las regulaciones de productos de la UE.