El Anexo II punto 7 de la Ley de Ciberresiliencia (Reglamento (UE) 2024/2847) exige a los fabricantes indicar la fecha de fin del periodo de soporte en la información que acompaña al producto, antes de la compra. Es la obligación orientada al usuario que complementa las reglas de duración del Artículo 13(8) y el deber de información sobre el fin de vida en el punto de compra del Artículo 13(19). Para la mecánica de la duración, consulta las bases del periodo de soporte del CRA; para la entrega de parches, consulta las actualizaciones de seguridad del CRA.
Resumen
- Requisito previo a la compra. La divulgación de la fecha de fin prevista en el Anexo II punto 7 debe llegar al usuario antes de que se complete la compra, no después.
- En la documentación del producto específicamente. La divulgación pertenece a las instrucciones e información que acompañan al producto, no a un canal de marketing independiente, a un correo electrónico poscompra ni a un documento de condiciones de servicio.
- Refleja la fecha de fin real. Si el fabricante se acoge a la excepción por vida útil reducida del Artículo 13(8), la divulgación del Anexo II debe mostrar la fecha de fin real (reducida), no un indicador redondeado de cinco años.
- Vinculada a la conservación del expediente técnico del Anexo VII. Conforme al Artículo 13(13), el expediente técnico (que incluye la información del Anexo II) debe conservarse durante 10 años desde la comercialización, o durante el periodo de soporte si este fuera mayor.
- Sanciones por incumplimiento. El incumplimiento de los requisitos esenciales del Artículo 13, incluida la divulgación del periodo de soporte, puede dar lugar a multas de hasta €15.000.000 o el 2,5 % de la facturación global en virtud del Artículo 64.
Los cuatro puntos de referencia de la divulgación del fin de soporte del CRA: el punto del Anexo II, el párrafo relacionado del Artículo 13, el suelo de conservación y el techo de sanciones.
Qué exige el Anexo II punto 7
El Anexo II del Reglamento (UE) 2024/2847 enumera la información que el fabricante debe facilitar a los usuarios. El punto 7 exige al fabricante incluir "la fecha de fin del periodo de soporte" en las instrucciones e información que acompañan al producto. En la práctica, esto implica cuatro obligaciones simultáneas:
- La fecha de fin se indica en la documentación del producto proporcionada en el punto de venta o descarga, o con anterioridad.
- Aparece antes de que el usuario complete la compra, no en un correo electrónico de bienvenida poscompra ni en las condiciones de servicio.
- Si el fabricante aplica la excepción por vida útil reducida del Artículo 13(8), la divulgación del Anexo II refleja la fecha de fin real (reducida), no una estimación redondeada de cinco años.
- La divulgación forma parte del expediente técnico del Anexo VII y se conserva durante al menos 10 años desde la comercialización en virtud del Artículo 13(13).
Implicación práctica: la fecha de fin del periodo de soporte es una especificación del producto, no un compromiso comercial. Queda registrada en el expediente técnico, se muestra a los usuarios antes de la compra y se actualiza cada vez que se renueva una versión del producto o cambia la evaluación de la vida útil prevista.
Dónde debe aparecer la divulgación, por canal
La obligación del Anexo II punto 7 solo se cumple cuando la fecha de fin llega al usuario antes de que se efectúe el pago. El lugar donde debe aparecer la divulgación depende del canal; la tabla siguiente mapea cada uno con la ubicación que satisface la obligación y la que no es suficiente.
| Canal | La divulgación debe aparecer | No es suficiente |
|---|---|---|
| Comercio físico | En el embalaje o en la documentación previa al precintado | Etiqueta legible solo tras desembalar |
| Comercio electrónico | Página de detalle del producto, o enlace con un solo clic desde ella, antes de añadir al carrito | Página de pago, confirmación del pedido, correo electrónico poscompra |
| SDK / desarrollador | Página de documentación pública de la API o del componente consultada antes de la integración | README dentro del paquete descargado |
| Contratación B2B | Ficha técnica, hoja de datos o respuesta a licitación evaluada antes de la firma | Documento de incorporación posterior al contrato |
| Software descargable | Página de descarga, o el resumen previo a la instalación del instalador | Pantalla en la aplicación visible solo tras el primer lanzamiento |
Ubicaciones del Anexo II punto 7 por canal. El principio es uniforme en los cinco: la fecha de fin forma parte de la decisión de compra y debe estar disponible en el momento en que el comprador la toma. Esto complementa el deber de divulgación del fin de vida en el punto de compra del Artículo 13(19).
Ejemplo práctico: divulgación por versión en una línea de tiempo
Un fabricante comercializa el producto v1.0 en el mercado de la UE en enero de 2028 con un compromiso de soporte de cinco años y, a continuación, lanza la v1.1 en julio de 2028 con su propio compromiso de cinco años. La divulgación del Anexo II se vincula a la versión, no a la fecha de compra del cliente.
Relación con el expediente técnico y la Declaración UE de Conformidad
Una divulgación que es correcta en la página del producto pero está ausente del expediente técnico, o que consta en el expediente técnico pero no es visible para el comprador, no cumple la obligación. Tres elementos deben estar alineados al mismo tiempo:
La información de usuario del Anexo II forma parte de la documentación técnica. Consulta Documentación técnica del CRA para la estructura del expediente (Artículo 31 / Anexo VII) y la regla de conservación del Artículo 13(13).
La Declaración afirma la conformidad con el Artículo 13. El Artículo 13(20) permite una Declaración completa o simplificada, pero la divulgación de la fecha de fin del Anexo II orientada al usuario no es opcional en ninguno de los dos casos. Consulta Declaración de conformidad del CRA.
Hasta la fecha de fin divulgada, el fabricante debe cumplir con la mecánica de parcheo descrita en Actualizaciones de seguridad del CRA. La divulgación y la obligación de entrega expiran simultáneamente.
Preguntas frecuentes
¿Qué debe incluir la información del Anexo II sobre el periodo de soporte?
La fecha de fin del periodo de soporte, indicada en la información facilitada a los usuarios en el punto de venta o con anterioridad. La fecha debe ser concreta (por ejemplo, "actualizaciones de seguridad disponibles hasta el 11 de diciembre de 2032") y reflejar el compromiso real, incluida cualquier excepción por vida útil reducida. Los correos poscompra o los bloques de condiciones de servicio no satisfacen la obligación. Si el producto se actualiza con una nueva versión que reinicia el contador de soporte, la divulgación del Anexo II debe actualizarse para mostrar la nueva fecha de fin. (Anexo II punto 7; Artículo 13(8); Anexo VII.)
¿Es suficiente indicar "al menos cinco años desde la compra" o la divulgación debe incluir una fecha concreta?
No, se requiere una fecha concreta. Una formulación relativa como "actualizaciones de seguridad durante al menos cinco años desde la compra" no es una fecha de fin y no cumple la obligación de divulgación. El grado de precisión puede limitarse a mes y año ("diciembre de 2032") en lugar de un día natural completo, pero se requiere una fecha de referencia fija para que el comprador pueda calcular el tiempo de soporte restante antes de pagar. La fecha de fin es, además, lo que se registra en el expediente técnico del Anexo VII, por lo que una expresión relativa no tiene cabida en la cadena de documentación. (Anexo II punto 7; Anexo VII.)
¿En qué lugar de la página de producto de comercio electrónico debe aparecer la fecha de fin?
En la propia página de detalle del producto, o accesible a través de un enlace claramente etiquetado desde ella (por ejemplo, una pestaña "Especificaciones", "Ciclo de vida" o "Soporte"). Incluirla únicamente en las condiciones de servicio, solo en una sección de preguntas frecuentes o solo en la página de confirmación poscompra no satisface el requisito previo a la compra. Un comprador razonable que evalúa el producto antes de hacer clic en "comprar" debe poder ver la fecha de fin del periodo de soporte sin haber comprometido ya la compra. (Anexo II punto 7; Artículo 13(19).)
¿Si amplío el periodo de soporte después del lanzamiento, debo actualizar la divulgación?
Sí. La información del Anexo II forma parte de la documentación técnica y debe reflejar el compromiso real. Si el fabricante amplía el periodo de soporte, tanto la divulgación orientada al usuario (página del producto, embalaje, ficha técnica, resumen del instalador) como el expediente técnico conservado del Anexo VII deben actualizarse para mostrar la nueva fecha de fin. La fecha de fin original permanece en el expediente conservado como evidencia de la divulgación aplicable a las ventas anteriores, de modo que el rastro de auditoría queda intacto para las unidades ya en el mercado. (Anexo II punto 7; Artículo 13(13); Anexo VII.)