El pasado del 10 de diciembre de 2024, entró en vigor el Reglamento de Ciberresiliencia de la Unión Europea (CRA, por sus siglas en inglés: Cyber Resilience Act), una nueva legislación clave destinada a mejorar la seguridad y resiliencia cibernética de los productos conectados a internet. Este reglamento establece un conjunto de normas para asegurar que los productos y servicios tecnológicos que se comercialicen en la UE cumplan con estrictos estándares de seguridad cibernética durante su ciclo de vida.

La mencionada normativa afecta principalmente a fabricantes de productos digitales, desarrolladores de software, distribuidores e importadores y otro tipo de actores incluyendo aquellos dedicados a la reventa de productos, siempre que participen en el suministro de productos afectados en el mercado europeo y supone:

1. Obligaciones de seguridad para productos y servicios conectados

• Diseño seguro: Los fabricantes deben garantizar que sus productos estén diseñados para resistir ataques cibernéticos y sean seguros desde su creación.
• Ciclo de vida completo: No solo deben ser seguros al momento de la venta, sino que también deben contar con actualizaciones de seguridad y mantenimiento a lo largo de su vida útil.

2. Gestión de riesgos

• Las empresas deben realizar una evaluación de riesgos cibernéticos antes de poner un producto en el mercado, identificando y mitigando las posibles vulnerabilidades.
• Deben aplicar medidas adecuadas para reducir los riesgos de ciberseguridad, estableciendo controles para minimizar las amenazas a la seguridad de los usuarios.

3. Actualizaciones de seguridad periódicas

• Los fabricantes tienen la obligación de proporcionar actualizaciones de seguridad para los productos que comercializan, asegurándose de que los usuarios puedan mantener sus dispositivos y servicios protegidos frente a nuevas vulnerabilidades.

4. Notificación de incidentes

• En caso de que se descubra una vulnerabilidad importante en sus productos, los proveedores deben notificar rápidamente a las autoridades y a los usuarios afectados. Esto permite una respuesta rápida ante posibles amenazas cibernéticas.

5. Transparencia hacia los consumidores

• Se requiere que las empresas informen de manera clara sobre las características de seguridad de sus productos, permitiendo a los consumidores tomar decisiones informadas sobre los productos que adquieren.
• También se incluye la obligación de informar sobre los riesgos asociados a los productos y las medidas que se han tomado para mitigar estos riesgos.

6. Supervisión y cumplimiento

• Los productos y servicios estarán sujetos a la supervisión de las autoridades nacionales y europeas. Las autoridades podrán realizar auditorías y verificar el cumplimiento de las normativas de seguridad.
• Se impondrán sanciones a aquellos fabricantes que no cumplan con las normas de ciberseguridad establecidas en la ley.

7. Ampliación de la responsabilidad de los proveedores

• No solo los fabricantes de hardware están sujetos a la ley, sino también los proveedores de servicios digitales, plataformas en línea y otros actores clave en el ecosistema digital. Todos deben garantizar que sus productos sean ciberseguro.

8. Nuevas normativas para dispositivos IoT

• La ley incluye disposiciones especiales para los dispositivos IoT (Internet de las Cosas), dada la creciente preocupación por las vulnerabilidades en estos dispositivos conectados. Estos dispositivos deben cumplir con requisitos de seguridad robustos y estar protegidos contra posibles ataques.

9. Fomento de la innovación y la competitividad

• A pesar de las estrictas regulaciones, el reglamento está diseñado para fomentar la innovación en el sector tecnológico, creando un entorno más seguro que aumente la confianza de los consumidores y usuarios en los productos tecnológicos.

10. Cooperación internacional

• La Ley de Ciberresiliencia también promueve la cooperación entre los estados miembros de la UE y con otros actores internacionales para fortalecer las normativas globales de seguridad cibernética, colaborando en la prevención y respuesta ante ciberamenazas.

En definitiva, el propósito de la ley es responsabilizar más a los vendedores y proveedores, obligándolos a brindar soporte de seguridad y actualizaciones de software para solucionar las vulnerabilidades identificadas a lo largo del ciclo de vida del producto y brindar a los consumidores más información sobre los productos en el mercado.

A pesar de entrar en vigor el 10/12/2024, no se llevará a cabo una aplicación plena, ya que no producirá sus efectos hasta diciembre de 2027, algunas disposiciones, como la notificación de vulnerabilidades, entrarán en vigor antes, a partir de 2026. Por lo tanto, el reglamento será aplicable:

• de forma general, desde el 11 de diciembre de 2027;
• desde el 11 septiembre de 2026, lo relativo a las obligaciones de información de los fabricantes;
• desde el 11 de junio de 2026, lo relativo a la notificación de los organismos de evaluación de la conformidad

Esto se debe a que los fabricantes dispondrán de un plazo de hasta 36 meses desde la entrada en vigor de la norma para adaptarse a su cumplimiento.

Publicado el 28 de Marzo de 2025
Por Alfredo Barroso
Departamento Jurídico

El Consejo de Ministros ha dado un paso importante en la mejora de las condiciones laborales, aprobando un anteproyecto de ley que establece la reducción de jornada laboral máxima a 37,5 horas semanales. Dicha reforma es fruto del acuerdo alcanzado con los principales sindicatos, UGT y CCOO, teniendo como objetivo mejorar el equilibrio entre la vida personal y laboral, un aspecto que ha cobrado gran relevancia en los últimos años debido a la creciente digitalización del trabajo y el aumento de las jornadas laborales en algunos sectores.

La implantación de dicha medida beneficiará especialmente a sectores con jornadas laborales largas, como es el caso de la hostelería, el comercio y la agricultura. Además, el nuevo marco legislativo introduce un sistema de registro de jornada laboral digital, que permite tanto a las personas trabajadoras como a la inspección de trabajo acceder de manera más fácil a la información sobre las horas trabajadas, asegurando la autenticidad de los datos aportados. Este registro es obligatorio para todas las empresas las cuales deben implantar medidas que permitan supervisar las condiciones laborales de manera más efectiva y reducir las irregularidades en el control de las horas de trabajo.

Un aspecto clave de la presente reforma, es reforzar el derecho de desconexión digital, que garantizará al personal laboral puedan desconectar completamente del trabajo fuera de su jornada laboral. Dicho derecho tiene como objetivo la protección de la salud mental de los empleados y empleadas. Las empresas que no respeten este derecho o el nuevo sistema de registro de jornada podrán enfrentarse a sanciones económicas que oscilan desde los 1.000 hasta los 10.000 euros, dependiendo de la gravedad de la infracción cometida.

Por otro lado, la reforma también establece que los convenios colectivos deberán adaptarse a la nueva normativa antes del 31 de diciembre de 2025, proporcionado un gran margen temporal para que las empresas y sindicatos puedan negociar y ajustar dichas condiciones según las nuevas disposiciones.

En este sentido, el Gobierno también ha anunciado que se abrirá una mesa de diálogo social para evaluar el impacto de esta reforma, asegurando que se sigan teniendo en cuenta las necesidades tanto del trabajador como de la propia empresa. Esta iniciativa representa un avance en la creación de un mercado laboral más adaptado, promoviendo un entorno de trabajo más justo, saludable y flexible.

En definitiva, este nuevo anteproyecto supone:

• La reducción de la jornada laboral legal máxima por primera vez desde 1983.
• Adaptación del registro de jornada, ya que debe ser interoperable, accesible, digital, fiable y objetivo.
• También prevé la modificación de multas por cada trabajador/a sujeto de la infracción
• Definición del derecho a la desconexión como un derecho irrenunciable para evitar que pueda exigirse el desarrollo de la prestación fuera de los horarios pactados, respetando el derecho al descanso y a la propia intimidad de las personas trabajadoras frente al uso de los dispositivos de videovigilancia y geolocalización.

Publicado el 28 de Febrero de 2025
Por Alfredo Barroso
Departamento Jurídico

El 2024 finalizó con el acuerdo, de la vicepresidenta segunda del Gobierno y los secretarios generales de CCOO y de UGT, sobre la reducción de jornada a 37,5 horas semanales en 2025 sin reducción de salario. No solo eso, si no lo que también se pretende velar y garantizar el derecho a la desconexión digital de las personas trabajadoras.

La desconexión digital se refiere al derecho de las personas trabajadoras a no estar disponibles para su empleador fuera de su horario laboral, evitando el uso de dispositivos electrónicos relacionados con el trabajo, como correos electrónicos o mensajes instantáneos. Esta necesidad surge de los profundos cambios en el mundo laboral, especialmente en un entorno cada vez más digitalizado y conectado.Lo que se pretende con este derecho es:

1. Protección de la salud mental y física
2. Mejora del equilibrio entre la vida personal y profesional
3. Aumento de la productividad
4. Reducción del absentismo laboral
5. Prevención de abusos laborales
6. Adaptación a los nuevos modelos de trabajo
7. Cumplimiento de normativas legales

Es esencial regular y contemplar en los textos legales el derecho irrenunciable a la desconexión digital fuera del horario laboral. La no atención de estas comunicaciones no podrá ocasionar consecuencias negativas para la persona trabajadora que tiene derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por la empresa.

Este derecho, ya reconocido en el artículo 20 bis del Estatuto de los Trabajadores y en el artículo 88 de la Ley Orgánica 3/2018 de Protección de Datos y Garantías de los Derechos Digitales, será objeto de un refuerzo normativo en 2025 para garantizar su cumplimiento efectivo.

Art. 20 bis ET establece: Los trabajadores tienen derecho a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales.

Art 88.3 LOPDGDD establece: El empleador, previa audiencia de los representantes de los trabajadores, elaborará una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática.

Además, se implementarán sanciones más severas para las empresas que incumplan estas disposiciones, con el objetivo de asegurar un equilibrio saludable entre la vida laboral y personal de las personas trabajadoras. Esta normativa también será aplicable en situaciones de teletrabajo, reconociendo la importancia de desconectar en entornos laborales digitales.

El objetivo primordial de estas iniciativas es promover condiciones laborales más justas y equilibradas, adaptándose a las realidades del entorno digital actual y priorizando el bienestar del peronal laboral de las empresas.

Desde Grupo Data, te ayudamos en la creación de una política de desconexion digital que se adapte a tu entidad y asesorarte en la materia para llevar a cabo una correcta emplantación de la normativa.

Publicado el 31 de Enero de 2025
Por Alfredo Barroso
Departamento Jurídico