Normativa del Reino Unido
PSTI: las normas de seguridad del Reino Unido para productos conectados
La PSTI es el régimen de seguridad del Reino Unido para los productos conectables de consumo, establecido por la Product Security and Telecommunications Infrastructure Act 2022 y por unos Reglamentos en vigor desde el 29 de abril de 2024. Los fabricantes no pueden usar contraseñas predeterminadas universales, deben publicar cómo notificar problemas de seguridad y deben publicar un período mínimo de actualizaciones de seguridad.
Plan gratuito, sin tarjeta.
¿Qué es la PSTI?
PSTI son las siglas de la Product Security and Telecommunications Infrastructure Act 2022. La parte 1 de la ley faculta al Gobierno británico para fijar requisitos de seguridad para los productos conectables, y los Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023 establecen los tres primeros. Los Reglamentos entraron en vigor el 29 de abril de 2024 y se extienden a Inglaterra y Gales, Escocia e Irlanda del Norte.
La parte 2 de la ley trata de la infraestructura de telecomunicaciones, por ejemplo los derechos de los operadores de red para instalar equipos. Esta guía cubre la parte 1, el régimen de seguridad de productos, que es lo que los fabricantes quieren decir cuando hablan de cumplir la PSTI.
¿Qué productos están cubiertos?
El régimen se aplica a los productos conectables pertinentes que se comercializan para clientes en el Reino Unido, empezando por los consumidores. La ley abarca dos tipos de producto: los productos conectables a internet, que se conectan mediante el conjunto de protocolos de internet, y los productos conectables a una red, que no llegan por sí mismos a internet pero se conectan a un producto que sí lo hace. Una cámara inteligente, un altavoz conectado y un sensor que depende de un concentrador pueden estar incluidos en el ámbito.
Los fabricantes de fuera del Reino Unido quedan cubiertos cuando sus productos se venden a clientes británicos. El anexo 3 de los Reglamentos exceptúa algunas categorías porque otras normas ya las regulan:
- Ordenadores de sobremesa y portátiles, y tabletas que no pueden conectarse a una red móvil, salvo que estén diseñados exclusivamente para menores de 14 años.
- Productos sanitarios cubiertos por los Medical Devices Regulations 2002.
- Contadores inteligentes instalados por comercializadoras de energía con licencia y garantizados mediante un esquema aprobado.
- Puntos de recarga de vehículos eléctricos cubiertos por los Electric Vehicles (Smart Charge Points) Regulations 2021.
- Algunos productos comercializados en Irlanda del Norte con arreglo a la legislación de la UE aplicable que figura en el Marco de Windsor.
Los tres requisitos de seguridad de la PSTI
El anexo 1 de los Reglamentos de 2023 fija tres requisitos para los fabricantes. Cada uno apunta a una debilidad habitual y bien documentada de los dispositivos de consumo. El anexo 2 añade una vía de cumplimiento presunto mediante disposiciones concretas de la ETSI EN 303 645 y de la ISO/IEC 29147.
| Requisito | Qué exige | Cumplimiento presunto |
|---|---|---|
| Sin contraseñas predeterminadas universales | Las contraseñas deben ser únicas para cada producto o estar definidas por el usuario. Las contraseñas únicas no deben seguir contadores incrementales, derivarse de información pública ni de números de serie sin criptografía aceptada, ni ser fáciles de adivinar. | Disposición 5.1-1 de la ETSI EN 303 645, y 5.1-2 cuando proceda |
| Información sobre cómo notificar problemas de seguridad | Publicar al menos un punto de contacto para notificar problemas de seguridad e indicar cuándo recibirá quien notifica un acuse de recibo y actualizaciones de estado hasta que se resuelva el problema. | Disposición 5.2-1 de la ETSI EN 303 645, o los apartados 6.2.2, 6.2.5 y 6.5 de la ISO/IEC 29147 |
| Información sobre los períodos mínimos de actualizaciones de seguridad | Publicar el período de soporte definido en un lenguaje claro que entienda un lector no técnico, con la misma visibilidad cuando el fabricante vende el producto en su propio sitio web. Puede ampliarse, pero no acortarse. | Disposición 5.3-13 de la ETSI EN 303 645 |
Quién tiene que hacer qué
Los fabricantes deben cumplir los requisitos de seguridad, investigar los posibles incumplimientos y conservar registros. Una declaración de cumplimiento debe acompañar al producto. Los importadores y distribuidores tienen sus propias obligaciones: comprobar que la declaración de cumplimiento existe, no suministrar productos con un incumplimiento y actuar cuando detecten uno.
El anexo 4 de los Reglamentos fija el contenido mínimo de la declaración de cumplimiento:
- El tipo de producto y el lote.
- El nombre y la dirección de cada fabricante y de cualquier representante autorizado.
- Una declaración de que la ha elaborado el fabricante o alguien en su nombre, y de que, en opinión del fabricante, se han cumplido los requisitos de seguridad o las condiciones de cumplimiento presunto.
- El período de soporte definido en el momento en que el producto se suministró por primera vez.
- El nombre, el cargo y la firma de quien firma, y el lugar y la fecha de emisión.
Aplicación y sanciones
La Office for Product Safety and Standards (OPSS), la oficina británica de seguridad y normas de producto, aplica el régimen en nombre del Secretario de Estado. La ley prevé avisos de cumplimiento, avisos de cese y avisos de retirada, así como el decomiso de los productos que no cumplen.
Una sanción económica puede alcanzar la mayor de estas dos cantidades: 10 millones de libras o el 4 % de los ingresos mundiales computables de la empresa, y puede añadirse una sanción diaria de hasta 20.000 libras por cada día que continúe la infracción.
La PSTI y el Cyber Resilience Act de la UE
Los productos vendidos en el Reino Unido y en la UE se enfrentan a ambos regímenes. El Cyber Resilience Act es más amplio: cubre los productos con elementos digitales en general, fija requisitos esenciales de diseño, desarrollo y gestión de vulnerabilidades, exige un SBOM y obliga a notificar las vulnerabilidades aprovechadas activamente desde el 11 de septiembre de 2026. La PSTI es más limitada y se aplica a los productos conectables de consumo en el Reino Unido desde abril de 2024.
Los tres requisitos de la PSTI coinciden con prácticas que también espera el CRA: sin contraseñas predeterminadas, un contacto para los informes de vulnerabilidades y un período de soporte declarado. El trabajo hecho para un régimen sirve para el otro, pero cumplir la PSTI no demuestra la conformidad con el CRA.
Disponible hoy en KROMSE
KROMSE no evalúa ni certifica el cumplimiento de la PSTI ni elabora declaraciones de cumplimiento; aporta las evidencias sobre vulnerabilidades de las que dependen su proceso de notificación y su período de soporte.
- Vulnerabilidades conocidas en el software y el firmware basado en Linux de un producto conectado, con evidencias y límites de cobertura.
- Errores de configuración y secretos incrustados en el sistema de archivos raíz desempaquetado de una imagen de firmware; los valores de los secretos nunca se almacenan.
- SBOM CycloneDX y SPDX de cada análisis.
- Contexto de CISA KEV, FIRST EPSS, NVD y la EUVD de ENISA en los hallazgos, con las vulnerabilidades de explotación conocida señaladas.
Preguntas frecuentes
¿Qué significa PSTI?
Product Security and Telecommunications Infrastructure, por la Product Security and Telecommunications Infrastructure Act 2022. Su régimen de seguridad de productos de la parte 1 se aplica mediante los Reglamentos de 2023, en vigor desde el 29 de abril de 2024.
¿Cuándo entró en vigor la PSTI?
Los requisitos de seguridad se aplican desde el 29 de abril de 2024, con arreglo a los Product Security and Telecommunications Infrastructure (Security Requirements for Relevant Connectable Products) Regulations 2023, SI 2023/1007.
¿Se aplica la PSTI a los productos fabricados fuera del Reino Unido?
Sí. Lo que importa es que el producto se comercialice para clientes en el Reino Unido. Los fabricantes extranjeros quedan cubiertos, y los importadores y distribuidores británicos tienen sus propias obligaciones, entre ellas comprobar que existe la declaración de cumplimiento.
¿Es obligatoria la ETSI EN 303 645 según la PSTI?
No. Los requisitos legales están en el anexo 1 de los Reglamentos. Cumplir las disposiciones de la ETSI EN 303 645 que enumera el anexo 2, o la ISO/IEC 29147 para la notificación de vulnerabilidades, es una vía de cumplimiento presunto, y por eso muchos fabricantes la utilizan.
¿Hace KROMSE que mi producto cumpla la PSTI?
No. KROMSE no certifica el cumplimiento ni elabora declaraciones de cumplimiento. Detecta vulnerabilidades conocidas en software y en firmware basado en Linux, genera SBOM y registra decisiones, lo que respalda la gestión de vulnerabilidades que hay detrás de su contacto de notificación y de su período de soporte.
Guías relacionadas
Fuentes
- Product Security and Telecommunications Infrastructure Act 2022, legislation.gov.uk
- The PSTI (Security Requirements for Relevant Connectable Products) Regulations 2023, legislation.gov.uk
- DSIT: el régimen de seguridad de productos PSTI del Reino Unido, GOV.UK
- Reglamento (UE) 2024/2847 (Cyber Resilience Act), EUR-Lex