“Necesitamos la declaración PSTI esta semana”: ¿encargo documental o subsanación de evidencias?
Notas de campo para responsables de desarrollo de negocio en consultoras de ciberseguridad de productos conectados: cómo separar la revisión de una declaración PSTI de la reconstrucción del expediente, la subsanación de evidencias y el trabajo de ingeniería.
Señales que conviene observar
- El solicitante puede identificar el tipo, lote, modelo o variante controlada del producto destinado al Reino Unido
- El fabricante no se confunde con el importador o distribuidor que solicita el documento
- Hay una persona responsable de las evidencias sobre contraseñas, comunicación de vulnerabilidades y período de soporte definido
Imagine una solicitud habitual. En un grupo de Telegram de fabricantes de dispositivos al que su equipo tiene acceso autorizado aparece este mensaje:
“El minorista necesita la declaración PSTI esta semana. La app es la misma que la del modelo para la UE y ya probamos la configuración de contraseña. ¿Podéis emitir el documento?”
Para quien dirige el desarrollo de negocio en una consultora de ciberseguridad de productos conectados, es tentador presupuestarlo como un breve trabajo de redacción. Todavía es pronto. El mensaje no identifica el tipo y lote del producto para el Reino Unido, las versiones de hardware y software, la entidad jurídica fabricante, el importador, la vía de evidencia aplicable, el período de soporte definido ni la persona que firmará.
Se trata de una escena compuesta, no de una solicitud ni de un resultado de cumplimiento reales. Sirve porque deja al descubierto la decisión comercial: la declaración no define el encargo; lo define la primera línea de la declaración que no se puede respaldar.
Este responsable suele seguir grupos autorizados de fabricantes, importadores británicos, equipos de cumplimiento de cadenas minoristas y laboratorios de ensayo. Ver el mensaje un día tarde no significa solo responder tarde. La revisión del minorista puede avanzar mientras ingeniería, el área jurídica y el importador siguen convencidos de que otra persona conserva el registro que falta.
Fije la identidad del producto antes de presupuestar “la declaración”
El régimen británico de seguridad de productos conectables de consumo entró en vigor el 29 de abril de 2024. La guía para empresas del Gobierno destaca los requisitos sobre contraseñas, publicación de información para comunicar vulnerabilidades y publicación del período mínimo de actualizaciones de seguridad.
La declaración de conformidad es un documento concreto dentro de ese régimen. El anexo 4 del Reglamento de 2023 exige, entre otros datos:
- el tipo y el lote del producto;
- el nombre y la dirección de cada fabricante y, cuando corresponda, de cada representante autorizado;
- declaraciones sobre quién preparó el documento y sobre la opinión del fabricante respecto al cumplimiento;
- el período de soporte definido que era correcto cuando el fabricante suministró el producto por primera vez;
- la firma, el nombre y la función del firmante;
- el lugar y la fecha de emisión.
“La misma app que el modelo para la UE” no permite completar esas líneas. Un módulo de radio, una rama de firmware, el flujo de alta inicial o una variante de marca distintos pueden romper el vínculo entre el documento y sus evidencias.
La primera respuesta solo necesita abrir dos bifurcaciones:
- ¿Qué producto exacto llegará al mercado británico? Pida el modelo comercial, el tipo y lote u otra variante controlada, la revisión de hardware y las versiones de firmware y de la app.
- ¿Quién solicita ayuda y con qué papel jurídico? Registre por separado al fabricante, al representante autorizado si lo hay, al importador británico y al distribuidor o minorista que ha fijado el plazo.
Un “actor de la cadena de suministro” es una entidad jurídica con un papel concreto; el “lote” es el lote de producción que identifica el producto en la declaración. Confundirlos no es solo un error de traducción: puede vincular el documento al producto o a la empresa equivocados.
Siga la primera frase que no tenga respaldo
Una vez fijados el producto y los papeles de cada entidad, coloque el borrador de la declaración junto al expediente técnico y revíselo línea por línea. La solicitud suele abrir cuatro caminos.
Rama A: cada línea tiene una fuente vigente
El modelo y el lote coinciden. Los datos del fabricante están actualizados. Se han elegido los requisitos aplicables del anexo 1 o la vía de conformidad reconocida. El período de soporte definido está publicado y corresponde a ese producto. Un firmante responsable puede remontar cada afirmación hasta los registros revisados.
Esto sí es un encargo documental: revisar las entradas, preparar o corregir la declaración, anotar supuestos y devolver una versión controlada para que la apruebe la organización responsable. La proximidad del plazo no lo convierte por sí sola en una nueva evaluación de seguridad.
Rama B: la frase está clara, pero falta el registro de origen
Aquí hace falta subsanar evidencias. Tres carencias aparecen con frecuencia:
- Evidencias sobre contraseñas: “la configuración está probada” no aclara si, en la versión británica, se comprobaron el restablecimiento de fábrica, las credenciales predeterminadas compartidas o las derivadas de identificadores públicos.
- Comunicación de vulnerabilidades: un buzón interno de soporte no equivale a información pública que explique cómo comunicar un problema de seguridad.
- Período de soporte definido: una hoja de ruta interna no demuestra el período publicado para ese producto, sus fechas de inicio y fin ni quién lo aprobó.
El presupuesto debe cubrir la localización del responsable, la revisión o creación del registro que falta, la publicación exigida y su conexión con el expediente del producto. El borrador de la declaración llegará después; no es el primer entregable.
Rama C: nadie puede demostrar qué variante recibirá el minorista
Hace falta reconstruir el expediente del producto. Compare la referencia destinada al Reino Unido con el producto de referencia en todo lo que puede cambiar la afirmación de seguridad: hardware, firmware, app complementaria, generación de credenciales, servicio de actualizaciones e identidad jurídica del fabricante.
Los expedientes europeos sobre equipos radioeléctricos o el Reglamento de Ciberresiliencia pueden explicar una decisión de ingeniería, pero no fijan automáticamente la identidad del producto británico ni crean su declaración PSTI.
Rama D: las evidencias disponibles muestran un conflicto de diseño
Si el producto utiliza un patrón de contraseña predeterminada no permitido, carece de una vía efectiva para comunicar vulnerabilidades o el fabricante no ha tomado una decisión defendible sobre el período de soporte, el encargo ya no consiste en ordenar documentos. Requiere correcciones de ingeniería o de gobernanza y, cuando corresponda, nuevas pruebas.
La consultora puede organizar y cuestionar las evidencias. No puede convertir un conflicto de diseño en cumplimiento puliendo el texto de la declaración.
Separe el alcance según el papel jurídico del solicitante
El régimen impone obligaciones distintas a fabricantes, importadores y distribuidores; no son intercambiables. La guía empresarial de OPSS ayuda a comprobar el punto de partida de cada papel.
Si solicita ayuda el fabricante, localice a quien controla las evidencias del producto y a la persona autorizada para aprobar su declaración. Si la pide un importador, obtenga primero la declaración del fabricante y compruebe que corresponde al producto importado; no convierta al importador en fabricante para rellenar una plantilla. Si un minorista o distribuidor dice “subid el documento”, trátelo como una condición de suministro y remonte la petición hasta el fabricante, el importador y el producto exacto.
El anexo 4 permite declarar que el documento fue preparado por el fabricante o en su nombre. Eso no transfiere las afirmaciones de seguridad subyacentes a la consultora. La función del firmante debe constar y la organización responsable debe saber qué registro respalda cada afirmación.
Esta distinción evita un error comercial frecuente: dar un precio cerrado sin saber si el comprador controla los materiales necesarios. La misma frase puede significar revisión documental, reconstrucción del expediente o un proyecto de ingeniería cuya fecha de fin no puede prometerse antes de la primera revisión técnica.
Devuelva una nota de alcance con dos vías
Quien lleva desarrollo de negocio no necesita diagnosticar el producto entero en el grupo. Una nota breve puede mostrar la bifurcación:
Vía 1 — revisión de la declaración: están disponibles el tipo y lote exactos, los datos del fabricante, el índice de evidencias, el período de soporte definido y el firmante propuesto. Revisamos los registros y preparamos un borrador controlado.
Vía 2 — subsanación de evidencias: falta una o varias entradas, o se contradicen. Primero relacionamos la variante con el requisito sin respaldo; después acotamos quién debe producir el registro, la publicación, la prueba o la corrección de ingeniería antes de redactar.
Si el expediente inicial ya muestra que el diseño contradice un requisito, añada una tercera línea: el trabajo sobre la declaración se aplaza hasta resolver el problema técnico y las versiones afectadas.
La respuesta al mensaje original puede ser muy concreta:
“Enviad el modelo y lote exactos para el Reino Unido, las versiones de hardware, firmware y app, los nombres del fabricante y del importador, el registro actual de pruebas de contraseña, la página pública para comunicar vulnerabilidades, el período de soporte publicado y el firmante propuesto. Con eso podremos distinguir entre revisión de la declaración y subsanación de evidencias.”
No se está exigiendo un pliego perfecto en una sola respuesta. Los datos pueden llegar por fragmentos: una persona conoce la fecha del minorista, otra el modelo y un ingeniero envía después la página del período de soporte. Lo que aún no tenga fuente debe seguir marcado como desconocido.
Decida si el fragmento merece seguimiento inmediato
La frase urgente se convierte en un Signal comercial útil cuando otros mensajes añaden al menos tres elementos: un producto identificable para el Reino Unido, un hito real de suministro y alguien que puede abrir el expediente de evidencias. Un plazo sin producto sigue siendo ruido. Un modelo sin responsable de las evidencias exige una fase de descubrimiento. El modelo, la condición del minorista y un responsable accesible justifican una llamada rápida de calificación aunque el alcance final siga abierto.
En los grupos de Telegram que el usuario ha conectado deliberadamente y está autorizado a consultar, TOP Prospect puede conservar los fragmentos relacionados y sus fuentes, y elevar el candidato combinado en la cola de revisión. La inspección de firmware privado, la verificación de controles, el contacto con el autor, la firma y la conclusión de conformidad siguen correspondiendo a la consultora y a la empresa responsable, no a la capa de descubrimiento.
Al cerrar la primera calificación, la nota comercial debe contener una de cuatro etiquetas: revisión documental, reconstrucción del expediente, subsanación de evidencias o corrección de ingeniería. Si el solicitante aporta el producto exacto y un respaldo para cada línea, presupueste el documento. Si la primera carencia es “nunca hemos publicado el período de soporte”, presupueste esa carencia.
“Necesitamos la declaración esta semana” marca la urgencia. La primera línea sin respaldo de la declaración marca el alcance.
Fuentes y lecturas adicionales
- Gobierno del Reino Unido: normativa de seguridad de productos conectables de consumo, actualizada el 17 de marzo de 2025
- Reglamento de 2023 sobre seguridad de productos e infraestructura de telecomunicaciones (requisitos de seguridad para productos conectables pertinentes)
- OPSS: guía empresarial sobre el régimen de seguridad de productos del Reino Unido, publicada el 23 de abril de 2024
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
