El Reglamento no fija cuantías ni tipos infractores. Su artículo 80 encarga a los Estados miembros establecer el régimen de sanciones aplicable a cualquier infracción, exige que sean efectivas, proporcionadas y disuasorias y les da de plazo hasta el 7 de agosto de 2029 para comunicar a la Comisión lo establecido. El propio artículo 80 no es aplicable hasta el 7 de agosto de 2028, un año después de que el Reglamento empiece a aplicarse.

Conviene no leer el canal clínico como un régimen de brechas. Un cifrado por rescate que deja inaccesible el registro de trazabilidad, o una alteración de los datos que rompe el vínculo entre donante, sustancia y receptor, encaja en el efecto adverso grave por la letra f) y se notifica. Una exfiltración de datos de donantes que no toque la calidad ni la seguridad de la sustancia, en cambio, no encaja en ninguno de los seis supuestos: esa se notifica por el artículo 33 del Reglamento (UE) 2016/679, y el Reglamento SoHO no la duplica ni la sustituye. Hay un tercer aviso que se confunde con facilidad porque también habla de incidentes: cuando la entidad recibe información sobre un incidente grave o una acción correctiva de seguridad de un producto sanitario que utiliza, tiene que trasladarla a su autoridad competente. Ese incidente es el de los Reglamentos de productos sanitarios, no uno propio.

Reacción adversa grave o efecto adverso grave detectado o sospechado por la entidad de SoHO

Plazo

Sin demora indebida

Desde cuándo corre

Que la entidad detecte o sospeche que una reacción adversa o un efecto adverso entra en la definición de reacción adversa grave o en la de efecto adverso grave. La notificación inicial lleva descripción, evaluación preliminar de imputabilidad y de gravedad y las medidas inmediatas adoptadas; el informe de investigación completo llega después, al término de la investigación, sin plazo fijado

Art. 44.3 y 44.7

Incidente, riesgo o amenaza de seguridad informática conocido o sospechado por quien opera la Plataforma SoHO de la UE

Plazo

De inmediato

Desde cuándo corre

Que el agente o el agente autorizado tenga conocimiento del incidente, del riesgo o de la amenaza, o sospeche de su existencia. No hay umbral de gravedad ni ventana de horas: el deber nace con la sospecha

Reglamento de Ejecución (UE) 2025/1467, art. 12.2

Escasez significativa en el suministro de SoHO críticas

Plazo

Sin demora indebida

Desde cuándo corre

Que se cancele o aplace la aplicación o la distribución de SoHO críticas por indisponibilidad, o exista riesgo significativo de que ocurra, y esa situación plantee un riesgo grave para la salud humana. La alerta indica los motivos, el impacto previsto en los receptores y las medidas de mitigación adoptadas

Art. 64.1

Autoridad competente en materia de SoHO del Estado miembro

Cuándo

Canal general del Reglamento: reacciones y efectos adversos graves, informe de investigación y alerta de suministro

En España

España no ha designado todavía sus autoridades competentes en materia de SoHO ni su autoridad nacional en materia de SoHO, y no lo hará necesariamente antes de que el Reglamento se aplique, el 7 de agosto de 2027. Hoy la supervisión de la hemodonación y de las células y tejidos se reparte entre las autoridades sanitarias de las comunidades autónomas y, en el ámbito estatal, el Ministerio de Sanidad, con la Organización Nacional de Trasplantes como órgano de coordinación, bajo el Real Decreto 1088/2005, el Real Decreto 1343/2007 y el Real Decreto-ley 9/2014. Ese es el punto donde seguir la designación, no una ventanilla confirmada bajo el Reglamento.

Art. 44.3 y 44.7 · art. 64.1

Comisión Europea y autoridad nacional en materia de SoHO

Cuándo

Incidentes, riesgos y amenazas de seguridad informática relacionados con la Plataforma SoHO de la UE

En España

La autoridad nacional en materia de SoHO es un papel que el Reglamento obliga a designar y que España aún no ha atribuido. El aviso a la Comisión, en cambio, no depende de esa designación: se dirige al equipo de apoyo de la Plataforma SoHO de la UE.

Reglamento de Ejecución (UE) 2025/1467, art. 12.2

Otras entidades de SoHO que participaron en la cadena y, cuando proceda, organizaciones de obtención de órganos y fabricantes

Cuándo

Cuando la reacción o el efecto adverso grave pueda afectar a sustancias del mismo donante o a otras entidades de la cadena

Art. 44.8

Entidad de SoHO

Quien realiza alguna de las actividades del artículo 2, apartado 1, letra c), desde el registro de donantes hasta la aplicación en el ser humano

Establecimiento de SoHO

La entidad que procesa y almacena, libera, importa o exporta, y que no puede empezar hasta tener la autorización

Establecimiento importador de SoHO

Quien introduce en la Unión sustancias de un tercer país, con autorización propia y acuerdo escrito previo con cada proveedor

Entidad de SoHO crítica

Aquella cuya actividad no puede compensarse con otras entidades ni con sustancias alternativas para los receptores

Tercero contratado

Cualquier tercero contratado por una entidad de SoHO, nombrado por el propio artículo 76, apartado 5, entre los obligados a proteger la información

Agente autorizado de la Plataforma

La persona física que opera la Plataforma SoHO de la UE en nombre de la entidad, con derechos de acceso concedidos por un administrador local

Autoridad competente y organismo delegado

Quien registra, autoriza, inspecciona y recibe las notificaciones, y la entidad en la que delega parte de esas funciones

Exclusiones

Reglamento (UE) 2024/1938 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, sobre las normas de calidad y seguridad de las sustancias de origen humano destinadas a su aplicación en el ser humano y por el que se derogan las Directivas 2002/98/CE y 2004/23/CE

Identificador

CELEX 32024R1938

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

De los ochenta y siete artículos del Reglamento, la seguridad de la información ocupa dos apartados. El artículo 42, apartado 6, obliga a conservar treinta años los datos de trazabilidad «adecuadamente protegidos» y accesibles para la autoridad, y el artículo 76, apartado 5, impone medidas técnicas y organizativas contra el acceso, la revelación, la difusión, la modificación o la destrucción no autorizados o ilícitos, con mención expresa de la transmisión por red y con extensión a los terceros contratados. Alrededor hay poco más: el sistema de gestión de la calidad nombra los sistemas informáticos entre lo que hay que cualificar y validar, y el Reglamento de Ejecución (UE) 2025/1467 añade un deber real de avisar de todo incidente de seguridad informática que afecte a la Plataforma SoHO de la UE. Lo que impide subir de nivel es que el objeto de la norma es otro: calidad y seguridad de la sustancia, autorización de preparados y establecimientos, inspección, protección del donante y del receptor, y continuidad del suministro. No hay análisis de riesgos de seguridad, ni control de acceso descrito, ni notificación de brechas, ni requisito de cifrado. Lo que sí hay, y por eso no es nivel 1, es un horizonte de conservación de treinta años sobre datos de salud que identifican a donante y receptor, que es un problema de integridad y de custodia de los que no se resuelven con una copia y un armario.

Valoración del curador · nivel 2 de 5

Sistema de trazabilidad donante, sustancia y receptor Ciber parcial

La entidad implanta un sistema que vincula de forma inequívoca a cada donante con su sustancia y con todos los documentos, muestras, preparados y entidades asociados, en cualquier momento. Ese sistema tiene que permitir tres cosas: identificar al donante y al establecimiento que liberó la sustancia, identificar al receptor en la entidad que se la aplicó (o al fabricante, si fue a producto regulado por otra legislación) y localizar todos los datos de calidad y seguridad de la sustancia y de cuanto entró en contacto con ella. Al distribuir, se aplica un código único en la Unión, legible por máquina salvo que el tamaño o las condiciones de almacenamiento lo impidan, que no revele la identidad del donante. El establecimiento importador garantiza un nivel equivalente sobre lo que trae de fuera.

Literal de la norma Las entidades de SoHO implantarán un sistema de trazabilidad para vincular inequívocamente a cada donante de SoHO, o a la persona de la que las SoHO se obtengan para un uso autógeno o un uso dentro de una relación, con su SoHO y con todos los documentos, muestras, preparados de SoHO y entidades de SoHO asociados a dicha sustancia en cualquier momento.

Art. 42.1 a 42.5

Custodia de los datos de trazabilidad durante treinta años Ciber

La obligación más exigente de la norma para un responsable de seguridad, y no por su redacción sino por su horizonte. Los datos necesarios para garantizar la trazabilidad se conservan un mínimo de treinta años desde la distribución de la sustancia o, en su caso, desde su eliminación o exportación, adecuadamente protegidos y accesibles para la autoridad competente. El texto permite el formato electrónico y no dice nada más sobre el cómo: no nombra cifrado, ni copias, ni control de acceso. Lo que sí resuelve es el final de vida de la organización: si la entidad cesa en su actividad, los datos de trazabilidad se transfieren a otra entidad de SoHO contratada por el tiempo que reste del período, previa información a la autoridad. Treinta años de custodia con exigencia simultánea de protección y de accesibilidad es un problema de formato, de migración y de integridad verificable, no de almacenamiento.

Literal de la norma Las entidades de SoHO conservarán los datos necesarios para garantizar la trazabilidad, adecuadamente protegidos y accesibles para la autoridad competente en materia de SoHO, durante un mínimo de treinta años a partir de la fecha de distribución de la SoHO o, en su caso, a partir de la fecha de eliminación o exportación. Podrán almacenar los datos en formato electrónico. Cuando una entidad de SoHO cese en su actividad, los datos de trazabilidad se transferirán a una entidad de SoHO contratada por la parte restante del período de trazabilidad, tras informar a la autoridad competente en materia de SoHO.

Art. 42.6

Medidas técnicas y organizativas de protección de la información Ciber

El artículo de ciberseguridad del Reglamento, aunque viva dentro del capítulo de protección de datos. Obliga a aplicar medidas técnicas y organizativas adecuadas para proteger la información y los datos personales, incluidos los sanitarios, frente al acceso, la revelación, la difusión, la modificación y la destrucción no autorizados o ilícitos, y frente a la pérdida accidental. Dos rasgos lo hacen más ancho de lo que parece. El primero es el inciso final: la mención expresa a cuando el tratamiento implique la transmisión a través de una red, que es la única pista técnica que da el texto. El segundo es la lista de obligados, que no se detiene en la entidad: alcanza también a cualquier tercero contratado por ella, a los organismos delegados, a las autoridades competentes, a los Estados miembros y a la Comisión. El texto no fija estado del arte, ni certificación, ni auditoría: lo que exige es adecuación, y quien la juzga en la práctica es el inspector.

Literal de la norma La Comisión, los Estados miembros, las autoridades competentes en materia de SoHO, incluidas las autoridades nacionales en materia de SoHO, los organismos delegados, las entidades de SoHO y cualquier tercero contratado por una entidad de SoHO, aplicarán las medidas técnicas y organizativas adecuadas para proteger la información y los datos personales, incluidos los datos sanitarios, frente a todo acceso, revelación, difusión, modificación o destrucción no autorizados o ilícitos, así como frente a su pérdida accidental, en particular cuando el tratamiento implique la transmisión a través de una red.

Art. 76.5

Condición de responsable del tratamiento y minimización Ciber parcial

La entidad de SoHO y la autoridad competente son responsables del tratamiento en el sentido del artículo 4, punto 7, del Reglamento (UE) 2016/679 respecto de los datos que tratan para cumplir este Reglamento; la Comisión lo es respecto de la Plataforma SoHO de la UE, bajo el Reglamento (UE) 2018/1725. El Reglamento acota para qué puede tratarse cada bloque de datos: los de contacto, solo para administrar y dar transparencia a la supervisión; los intercambiados por la plataforma, solo para detectar y evaluar riesgos de una donación o un donante y para el seguimiento de resultados clínicos; y los de trazabilidad y vigilancia, solo para garantizar la calidad y la seguridad de las sustancias y proteger a donantes, receptores y descendencia. Los plazos de conservación de datos personales los completará la Comisión por acto delegado.

Art. 76.1 a 76.4 y 76.6

Código único europeo

Las sustancias distribuidas para su aplicación en el ser humano llevan un código único europeo, en el envase primario, en una etiqueta adherida o en los documentos que las acompañan si se garantiza que no se separan. Cuando la sustancia se transfiere para procesamiento posterior, se libera para fabricar otro producto o se exporta, basta con los elementos del código que permiten identificar la donación. Quedan fuera cinco supuestos tasados, entre ellos la sangre y los componentes sanguíneos para transfusión y las sustancias aplicadas sin haber estado almacenadas. El formato exacto lo fijará un acto de ejecución de la Comisión que todavía no se ha adoptado.

Art. 43

Intimidad del donante y no revelación de su identidad Ciber parcial

Al obtener sustancias de un donante, la entidad respeta sus derechos a la integridad física y mental, a la no discriminación, a su intimidad y a la protección de sus datos personales, incluidos los de salud, conforme al Reglamento (UE) 2016/679. Y en las donaciones sin relación de parentesco se abstiene de revelar la identidad del donante al receptor o a la descendencia procedente de la reproducción médicamente asistida, salvo donde el Estado miembro permita ese intercambio de información.

Art. 53.1.c) y 53.1.k)

Información al receptor sobre las garantías de sus datos

Antes de aplicar la sustancia, la entidad obtiene el consentimiento del receptor y le informa al menos de dos cosas: las garantías destinadas a proteger sus datos personales, incluidos los sanitarios, y los de la descendencia cuando proceda, y la necesidad de comunicar cualquier reacción no intencionada posterior o cualquier afección genética grave en la descendencia si hubo donación de terceros.

Art. 58.15

Sistema de gestión de la calidad Ciber parcial

La entidad establece, mantiene y actualiza un sistema de gestión de la calidad proporcionado a sus actividades, diseñado para que se realicen de forma coherente, por personal con competencia documentada y evaluada periódicamente, y en instalaciones que eviten la contaminación, la contaminación cruzada y la pérdida de trazabilidad. Debe tener procedimientos y especificaciones para trece materias, entre ellas la validación y supervisión de los sistemas informáticos, las auditorías internas, la gestión de terceros contratados, la trazabilidad y la vigilancia, y la planificación de la continuidad. Como referencia se toman las directrices técnicas de la EDQM, y se admiten enfoques alternativos si la entidad demuestra a su autoridad un nivel de calidad equivalente. El sistema se revisa periódicamente para verificar su eficacia y corregir lo que haga falta.

Literal de la norma Las entidades de SoHO establecerán, mantendrán y actualizarán un sistema de gestión de la calidad que sea adecuado, teniendo en cuenta sus actividades en materia de SoHO, y que logre un alto nivel de calidad de SoHO.

Art. 37

Control de las actividades contratadas a terceros Ciber parcial

Cuando el establecimiento contrata a otra entidad parte o la totalidad de determinadas actividades, sigue respondiendo de que se realicen conforme al Reglamento. Puede auditar a la entidad contratada, y la autoridad competente puede inspeccionarla, en particular si no está acreditada, certificada o autorizada para esa actividad concreta. En la importación el requisito es más duro y previo: antes de solicitar la autorización hay que tener acuerdo escrito con cada proveedor del tercer país, con sus datos, los requisitos que garantizan la equivalencia de calidad, seguridad y eficacia, y el derecho de las autoridades a inspeccionar las actividades e instalaciones del proveedor y de cualquier subcontratado suyo.

Art. 45.2 · art. 48.2 y 48.3.b)

Designación de persona responsable

La entidad designa a una persona responsable de garantizar que sus actividades cumplen el Reglamento, con titulación universitaria en ciencias médicas, farmacéuticas o biológicas y al menos dos años de experiencia en el ámbito. Su nombre y contacto se comunican a la autoridad competente, y toda sustitución, permanente o temporal, se comunica sin demora indebida con la fecha en que la nueva persona asume el cargo. Puede acumular las funciones de agente responsable de la liberación o de médico si reúne las cualificaciones de esos puestos.

Art. 36

Inscripción en el registro de entidades de SoHO

Antes de iniciar ninguna actividad hay que registrarse, y las actividades solo pueden realizarlas personas que operen en una entidad registrada. En el registro se declaran el nombre y todas las direcciones, la persona responsable, la lista de sustancias y actividades, los establecimientos para los que se trabaja por acuerdo, las acreditaciones externas y el reconocimiento expreso de que la entidad puede ser inspeccionada y cooperará. Se declara también si se necesita autorización y se autoevalúa si se cumplen los criterios para ser entidad crítica. Los cambios se registran sin demora indebida, y el cese de actividad obliga a indicar a qué entidad se transfieren las sustancias almacenadas y los datos de trazabilidad.

Art. 35

Autorización de los preparados de SoHO

Ningún preparado se libera, ni se prepara y aplica de inmediato en uso autógeno o dentro de una relación, sin autorización previa de preparado de SoHO, salvo dentro de un plan de seguimiento de resultados clínicos ya aprobado. La solicitud describe las actividades realizadas para obtenerlo y las pruebas que sostienen su calidad, seguridad y eficacia. La autoridad puede suspender la autorización cuando su supervisión demuestre o dé motivos razonables para sospechar un problema, y retirarla si la suspensión no basta.

Arts. 38 y 39

Autorización de establecimiento de SoHO

La entidad que procese y almacene, libere, importe o exporte no puede empezar sin autorización previa de establecimiento, tanto si realiza las actividades ella misma como si las contrata. No puede introducir cambios significativos (tipos de sustancia, tipos de actividad, instalaciones nuevas o modificadas que afecten a las condiciones de trabajo) sin autorización previa por escrito, y comunica sin demora los cambios administrativos, incluida la sustitución de la persona responsable. La entidad jurídica titular debe estar establecida en el Estado miembro donde se autoriza el establecimiento.

Arts. 45.1 y 46

Autorización de establecimiento importador

Importar exige una autorización distinta y previa. El importador recibe físicamente la sustancia y la examina y verifica visualmente antes de liberarla, comprueba la coherencia entre lo recibido y su documentación y examina la integridad del envase, el etiquetado y las condiciones de transporte. El agente responsable de la liberación solo libera después de verificar el cumplimiento de lo pactado en el acuerdo con el proveedor y de que los controles físicos y documentales sean satisfactorios. Queda fuera la importación de plasma humano destinado a fabricar medicamentos incluido en el archivo principal sobre plasma, cuyo importador se registra como entidad de SoHO pero se autoriza por otra vía.

Arts. 47 y 48

Vigilancia y notificación de reacciones y efectos adversos graves Ciber parcial

La entidad dispone de un sistema para detectar, investigar y registrar la información sobre reacciones y efectos adversos. Cuando detecta o sospecha que uno de ellos entra en la definición de reacción adversa grave o de efecto adverso grave, lo notifica a su autoridad competente sin demora indebida, con descripción del hecho, evaluación preliminar de imputabilidad cuando proceda, medidas inmediatas adoptadas para limitar el daño y evaluación preliminar de la gravedad de las consecuencias. Después investiga y presenta un informe con la descripción completa de la investigación, la evaluación final de imputabilidad y de gravedad (incluido el riesgo de recurrencia) y las medidas correctoras o preventivas adoptadas. Las entidades que no son establecimientos comunican al establecimiento para el que trabajan o que les distribuyó, y este investiga y notifica.

Art. 44.1, 44.3 y 44.7

Comunicación a las demás entidades de la cadena Ciber parcial

La entidad comunica la información sobre una reacción o un efecto adverso grave a las demás entidades que participaron en la obtención, el procesamiento, el análisis, el almacenamiento y la distribución de sustancias del mismo donante, o que hayan podido verse afectadas. Solo comunica lo necesario y adecuado para facilitar la trazabilidad y garantizar la calidad y la seguridad, limitado a los detalles imprescindibles para mitigar el riesgo, e incluye una evaluación de la gravedad y de la probabilidad de recurrencia. Cuando el donante implicado donó también órganos, informa a las organizaciones de obtención de órganos; cuando la sustancia fue a fabricar otro producto, al fabricante.

Art. 44.8

Procedimiento de retirada de la sustancia afectada

La entidad dispone de un procedimiento para retirar de la distribución o del uso, de manera precisa, eficiente y verificable, las sustancias afectadas o presuntamente afectadas por una reacción o un efecto adverso grave. Para las sustancias reproductoras, el procedimiento se ajusta a la legislación nacional.

Art. 44.6

Uso de la Plataforma SoHO de la UE y control de sus accesos Ciber parcial

La entidad usa la Plataforma SoHO de la UE para cumplir un listado tasado de obligaciones del Reglamento, entre ellas el registro, las autorizaciones, los datos anuales de actividad, las alertas y la vigilancia. El acceso a la parte restringida se controla con herramienta de autenticación y, para actuar, también de autorización; el administrador local de la entidad gestiona esos derechos de acceso y mantiene al día los datos personales de los agentes autorizados a su cargo. Quien introduce información responde de que sea completa y exacta y de que respete el formato definido por la Junta de Coordinación de SoHO. La parte pública de la plataforma no exige registro ni autenticación.

Reglamento de Ejecución (UE) 2025/1467, arts. 2.2, 4, 6.1 y 8.3

Aviso inmediato de incidente de seguridad informática Ciber

El único deber de notificación de seguridad informática de todo el marco, y no está en el Reglamento sino en su acto de ejecución. Quien opera la Plataforma SoHO de la UE en nombre de la entidad informa de inmediato a la Comisión y a su autoridad nacional en materia de SoHO cuando tiene conocimiento de un incidente de seguridad informática, de un riesgo o de una amenaza, o sospecha de su existencia. El umbral es bajo a propósito: basta la sospecha, no hace falta impacto consumado ni calificación de gravedad, y no hay ventana de horas que negociar. Al otro lado, la Comisión puede suspender todo acceso a la plataforma cuando sospeche un incidente, un riesgo o una amenaza que considere potencialmente perjudicial para la plataforma, sus datos o su confidencialidad, lo que hace de este aviso una pieza con consecuencia operativa inmediata para todos los Estados miembros.

Literal de la norma Todo agente o agente autorizado que tenga conocimiento de un incidente de seguridad informática, un riesgo para la seguridad informática o una amenaza para la seguridad informática, o sospeche de su existencia, informará de inmediato al respecto a la Comisión y a su autoridad nacional en materia de SoHO.

Reglamento de Ejecución (UE) 2025/1467, art. 12.2

Seguimiento continuo de las reservas de SoHO críticas

Las entidades críticas establecen mecanismos adecuados para el seguimiento continuo de sus reservas de sustancias críticas, y pueden comunicar esa información a su autoridad competente en caso de escasez o si esta se la pide. La autoridad, por su parte, monta los mecanismos para recibirla y obtener una visión general de la disponibilidad en su territorio.

Art. 62.3

Alerta de escasez significativa de SoHO críticas

La entidad crítica envía sin demora indebida una alerta de suministro a su autoridad competente cuando se produce una escasez significativa, indicando los motivos subyacentes, el impacto previsto en los receptores y las medidas de mitigación adoptadas, incluidos posibles canales de suministro alternativos. La escasez es significativa cuando se cancela o aplaza la aplicación o la distribución por indisponibilidad, o hay riesgo significativo de que ocurra, y esa situación plantea un riesgo grave para la salud humana.

Art. 64.1

Plan de emergencia propio de la entidad crítica

Cada entidad crítica elabora un plan de emergencia propio para aplicar el plan nacional de emergencia en materia de SoHO. El artículo tiene dos líneas y no describe el contenido del plan: hay que buscarlo en el plan nacional, que sí lo detalla (riesgos potenciales para el suministro, designación de entidades críticas, procedimientos de intercambio de información, medidas de preparación y respuesta frente a riesgos específicos detectados y mecanismo de priorización en emergencia sanitaria). El segundo párrafo del artículo abre una pasarela con la Directiva (UE) 2022/2557: los Estados miembros pueden considerar que las medidas de este capítulo son al menos equivalentes a las obligaciones de aquella.

Literal de la norma Cada entidad de SoHO críticas elaborará un plan de emergencia propio para aplicar el plan nacional de emergencia en materia de SoHO a que se refiere el artículo 63.

Art. 67

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 42.1 y 42.6 · art. 76.5 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 42.6 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 76.5 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 76.4 y 76.5 · Reglamento de Ejecución (UE) 2025/1467, arts. 4 y 8.3 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 42.1 y 42.6 · art. 45.2 · art. 48.2 y 48.3.b) · art. 76.5 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 44.1, 44.6 y 44.7 · Reglamento de Ejecución (UE) 2025/1467, art. 12.2 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 44.3 y 44.8 · Reglamento de Ejecución (UE) 2025/1467, art. 12.2 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 37.3.m) · categorización del curador, no de la norma

Entidad de SoHO

El sujeto general de la norma. Cualquier organización establecida en la Unión que realice alguna de las trece actividades del artículo 2, apartado 1, letra c), desde el registro de donantes y la obtención hasta la aplicación en el ser humano y el registro de los resultados clínicos. No hay umbral de tamaño ni de volumen: se es entidad de SoHO por la actividad, y hay que registrarse antes de empezar a realizarla.

Literal de la norma «entidad de SoHO»: una entidad legalmente establecida en la Unión que lleva a cabo una o varias de las actividades en materia de SoHO contempladas en el artículo 2, apartado 1, letra c).

Art. 3, punto 33 · art. 35

Establecimiento de SoHO

La entidad de SoHO que hace algo más que manipular: procesa y almacena, libera, importa o exporta. Ese salto la obliga a solicitar una autorización previa de establecimiento, a nombrar un agente responsable de la liberación y un médico, y a responder de las actividades que contrate a otras entidades. Un banco de sangre o de tejidos que libera producto está aquí; una unidad que solo aplica la sustancia al receptor, no.

Literal de la norma «establecimiento de SoHO»: una entidad de SoHO que lleva a cabo cualquiera de las siguientes actividades en materia de SoHO: a) tanto procesamiento como almacenamiento; b) liberación; c) importación; d) exportación.

Art. 3, punto 35 · arts. 45, 49 y 50

Establecimiento importador de SoHO

El establecimiento de SoHO que introduce en la Unión sustancias procedentes de un tercer país. Necesita una autorización propia y distinta, tiene que firmar antes un acuerdo escrito con cada proveedor del tercer país y debe garantizar sobre lo importado un nivel de trazabilidad equivalente al que la norma exige dentro de la Unión.

Arts. 26, 47 y 48 · art. 42.1, párr. 2.º

Entidad de SoHO crítica

La entidad de SoHO cuya actividad no puede compensarse: si deja de hacer lo que hace, ni otras entidades ni sustancias alternativas cubren a los receptores. La condición se autoevalúa al registrarse y la designación acaba en el plan nacional de emergencia. Trae tres deberes propios: seguimiento continuo de reservas, alerta de suministro y plan de emergencia propio.

Literal de la norma «entidad de SoHO crítica»: una entidad de SoHO que lleva a cabo actividades que contribuyen al suministro de SoHO críticas y que, de no llevarse a cabo, no pueden compensarse con actividades de otras entidades de SoHO ni con sustancias o productos alternativos para los receptores.

Art. 3, punto 34 · art. 35.4 · arts. 62.3, 64 y 67

Persona responsable

La persona designada dentro de la entidad que responde de que sus actividades cumplan el Reglamento. Tiene cualificación tasada (titulación universitaria en ciencias médicas, farmacéuticas o biológicas y dos años de experiencia) y su nombre y contacto se comunican a la autoridad competente y viajan a la Plataforma SoHO de la UE, donde se conservan mientras dure el cargo.

Literal de la norma «persona responsable»: una persona designada en una entidad de SoHO que tiene la responsabilidad de garantizar el cumplimiento del presente Reglamento.

Art. 3, punto 36 · art. 36

Tercero contratado por la entidad

Cualquier tercero al que una entidad de SoHO contrate. El artículo 76, apartado 5, lo nombra expresamente entre los obligados a aplicar las medidas técnicas y organizativas de protección, en pie de igualdad con la entidad que lo contrató, así que el deber de seguridad no se detiene en el borde de la organización. Puede ser auditado por el establecimiento contratante e inspeccionado por la autoridad competente.

Art. 76.5 · art. 45.2 · art. 48.3.b)

Agente autorizado de la Plataforma

La persona física a la que, tras autenticarse, se conceden derechos de acceso a la Plataforma SoHO de la UE para actuar en nombre de una entidad de SoHO, una autoridad o la Junta de Coordinación de SoHO. Es el sujeto de dos deberes concretos del Reglamento de Ejecución (UE) 2025/1467: que la información que introduce sea completa y exacta, y avisar de inmediato de cualquier incidente de seguridad informática. Quien reparte, suspende y revoca esos derechos dentro de la organización es el administrador local.

Reglamento de Ejecución (UE) 2025/1467, art. 1, puntos 2) y 3), y arts. 6.1 y 12.2

Autoridad competente en materia de SoHO

La autoridad que cada Estado miembro designa para las actividades de supervisión: registra entidades, autoriza preparados y establecimientos, inspecciona, recibe las notificaciones de reacciones y efectos adversos graves y puede suspender o retirar las autorizaciones concedidas. Cada Estado designa además una autoridad nacional en materia de SoHO como punto único de coordinación y de relación con la Comisión.

Arts. 5 y 8 · arts. 19.7 a 19.9 y 25.3 a 25.5

Organismo delegado

La entidad jurídica en la que una autoridad competente delega determinadas actividades de supervisión. La delegación no la libera de responsabilidad: el organismo queda sujeto a obligaciones propias de imparcialidad, competencia técnica y confidencialidad, y el artículo 76, apartado 5, lo incluye entre los obligados a proteger la información.

Art. 3, punto 50 · arts. 9, 10 y 11 · art. 76.5