Software de doble uso: ¿necesitas licencia de exportación? |

Software de doble uso: cuándo un desarrollador necesita licencia de exportación

Berest Group · Consultoría de doble uso · Última verificación de las fuentes normativas: 7 de octubre de 2026

Respuesta corta

Sí, el software y el código fuente pueden ser bienes de doble uso. El Reglamento (UE) 2021/821 controla no solo bienes físicos, sino también el software y la tecnología, y considera exportación su transmisión electrónica (correo, descarga, acceso a un repositorio o transmisión oral). Esto significa que enviar código, documentación técnica o una compilación a un cliente, filial o desarrollador fuera de la UE puede requerir autorización, aunque no se envíe nada físico.

Pero la mayoría de los desarrollos no necesita licencia. Tres categorías concentran casi todo el riesgo: (1) software con funciones criptográficas (Categoría 5, Parte 2 del Anexo I), (2) software e información técnica de «software de intrusión» (Categoría 4) y (3) herramientas de vigilancia, aunque no estén listadas (art. 5). Fuera de ellas, el control depende del destino, del usuario final y del uso previsto (cláusula escoba, art. 4).

¿Qué dice la norma sobre el software?

El marco europeo es el Reglamento (UE) 2021/821. El listado de productos controlados está en su Anexo I, actualizado por el Reglamento Delegado (UE) 2025/2003, en vigor desde el 15 de noviembre de 2025. En España se aplica con la Ley 53/2007 y el Real Decreto 679/2014.

• Qué es exportar (art. 2.2.d): incluye la transmisión de software o tecnología por medios electrónicos (fax, teléfono, correo u otro medio) a un destino fuera de la UE, ponerlos a disposición en formato electrónico de personas fuera de la UE, y la transmisión oral de tecnología cuando se describe por un medio de transmisión de voz.
• Asistencia técnica (art. 2.9 y art. 8): incluye instrucción, asesoramiento, formación, transmisión de conocimientos y servicios de consultoría, también por medios electrónicos o por teléfono. El art. 8 no la somete a autorización con carácter general: se exige autorización si la autoridad informa al prestador de que los productos del Anexo I pueden destinarse a los usos del art. 4(1), y el prestador que lo sabe debe notificarlo. El art. 8.3 prevé excepciones, entre ellas la información de dominio público o la investigación científica básica.
• Software y tecnología del Anexo I: cada categoría tiene entradas «D» (software) y «E» (tecnología). La Nota General de Tecnología controla la tecnología «requerida» para el desarrollo, la producción o el uso de bienes controlados, incluso si se aplica a bienes no controlados.
• Cláusula escoba (art. 4): un producto no listado puede requerir autorización si la autoridad informa al exportador, o si el exportador sabe que puede destinarse a usos militares en un país sometido a embargo, a armas de destrucción masiva o a uso como componente de material militar exportado ilícitamente. Si el exportador sabe que van a esos usos, debe notificarlo a la autoridad, que decide si exige autorización; los Estados miembros pueden además mantener normas nacionales (art. 4.3).
• Ciber-vigilancia no listada (art. 5): se exige autorización para productos de ciber-vigilancia no incluidos en el Anexo I si la autoridad informa al exportador de que se destinan a represión interna o a violaciones graves de derechos humanos y del derecho humanitario; el exportador que lo sabe, según su diligencia debida, debe notificarlo. La Comisión publicó orientaciones no vinculantes el 15 de octubre de 2024.

¿Qué tipos de software suelen estar afectados? (tabla de casos)

¿Cuándo el cifrado exige licencia y cuándo no?

La categoría 5, Parte 2 («Seguridad de la información») es la que más afecta a los desarrolladores, porque casi todo producto moderno usa criptografía. El análisis tiene tres filtros.

1. ¿Es «criptografía para confidencialidad de datos»? Quedan fuera funciones de autenticación, firma digital, integridad de datos, no repudio, gestión de derechos digitales (DRM), registros médicos o entretenimiento, redes personales inalámbricas con estándares publicados, uso bancario y gestión de claves para estas funciones, o funciones no activadas con activación criptográfica segura.
2. ¿Usa un «algoritmo de seguridad descrito»? Según el Anexo I vigente, los umbrales siguen siendo: simétrico de más de 56 bits, RSA o factorización de más de 512 bits, logaritmo discreto de más de 512 bits (o más de 112 bits en curva elíptica), además de criptografía poscuántica basada en retículos, isogenias o códigos.
3. ¿Se aplica la Nota de Criptografía (mercado masivo)? Un producto queda fuera del control si está disponible al público general en puntos de venta, incluidas transacciones electrónicas; la funcionalidad criptográfica no puede ser cambiada fácilmente por el usuario; está diseñado para instalarse sin apoyo sustancial del proveedor; y los detalles están disponibles para la autoridad competente si los solicita.

Dos precisiones: 5D002.c.1 no controla el software de operación, administración y mantenimiento (OAM) que use estándares publicados o comerciales; y el control de software de la Categoría 5, Parte 2 no se levanta por las excepciones de «disponible al público» ni «mínimo necesario» de la Nota General de Software (la nota lo dice expresamente). La Nota General de Seguridad de la Información obliga a evaluar cualquier función criptográfica aunque sea un componente de otro producto.

¿Qué es el «software de intrusión» y a quién afecta?

El Anexo I define «software de intrusión» como software diseñado o modificado para evitar la detección por «herramientas de monitorización» o derrotar «contramedidas de protección» de un ordenador o dispositivo conectado, y que realice la extracción de datos o la modificación de datos, o modifique la ruta de ejecución normal de un programa para ejecutar instrucciones externas.

• No lo es: hipervisores, depuradores o herramientas de ingeniería inversa; software DRM; software de seguimiento o recuperación de activos instalado por fabricantes, administradores o usuarios.
• Qué se controla: 4A005 (sistemas y equipos para generar, mandar, controlar o entregar software de intrusión), 4D004 (el software para ello) y 4E001.c (tecnología para el desarrollo de software de intrusión).
• Qué no se controla: el propio software de intrusión no figura como entrada específica; el control recae en el sistema de generación, mando o entrega y en la tecnología de desarrollo. Las actualizaciones que solo operan con autorización del propietario y no producen software de intrusión quedan fuera de 4D004.
• Excepción relevante: 4E001.a y 4E001.c no controlan la «divulgación de vulnerabilidades» ni la «respuesta a ciberincidentes», sin perjuicio de las facultades de la autoridad para comprobar el cumplimiento.

Para un equipo de seguridad, la consecuencia práctica es que compartir con un tercero fuera de la UE tecnología de desarrollo de exploits o herramientas de mando y control puede exigir autorización, mientras que informar de una vulnerabilidad al fabricante queda cubierto por la excepción.

¿Cuándo no hace falta licencia? (excepciones)

• Dominio público: el Anexo I define software o tecnología «en el dominio público» como aquel puesto a disposición sin restricciones a su difusión posterior (las restricciones de copyright no lo excluyen). Se recoge en las Notas Generales de Software y de Tecnología. Ojo: no todo el código abierto cumple esa definición (por ejemplo, si se distribuye con restricciones a su difusión posterior).
• Disponible al público (venta minorista): la Nota General de Software excluye el software vendido sin restricciones desde puntos de venta, incluidas transacciones electrónicas, y diseñado para instalación por el usuario sin apoyo sustancial; no libera, de nuevo, la Categoría 5, Parte 2 (esta se rige por la Nota de Criptografía).
• Mínimo necesario: el «código objeto» mínimo para instalación, operación, mantenimiento o reparación de un producto cuya exportación ya fue autorizada.
• Investigación científica básica: exenta de los controles de transferencia de tecnología.
• Uso personal (Nota 2 de la Categoría 5, Parte 2): el cifrado integrado en productos para uso personal tiene tratamiento específico.

¿Qué trámites existen en España y cuánto tardan?

El solicitante y responsable de la autorización es siempre el exportador: la responsabilidad legal de clasificar y solicitar es de la empresa. Un consultor puede ayudar a clasificar y a preparar la documentación, pero la clasificación incorrecta o la omisión de una licencia recae en la empresa exportadora.

¿Cómo clasificar mi software? Árbol de decisión

1. Inventario: lista de productos, módulos, bibliotecas criptográficas, herramientas internas y tecnología (documentación, código fuente, diseños) que sale de la UE, incluso a filiales y proveedores.
2. Función principal: ¿el cifrado es el propósito del producto o solo un servicio de apoyo?
3. Cifrado: aplicar los tres filtros (confidencialidad, algoritmo descrito, mercado masivo).
4. Intrusión y vigilancia: ¿genera, controla o entrega código para evitar detección? ¿Recopila datos de personas a escala?
5. Otras categorías: ¿IA con hardware, cuántica, navegación, drones, telecomunicaciones, semiconductores?
6. Destino y usuario final: países sometidos a embargo, usos militares o de vigilancia, intermediarios opacos.
7. Decisión y registro: sin control, autorización general, autorización individual o consulta a la autoridad. Documentar el razonamiento.

¿Qué señales de alerta debo vigilar en un cliente?

• Cliente que evita explicar su uso final o su actividad real.
• Solicitud de funciones de ocultación o de ausencia de registros que no encajan con el producto.
• Dirección de entrega o intermediario en un país distinto del declarado.
• Pago por terceros ajenos al contrato o por vías atípicas.
• Interés en quitar controles, registros o funciones de auditoría.
• Destino sujeto a sanciones o embargos (régimen aparte: Reglamento (UE) 833/2014 y otros).

¿Qué documentación debo conservar?

• Informe de clasificación de cada producto, con la versión del Anexo I aplicada y la fecha.
• Declaración del uso final y del usuario final, y la diligencia debida sobre el cliente.
• Registro de transferencias electrónicas de código y tecnología (repositorios, tickets, correo), incluyendo accesos de equipos remotos.
• Autorizaciones, condiciones y su vigencia; formación interna.
• Si se invoca la Nota de Criptografía: documentación técnica disponible para la autoridad.

¿Qué errores son frecuentes?

• Pensar que «es solo software» o «es código abierto» y por tanto libre.
• Olvidar que dar acceso al repositorio o enviar documentación técnica a un desarrollador no europeo es una transferencia.
• Clasificar con el Anexo I de un año anterior (el vigente es el actualizado por el Reglamento Delegado 2025/2003).
• Aplicar la excepción de «mercado masivo» sin documentar los criterios.
• Ignorar los regímenes paralelos: la normativa estadounidense (EAR/ITAR) y las sanciones se aplican por separado y deben analizarse aparte.

Preguntas frecuentes

¿Exportar software por internet cuenta como exportación?

Sí. El art. 2.2.d del Reglamento (UE) 2021/821 incluye la transmisión electrónica de software y tecnología.

¿Mi app usa HTTPS: necesito licencia?

En general no es el caso típico de licencia: el cifrado suele ser una función secundaria. Debe comprobarse con los filtros de la Categoría 5, Parte 2 y la Nota de Criptografía.

¿El código abierto está exento?

Solo si encaja en la definición de «dominio público» del Anexo I, es decir, que se haya puesto a disposición sin restricciones a su difusión. Para software criptográfico open source conviene un análisis específico antes de publicarlo o enviarlo.