Aplicación práctica

Guías sectoriales

Perfiles operativos por sector derivados del modelo QT-QMS. Combinan exigencias vigentes con controles propuestos para las tecnologías cuánticas; no constituyen obligaciones legales por sí mismos y deben adaptarse al ámbito material de cada régimen aplicable.

Cada guía enlaza las fichas del Observatorio que cita y un recurso práctico de la caja de herramientas. Son enlaces de orientación: pertenecer a un sector no significa que cada norma resulte aplicable; el ámbito y las condiciones se comprueban en cada ficha.

Sector financiero

Urgencia criptográfica y gobernanza de casos de uso

Priorizar la preparación y migración PQC por riesgo, vida útil de la confidencialidad, criticidad, interoperabilidad y dependencias de terceros (R/P); en entidades comprendidas, DORA exige gestión proporcionada del riesgo TIC y medidas criptográficas según el régimen aplicable (O), sin fijar un mandato PQC universal. Optimización de carteras, detección de fraude con QSVM y valoración de derivados son ejemplos de uso sujetos a validación y gobernanza (P). Aplicar seguridad y protección de datos apropiadas; seudonimizar puede ser una medida, sin equivaler a anonimizar ni ser exigencia automática del art. 22 RGPD. Este artículo concierne a decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos. Evaluar sesgos del scoring, especialmente por grupos afectados, sin prometer que la auditoría elimina la exclusión financiera. Clasificar cada sistema bajo RIA por finalidad y riesgo: la detección de fraude financiero está exceptuada del Anexo III 5.b; la FRIA no nace del nombre QML y, cuando corresponda al art. 27, se prepara conforme al calendario de aplicación. Coordinar la transición sectorial con QSFF (R) y comunicar con honestidad los avances y riesgos residuales, distinguiendo pilotos de despliegues efectivos.

Preguntas EIEC de banca

¿Los algoritmos cuánticos generan sesgos que perjudiquen a ciertos clientes? → Se propone evaluar equidad por grupos antes de producción y supervisar resultados dudosos, adaptando los controles a RGPD, RIA y normativa financiera realmente aplicables (P/R con obligaciones condicionadas). ¿Introduce la cuántica riesgos sistémicos o ventajas injustas en el trading de alta frecuencia? → Examinar la función efectiva del sistema, controles, continuidad e integridad del mercado. MiFID II exige controles y notificación cuando el sujeto realiza negociación algorítmica en su ámbito, con la regulación española y DORA pertinentes; MAR se analiza según instrumento y conducta. El mero uso de IA o cuántica no crea ese deber de notificación. Colaboración sectorial y límites internos son propuestas de gobernanza, sin garantizar ausencia de riesgo sistémico.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

DORANorma en vigor y aplicable en sus condiciones
La guía relaciona preparación PQC por riesgo con gestión del riesgo TIC en entidades DORA comprendidas; no presenta una obligación PQC universal.
RGPDNorma en vigor y aplicable en sus condiciones
La guía condiciona protección de datos, seudonimización y decisiones automatizadas a RGPD; art. 22 no obliga por cualquier analítica antifraude.
RIAEn vigor con fechas de aplicación por fases
La guía examina scoring de personas físicas y controles de sesgo; clasificación/FRIA dependen de finalidad, sujeto y calendario, con excepción de fraude financiero en Anexo III 5.b.
MiFID II / MARNorma en vigor y aplicable en sus condiciones
La guía trata negociación algorítmica/HFT por función y sujeto y la integridad del mercado; no exige informar del mero uso de IA o cuántica.
Europol QSFF: priorización PQCInstrumento no vinculante (soft law institucional)
La guía conserva colaboración y priorización del QSFF, edición 2026, como recomendaciones voluntarias con dependencias sectoriales.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Checklist de migración PQC →
Checklist para ordenar transición PQC por riesgo y matriz QSFF; no demuestra cumplimiento DORA ni migración efectiva.
Patrones contractuales orientativos →
Patrón 8 de servicios TIC financieros, orientativo y sujeto a adaptación por función/contrato DORA.
Plantilla EIEC (evaluación de impacto ético-cuántico) →
Plantilla de preguntas de equidad y riesgo sistémico; no sustituye EIPD, FRIA ni controles regulatorios.

Administraciones públicas

Ejemplaridad y doble rol

Promover liderazgo público en la preparación poscuántica de comunicaciones con datos ciudadanos mediante inventario, priorización por riesgo y transición probada (R/P). Para sistemas comprendidos, aplicar ENS (RD 311/2022), sus medidas, instrucciones técnicas y remisiones a mecanismos autorizados; distinguir estas prescripciones de las recomendaciones del CCN-TEC 009. El comité ético cuántico gubernamental y los informes de impacto abiertos a comentarios son propuestas de gobernanza (P), con los límites legales de transparencia, seguridad y privacidad. Realizar EIPD cuando el tratamiento entrañe alto riesgo, y analizar las garantías de decisiones automatizadas según sus presupuestos. La FRIA del RIA es distinta, exige sujeto/uso comprendidos y respeta su calendario, sin convertirse en obligación actual universal por asistencia cuántica. La compra pública precomercial conjunta en la UE con criterios éticos es un instrumento propuesto, sujeto al régimen de contratación y al proyecto concreto. A 03-10-2026 no se ha identificado en este contraste una norma BOE que cierre la transposición española NIS2; mantener el ENS y el derecho nacional aplicable separados de esa limitación, sin descartar actos UE directamente aplicables a sus destinatarios, como 2024/2690.

Preguntas EIEC de AA.PP.

¿Se distribuyen equitativamente los beneficios, incluidos pilotos fuera de zonas céntricas? → Se proponen criterios de justicia territorial y extensión progresiva (P). ¿Hay rendición de cuentas en asignación de ayudas o detección de fraude? → Documentar responsables, motivos y canales de impugnación conforme al procedimiento y ofrecer información pública con los límites legales de seguridad, confidencialidad y datos personales. La actuación administrativa automatizada exige identificar los órganos previstos en el art. 41 de la Ley 40/2015. Auditorías externas y revisión humana amplia son controles propuestos; las garantías del art. 22 RGPD se aplican según sus supuestos y excepciones, sin convertir toda decisión asistida o automatizada significativa en una obligación idéntica de revisión humana previa. Una EIEC no sustituye EIPD, FRIA ni garantías administrativas.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

CCN: TEC 009 + STIC 221Instrumento no vinculante (soft law institucional)
La guía ancla obligaciones españolas en ENS para sistemas comprendidos y distingue prescripciones/instrucciones/remisiones concretas de recomendaciones CCN-TEC 009.
NIS2Directiva: obliga al resultado, aplica vía Derecho nacional
La guía separa NIS2 UE, transposición española no cerrada en este contraste y actos directamente aplicables como 2024/2690 según destinatario.
Hoja de ruta europea PQCInstrumento no vinculante (soft law institucional)
La guía propone liderazgo y planificación pública poscuántica; la hoja de ruta europea contiene recomendaciones principalmente a Estados miembros, sin crear obligación privada horizontal.
eIDAS2Norma en vigor y aplicable en sus condiciones
La guía usa eIDAS como referencia de servicios de confianza y transición de firmas/sedes/certificados según función y evidencia, sin una prohibición o plazo PQC universal.
RGPDNorma en vigor y aplicable en sus condiciones
La guía exige EIPD por alto riesgo y analiza decisiones art. 22 por sus presupuestos; asistencia cuántica no activa ambos automáticamente.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Decálogo CCN operativo →
Diez puntos CCN-TEC 009 con responsables/evidencias sugeridos; comprobar por separado las prescripciones ENS/STIC aplicables.
Plantilla EIEC (evaluación de impacto ético-cuántico) →
Plantilla de justicia territorial/rendición de cuentas; no equivale a EIPD, FRIA ni garantías administrativas.
Gobernanza: comité ético, registro de incidencias y auditoría →
Propuesta de comité/registro/auditoría adaptada a normas internas y responsabilidades legales del órgano.

Lagunas declaradas

El ENS (RD 311/2022) y la compra pública precomercial, citados en la guía, no tienen ficha propia en el Observatorio. Es una laguna de catálogo en esta base, no ausencia de norma ni bloqueo automático para preparar un texto contrastado; la aplicabilidad concreta requiere datos del caso.

Defensa y seguridad nacional

Criptografía clasificada y ética militar

Priorizar la adaptación de criptografía clasificada por clasificación, riesgo, vida útil y obligaciones del sistema/programa, documentando interoperabilidad aliada. CNSA 2.0 y su calendario son referencia de la NSA para NSS estadounidenses, no mandato español o europeo general; comprobar el perfil y política vigentes antes de trasladarlos. RSA-4096 no resuelve la vulnerabilidad matemática de RSA frente a Shor con un ordenador cuántico criptográficamente relevante; el aumento de clave no cambia ese problema, sin afirmar una ruptura operativa actual. QKD gubernamental requiere evaluación de implementación, autenticación, seguridad física, disponibilidad, arquitectura y autorización pertinente: la NSA no la recomienda para NSS salvo superar sus limitaciones. Comités con habilitación de seguridad y asesores de DIH son propuestas de gobernanza; estándares OTAN se aplican por programa/instrumento verificado. Preservar control democrático y obligaciones del derecho de los conflictos armados en su ámbito, sin rebajar el examen jurídico de nuevas armas, medios o métodos del art. 36 del Protocolo I a una mera recomendación.

Preguntas EIEC de defensa

¿Se evalúan las aplicaciones militares antes de desarrollarlas? → Se proponen comités especializados y evaluación ética; cuando se estudie, desarrolle, adquiera o adopte una nueva arma o medio/método de guerra, el art. 36 del Protocolo I impone el examen de legalidad a la Alta Parte contratante. Necesidad, distinción, proporcionalidad y precauciones se analizan en el marco jurídico del conflicto y del uso previsto, sin extender idéntica revisión armamentística a toda herramienta militar administrativa. ¿Hay salvaguardas contra abuso, proliferación o captura? → Documentar doctrinas de uso, compartimentación y supervisión competente; clasificar cada exportación/transferencia y sus controles de doble uso según tecnología, destino, usuario y uso final. Los planes de neutralización segura de activos son propuestas operativas sujetas a autoridad, legalidad y seguridad, no una autorización general de destrucción.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

NIST PQC (FIPS 203-206, HQC)Especificación técnica; sin fuerza de obligación general en la UE
La guía remite a NIST y CNSA 2.0 con ámbito US NSS; selección de niveles/perfiles depende del programa y no se impone un nivel máximo universal por sector.
ETSI QKDEspecificación técnica; sin fuerza de obligación general en la UE
La guía condiciona QKD a evaluación, autenticación y autorización pertinentes; una especificación ETSI de interfaz no demuestra seguridad integral ni aprobación NSA.
Doble usoNorma en vigor y aplicable en sus condiciones
La guía exige clasificar tecnología, transferencia, destino, usuario y uso final para doble uso; no toda sensórica militar o tecnología cuántica queda automáticamente incluida.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Modelo de plan de migración PQC →
Plan genérico por fases; requiere perfil de sistema, autorización, obligaciones de clasificación e interoperabilidad.
Plantilla EIEC (evaluación de impacto ético-cuántico) →
Plantilla ética; no reemplaza examen jurídico de art. 36 Protocolo I ni autoriza uso/exportación militar.

Lagunas declaradas

CNSA 2.0, los estándares OTAN y el Derecho internacional humanitario, citados en la guía, no tienen ficha propia en el Observatorio. Es una laguna de catálogo en esta base, no ausencia de norma ni bloqueo automático para preparar un texto contrastado; la aplicabilidad concreta requiere datos del caso.

Energía y medio ambiente

Redes, sensórica y «Green Quantum»

Probar la optimización cuántica en entorno controlado antes de aplicarla a la red real y prever continuidad y retorno seguro (R/P, sin perjuicio de deberes sectoriales concretos). Proteger datos de consumo cuando sean personales. Inventariar criptografía de SCADA y VPN y planificar PQC/cripto-agilidad por riesgo y compatibilidad: NIS2 depende de entidad, actividad, tamaño/excepciones y régimen nacional; 2024/2690 tiene destinatarios digitales específicos, no todo operador energético ni todo equipo OT. ENS, infraestructuras críticas, licencias y contratos se examinan según el caso. El control metrológico y la calibración/verificación exigibles dependen del instrumento, uso y reglamentación específica; no todo sensor ambiental exige calibración oficial ni esta asegura admisibilidad o fuerza probatoria. Licencias justas de patentes financiadas públicamente, renovables, recuperación del calor de criogenia y seguimiento de huella son propuestas de innovación/sostenibilidad, salvo condiciones concretas. Informar CSRD/ESRS solo por ámbito, ejercicio, norma nacional/versión y materialidad aplicables. Si el sistema interviene en negociación algorítmica del mercado mayorista energético, analizar REMIT art. 5 bis: controles, pruebas, seguimiento, notificación a autoridad nacional/ACER y conservación de registros durante cinco años son obligaciones de sus participantes comprendidos; una mera estimación de precios no determina ese encaje. Mantener las reglas de integridad del mercado que procedan.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

NIS2Directiva: obliga al resultado, aplica vía Derecho nacional
La guía inventaría SCADA/VPN y propone transición por riesgo; inclusión NIS2 exige entidad/actividad y régimen aplicable, no un sensor OT aislado.
RGPDNorma en vigor y aplicable en sus condiciones
La guía protege datos de consumo cuando sean personales, con medidas y base jurídica adecuadas al tratamiento.
CSRD/ESRSDirectiva: obliga al resultado, aplica vía Derecho nacional
La guía distingue propuestas de huella/circularidad del reporting CSRD/ESRS por ámbito, ejercicio, versión, norma nacional y materialidad; contempla las modificaciones de 2026 sin adelantarlas.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Inventario criptográfico y matriz de riesgo →
Inventario de SCADA, VPN y comunicaciones entre plantas para análisis por riesgo; no decide inclusión NIS2 o exigencia PQC.
Checklist de migración PQC →
Pilotos, fases y vuelta atrás como apoyo operativo; no sustituye requisitos sectoriales, metrología ni seguridad de la red.

Lagunas declaradas

La calibración metrológica, las patentes y la fijación de precios eléctricos, citadas en la guía, no tienen ficha propia en el Observatorio. Es una laguna de catálogo en esta base, no ausencia de norma ni bloqueo automático para preparar un texto contrastado; la aplicabilidad concreta requiere datos del caso.

Salud

Paciente, validación clínica y marcos de calidad

Informar al paciente de forma comprensible sobre las opciones, riesgos y efectos relevantes de la herramienta utilizada; el consentimiento clínico se rige por Ley 41/2002, con su forma y excepciones, sin crear un consentimiento adicional universal por etiqueta cuántica. Separarlo del consentimiento de investigación y de la base jurídica RGPD/excepción para datos de salud. Validación, supervisión profesional y, como medida propuesta por riesgo, verificación clásica independiente —por ejemplo en radioterapia— requieren evidencia técnica adecuada. Comités de ética y autorizaciones corresponden a investigaciones/estudios comprendidos, no a cualquier herramienta sanitaria. Examinar desde el prototipo la finalidad prevista y clasificación del software/sensor bajo MDR/IVDR, incluidos accesorios y supuestos especiales; consultar MDCG 2019-11 rev.1 como guía no vinculante y no inferir alto riesgo RIA solo por diagnóstico o QML. La ruta RIA del art. 6.1 requiere sus condiciones, incluida evaluación por tercero, y el calendario pertinente. Equidad territorial, formación y adaptación prudente de guías de IA son propuestas sin equivalencia técnica automática. Incorporar EHDS según rol y flujo de datos: aplicación general 26-03-2027, bloques principales 2029/2031 y excepciones del art. 105; no impone todos los deberes actuales a toda salud ni desplaza MDR/IVDR/RIA.

Preguntas EIEC de salud

¿Se garantiza información, consentimiento y comprensión del paciente? → Usar lenguaje accesible y explicar resultados y riesgos clínicamente relevantes, distinguiendo información asistencial, autorización de investigación y protección de datos; los protocolos y alertas adicionales de origen cuántico son propuestas ajustadas al contexto. ¿Validez y seguridad antes de decisiones clínicas? → Aplicar evaluación clínica MDR o del funcionamiento IVDR y pruebas suficientes según finalidad, clasificación y evidencia; una investigación o ensayo nuevo se exige cuando lo prescribe el régimen concreto, no siempre. El marcado CE corresponde a la comercialización/puesta en servicio comprendidas, con regímenes propios para investigación, fabricación interna y otras excepciones; no equivale por sí solo a validación clínica de cualquier uso. Mantener vigilancia poscomercialización y notificación de incidentes según producto, agente y régimen, junto a formación y supervisión clínica pertinentes.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

EHDSEn vigor con fechas de aplicación por fases
La guía incorpora EHDS por rol/datos/sistema y art. 105: aplicación general 2027, bloques 2029/2031 y excepciones; no lo convierte en obligación sanitaria universal actual.
RGPDNorma en vigor y aplicable en sus condiciones
La guía distingue consentimiento clínico/investigación de base jurídica art. 6 y excepción art. 9 RGPD y EIPD por alto riesgo.
RIAEn vigor con fechas de aplicación por fases
La guía clasifica IA por finalidad y condiciones del art. 6; diagnóstico/cuántica no bastan. Para Anexo I exige los presupuestos y calendario 02-08-2028 del capítulo III 1–3.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Inventario criptográfico y matriz de riesgo →
Priorización criptográfica por vida útil de datos sanitarios; no determina consentimiento, base jurídica, clase MDR/IVDR o calendario EHDS.
Plantilla EIEC (evaluación de impacto ético-cuántico) →
Plantilla de información/ética/seguridad del paciente; no acredita evaluación clínica, autorización de estudio ni marcado CE.

Lagunas declaradas

Los Reglamentos (UE) 2017/745 y 2017/746 de productos sanitarios y las guías MDCG, citados en la guía, no tienen ficha propia en el Observatorio. Es una laguna de catálogo en esta base, no ausencia de norma ni bloqueo automático para preparar un texto contrastado; la aplicabilidad concreta requiere datos del caso.

Proveedores de servicios cuánticos (QSP)

Obligaciones apiladas del QSP

Un QSP —QCaaS, claves administradas, consultoría, productos o servicios de confianza— analiza marcos según función y rol. RGPD por tratamiento y posición del agente; NIS2 por inclusión y derecho aplicable, sin omitir 2024/2690 para sus destinatarios; CRA por productos digitales de software/hardware y soluciones remotas comprendidas, con exclusiones, no solo por distribuir hardware ni por todo SaaS/consultoría. CRA aplica en general desde 11-12-2027, art. 14 desde 11-09-2026 y capítulo IV desde 11-06-2026. DORA sitúa obligaciones y derechos de contratación/auditoría en el cliente financiero y su función; la supervisión directa del tercero requiere el régimen/designación correspondiente. eIDAS: auditar al menos cada 24 meses a prestadores cualificados y vigilancia al menos anual de cada servicio cualificado por el organismo de evaluación de la conformidad según 2025/2162; no extender ese régimen a cualquier servicio de confianza. Data Act requiere servicio de tratamiento de datos comprendido y excepciones del art. 31 para el cambio de proveedor. SLAs sobre disponibilidad, confidencialidad y propiedad intelectual, responsabilidad y «Quantum Risk Disclosure» son propuestas contractuales ajustadas a mínimos legales y riesgos, sin limitar por pacto derechos imperativos. El consorcio de respuesta a incidentes cuánticos sigue siendo propuesta (P).

Compras responsables y cadena de suministro

Proponer RFPs con perfil PQC específico, política ética, diligencia sobre incidentes/cumplimiento y evidencia de homologación cuando corresponda; distinguir estándares NIST, especificaciones ETSI y QKD, cuyo cumplimiento de interfaz no certifica seguridad integral ni sustituye PQC. Definir cripto-agilidad, uso legítimo, auditoría y KPIs de parcheo como condiciones propuestas adaptadas a obligaciones reales; diversificar y planificar salida sin prometer portabilidad universal de secretos, claves o rendimiento entre QPUs. Trazabilidad de componentes y pruebas de aceptación de qubits por lote son requisitos técnicos/contractuales a definir; ISO 9001 se refiere a gestión de calidad, no acredita por sí misma esos ensayos ni rendimiento cuántico. Para minerales de conflicto, verificar importador UE, minerales/metales 3TG, volúmenes y exclusiones del Reglamento 2017/821, con diligencia sobre origen/riesgos; no basta etiquetar hardware cuántico. REACH se analiza por sustancia/mezcla/artículo y rol; RAEE por aparato, agente y exclusiones aplicables. Circularidad, recuperación de helio y calor son propuestas salvo obligación ambiental o condición contractual concreta.

Fuentes en el Observatorio

Fichas que la guía o su aplicación práctica citan. Comprueba en cada una su ámbito, su estado y la etiqueta de cada criterio (O/I/S/R/P).

RGPDNorma en vigor y aplicable en sus condiciones
La guía relaciona RGPD con tratamiento y posición concreta del QSP, sin inclusión por nombre comercial.
NIS2Directiva: obliga al resultado, aplica vía Derecho nacional
La guía analiza NIS2 por entidad/actividad/tamaño/excepciones y régimen aplicable, incluido 2024/2690 cuando corresponda.
CRAEn vigor con fechas de aplicación por fases
La guía contempla CRA para productos digitales software/hardware comprendidos, exclusiones y calendario: art. 14 ya desde 11-09-2026/general 11-12-2027.
DORANorma en vigor y aplicable en sus condiciones
La guía distingue contratación/auditoría DORA del cliente financiero y supervisión directa del tercero conforme a su designación/régimen.
eIDAS2Norma en vigor y aplicable en sus condiciones
La guía limita auditoría al menos cada 24 meses a prestadores cualificados, con vigilancia al menos anual de cada servicio cualificado por el organismo de evaluación de la conformidad según 2025/2162, no a todo servicio de confianza.
Data ActNorma en vigor y aplicable en sus condiciones
La guía propone salida/portabilidad según servicio de tratamiento de datos, excepciones del art. 31 y límites de activos del Data Act, sin garantía universal entre QPUs.
NIST PQC (FIPS 203-206, HQC)Especificación técnica; sin fuerza de obligación general en la UE
La guía usa estándares NIST PQC para perfiles concretos de compra, separando algoritmo, implementación y validación.
ETSI QKDEspecificación técnica; sin fuerza de obligación general en la UE
La guía distingue PQC de QKD; la ficha ETSI-QKD sirve a compras con QKD y límites de interfaz/seguridad, no acredita por sí sola cualquier requisito PQC.

Ver los criterios de estas fichas en el mapa de criterios →

Recurso práctico

Recursos orientativos de la caja de herramientas: deben adaptarse a cada organización y no acreditan cumplimiento.

Patrones contractuales orientativos →
Patrones 1/2/4/7 orientativos de cripto-agilidad, uso ético, auditoría y salida, ajustados a rol, contrato y obligaciones aplicables.
Servicios de confianza y transición PQC →
Distingue categoría jurídica eIDAS, cualificación y madurez PQC; no califica ni certifica automáticamente al QSP.

Lagunas declaradas

Los minerales de conflicto (Reg. (UE) 2017/821), REACH, RAEE e ISO 9001, citados en la guía, no tienen ficha propia en el Observatorio. Es una laguna de catálogo en esta base, no ausencia de norma ni bloqueo automático para preparar un texto contrastado; la aplicabilidad concreta requiere datos del caso.