Desde el 1 de abril de 2026 la India solo permite vender cámaras CCTV no analógicas con certificación de seguridad, y 507 modelos estaban certificados al 25 de marzo

Desde el 1 de abril de 2026, una cámara CCTV que no cumpla los requisitos de seguridad de la India no puede venderse legalmente en el país. Un memorando de oficina de MeitY fechado el 16 de enero de 2026 dice que desde esa fecha queda permitida “ninguna venta de cámaras CCTV que no se ajusten a los ER notificados por MeitY”. Los ER son los Requisitos Esenciales de Seguridad de CCTV, una lista de pruebas que el Ministerio de Electrónica y Tecnología de la Información (MeitY) publicó en el Boletín Oficial de la India el 9 de abril de 2024. Una respuesta presentada en la Lok Sabha el 25 de marzo de 2026, difundida por la Oficina de Información de Prensa, dijo que 507 modelos de cámara estaban certificados como conformes.

Qué dice la norma y a quién cubre

El memorando del 16 de enero puso fin a una concesión. El 21 de mayo de 2025, MeitY había permitido vender como existencias antiguas las cámaras importadas o fabricadas en la India antes del 9 de abril de 2025. Citando la frase de que “ha transcurrido tiempo suficiente”, el nuevo memorando retira esa relajación desde el 1 de abril de 2026. Iba dirigido al director general de la Oficina de Normas de la India (BIS) y a las asociaciones del sector.

Su fundamento legal es una orden fechada el 9 de abril de 2024, con el número S.O. 1652(E). Añadió las cámaras CCTV en el número de serie 41 del anexo de la Orden de Registro Obligatorio de Bienes de Electrónica y Tecnología de la Información (Requisitos), de 2021, que se emite en virtud de la Ley de la Oficina de Normas de la India, de 2016. Según esa orden, un fabricante necesita una licencia de BIS para usar la Marca Estándar, y los informes de prueba de laboratorios reconocidos por BIS son requisito previo de la licencia. Por tanto, una cámara debe cumplir la antigua norma de seguridad eléctrica, IS 13252 (Parte 1): 2010, y también los requisitos de seguridad añadidos en 2024.

Tal como está escrita, la norma es un estándar que se aplica a todas las marcas y a todos los países de origen. Un grupo de cámaras queda fuera de ella. Una circular de BIS del 1 de abril de 2025 informa de que MeitY aclaró el 12 de marzo de 2025 que las cámaras analógicas no necesitan someterse a las pruebas de los requisitos de seguridad. Las cámaras de cualquier otro tipo sí.

Cómo se certifica una cámara

Un fabricante presenta a BIS un informe de prueba de lo que el portal de BIS llama ER: 01. STQC, la Dirección de Pruebas de Normalización y Certificación de Calidad de MeitY, asigna un laboratorio y un validador, el laboratorio prueba la cámara, STQC envía el informe a BIS y BIS emite el certificado. El embalaje de una cámara conforme puede llevar la línea “Esta cámara CCTV cumple los Requisitos Esenciales de Seguridad”.

Una segunda vía sirve a los compradores del gobierno. Una notificación de MeitY del 6 de marzo de 2024, publicada en el Boletín Oficial el 7 de marzo, sometió los sistemas de videovigilancia a la Orden de Contratación Pública (Preferencia a Make in India), con los mismos requisitos de seguridad. STQC emite los certificados de esa vía en el marco de su Esquema de Certificación de Sistemas IoT, y un certificado es válido por tres años. Una circular de MeitY del 4 de febrero de 2026 dice que las dos vías usan los mismos requisitos, de modo que desde esa fecha STQC emite un único informe de prueba de seguridad en virtud de la orden de BIS que también vale para la contratación pública.

Las cámaras de una misma serie deben compartir el mismo chip, la misma disposición de los circuitos relacionados con la seguridad y un firmware idéntico con valores hash coincidentes, según las directrices de series que BIS hizo circular en octubre de 2024. Cada certificado enumera el conjunto de chips, incluido su país de origen, la versión del firmware y el hash. Un ejemplo es el certificado ER/009 de STQC, emitido el 8 de octubre de 2024 a Prama India Private Limited para tres modelos de cámara de red. Registra el chip como un Novatek NT98525 y su país de origen como Taiwán, según los documentos que presentó el fabricante, y rige hasta el 7 de octubre de 2027. Por su propio texto, el certificado no es un aval del producto por ningún organismo del gobierno.

Qué prueban los laboratorios

El procedimiento P01 de STQC, fechado el 21 de mayo de 2024, expone las comprobaciones en cuatro grupos.

En el hardware, los puertos de depuración como USB, UART, JTAG y SWD deben estar desactivados o protegidos por una contraseña compleja, y el laboratorio revisa el proceso de fábrica del fabricante para confirmar que están cerrados cuando se aprovisiona la cámara. Cada dispositivo debe llevar sus propias claves y certificados criptográficos, la cámara debe mostrar resistencia o detección de manipulación, y debe comprobar la firma de su imagen de arranque antes de cargarla. Los datos sensibles y las claves deben residir en un elemento seguro, un módulo de plataforma de confianza o un entorno de ejecución de confianza, que son zonas protegidas dentro del chip o junto a él, o bien estar protegidos con criptografía fuerte.

En el firmware, el laboratorio verifica que las protecciones de memoria estén activas, que los datos en tránsito usen cifrado fuerte y que la cámara valide la firma digital de los servidores con los que se comunica. Comprueba que las funciones arriesgadas del lenguaje C se sustituyan por otras seguras y que el firmware lleve una lista de materiales de software, una relación de cada componente de terceros con su versión y sus vulnerabilidades conocidas. Las actualizaciones de firmware deben estar firmadas y comprobarse antes de la instalación, y la cámara debe negarse a volver a una versión anterior.

También se revisa el código fuente. El procedimiento P01 exige una revisión de código automatizada y manual con una herramienta licenciada de análisis estático, y exige que todo el código, incluidos los binarios y bibliotecas de terceros, se revise en busca de credenciales incrustadas, que el documento califica de puertas traseras. Los proveedores aportan los binarios del firmware y sus informes internos de revisión. Se enumeran varias formas de hacer la revisión, desde que el proveedor lleve su código al laboratorio hasta que el laboratorio obtenga acceso remoto a los propios sistemas del proveedor. Una cámara que usa un protocolo de red propietario debe entregar los detalles completos de la implementación y el código fuente de ese protocolo.

En la cadena de suministro, el proveedor presenta una lista de materiales de las piezas de hardware críticas, documentos de diseño hasta el nivel de la placa de circuito y del chip, planes de riesgo y continuidad de la cadena de suministro, y pruebas de que se hizo un análisis de malware antes del embalaje. A los laboratorios se les dice que las piezas críticas para la seguridad son el chip, el firmware, la placa de circuito, la interfaz de red y los puertos físicos.

La cláusula del conjunto de chips y lo que nombran los documentos

La comprobación del origen es la parte que más atención ha atraído. La nota de orientación de STQC a los laboratorios les indica que verifiquen que el chip y el firmware “no procedan de países que comparten frontera terrestre”, usando facturas, literatura técnica y otros documentos de respaldo. Los laboratorios deben además rastrear el chip y el firmware desde la adquisición hasta el producto terminado, y la nota dice que una pieza desarrollada internamente no necesita factura.

Ningún documento citado aquí nombra un país ni una empresa. Tanto el anexo del Boletín Oficial como el procedimiento P01 hablan de fuentes de confianza y de una lista de materiales gestionada, y la redacción sobre la frontera terrestre aparece en la nota de orientación. Esa frase describe a los países que comparten frontera terrestre con la India.

Los reportajes de prensa van más allá que los documentos. MediaNama, citando un reportaje de Economic Times, describió la medida como una prohibición a las empresas chinas de videovigilancia y dijo que las autoridades niegan la certificación a productos que usan conjuntos de chips o firmware chinos, sin nombrar una fuente de esa práctica. The News Minute nombró a Hikvision, Dahua y TP-Link como directamente afectadas, también sin citar un documento. Reuters informó en mayo de 2025 de que Xiaomi dijo que los laboratorios indios habían pedido documentos adicionales a sus fabricantes por contrato radicados en China, citando “directrices internas” para empresas de países que comparten frontera terrestre con la India. El ministerio de Exteriores de China, según Reuters, instó a la India a ofrecer un entorno no discriminatorio a las empresas chinas. Lo que muestra el registro oficial es un régimen de certificación, y ninguno de sus documentos enumera una marca rechazada.

Las razones que ha dado el gobierno

El aviso de MeitY del 11 de marzo de 2024 enumera la seguridad de los datos, la violación de la privacidad, el pirateo y el ciberataque como riesgos crecientes de los sistemas CCTV y dice que se han informado incidentes por fallos de seguridad en las cámaras. Aconseja a los organismos públicos evitar marcas con historial de brechas de seguridad y filtraciones de datos y mantener dentro de la India los datos de los CCTV en establecimientos del gobierno y lugares públicos. La nota de orientación de STQC da su propia razón: que las grabaciones filtradas lleguen a personas no autorizadas.

En su comunicado del 25 de marzo de 2026, la Oficina de Información de Prensa enumera las normas de CCTV entre las medidas de seguridad del gobierno, junto a una directiva de 2021 según la cual las redes de telecomunicaciones usan solo equipos de fuentes de confianza. Dice que a los departamentos del gobierno se les restringe comprar equipos CCTV que no cumplan los criterios. Reuters citó a un alto funcionario anónimo que dijo “China es parte de la preocupación” e informó de que los funcionarios citaron la necesidad de proteger la infraestructura nacional de vigilancia. Un informe de Recorded Future sobre ataques al sector eléctrico de la India describió a atacantes que retransmitían órdenes a través de DVR y cámaras IP comprometidos, lo que da a la preocupación por la cadena de suministro un ejemplo técnico.

Las fechas de 2024 a 2026

• 6 de marzo de 2024: MeitY notifica los requisitos de seguridad para las compras del gobierno, publicados en el Boletín Oficial el 7 de marzo. Una circular de MeitY dice que entraron en vigor el 7 de junio de 2024.
• 9 de abril de 2024: la S.O. 1652(E) añade las cámaras CCTV a la orden de registro obligatorio, para aplicarse seis meses después de su publicación.
• 21 de mayo de 2024: STQC emite el procedimiento P01.
• 22 de octubre de 2024: BIS fija el 9 de abril de 2025 como fecha de implementación y dice que los modelos no conformes serán entonces retirados de las licencias.
• 12 de marzo de 2025: MeitY excluye las cámaras analógicas.
• 9 de abril de 2025: el requisito entra en vigor en virtud de la orden de BIS.
• 21 de mayo de 2025: MeitY permite la venta de existencias importadas o fabricadas antes del 9 de abril de 2025.
• 16 de enero de 2026: MeitY retira ese permiso con efecto desde el 1 de abril de 2026.

Qué cambió para los proveedores

Reuters informó el 28 de mayo de 2025 de que STQC tenía 15 laboratorios capaces de procesar 28 solicitudes a la vez y de que las solicitudes superaban esa capacidad. Dijo que los funcionarios comunicaron a ejecutivos de 17 empresas en una reunión el 3 de abril de 2025 que la política se aplicaría sin excepción, y que había 342 solicitudes pendientes al 28 de mayo de 2025 con una aprobación para una marca extranjera. El director para el sur de Asia de Hanwha advirtió al ministerio por correo electrónico de que “se perderán millones de dólares para el sector”, dijo Reuters. Ese reportaje situó el mercado indio de CCTV en 3,5 mil millones de dólares en 2023 y dijo que cerca del 80 por ciento de los componentes seguían viniendo de China.

Para abril de 2026, la información había cambiado hacia quién salió ganando. Citando a Counterpoint Research, The News Minute dijo que las empresas indias tenían más del 80 por ciento del mercado en febrero de 2026. Enumeró a CP Plus, Qubo, Prama, Matrix y Sparsh como en expansión y dijo que habían pasado a conjuntos de chips taiwaneses y a firmware escrito localmente, sin citar una fuente para esa parte. Informó de que Bosch y Honeywell eran fuertes en el extremo premium.

El recuento oficial era de 507 modelos certificados al 25 de marzo de 2026, y ninguno de los documentos del gobierno citados aquí da un desglose de esos modelos por marca.