La Comisión Europea publicó este lunes, 27 de julio, una nueva guía práctica para ayudar a fabricantes, desarrolladores y empresas a prepararse para la aplicación de la ley de Ciberresiliencia, conocida por sus siglas en inglés como CRA. La norma introduce por primera vez requisitos generales de ciberseguridad para prácticamente cualquier producto que incorpore software y pueda conectarse, directa o indirectamente, a otro dispositivo o a una red.
La nueva ley de Ciberresiliencia de la UE cita expresamente productos cotidianos
La propia Comisión resume el cambio con una idea sencilla: los ciudadanos “merecen la garantía de estar protegidos frente a las ciberamenazas”. No se trata únicamente de ordenadores o teléfonos. Bruselas cita expresamente productos cotidianos “desde vigilabebés hasta relojes inteligentes” y desde aplicaciones móviles hasta programas informáticos.
Seguridad más allá de la venta
Uno de los principales problemas del mercado tecnológico es que la responsabilidad del fabricante se ha concentrado tradicionalmente en el momento de la venta. El dispositivo debía encenderse, cumplir su función y no presentar defectos físicos. Lo que ocurría años después con su software quedaba, en demasiadas ocasiones, en un terreno mucho más difuso.
Con la entrada en vigor de la ley de Ciberresiliencia, el fabricante deberá analizar los riesgos desde la fase de diseño y tener en cuenta la seguridad durante el desarrollo, la producción, la entrega y el mantenimiento del producto. De hecho, la Comisión habla de requisitos obligatorios durante “todo el ciclo de vida” de los productos digitales.
El comprador sabrá hasta cuándo recibirá actualizaciones
Cuando la norma sea plenamente aplicable, el fabricante deberá indicar de manera clara hasta qué mes y año se compromete a gestionar las vulnerabilidades de seguridad del producto. Esa fecha tendrá que facilitarse en el momento de la compra y deberá resultar comprensible para el usuario.
Actualmente, dos aparatos aparentemente idénticos pueden ofrecer experiencias muy distintas. Uno puede recibir parches durante años y otro quedar abandonado poco después de salir al mercado. El consumidor rara vez dispone de esa información antes de elegir. Con la nueva regulación, el periodo de actualizaciones podrá convertirse en un criterio de compra tan relevante como la batería, la capacidad de almacenamiento o el precio.
La guía publicada ahora intenta aclarar precisamente “cómo deben entenderse y aplicarse los periodos de soporte”, una de las dudas que más preocupaban a las empresas.
Aviso rápido de los problemas graves
La mayoría de las obligaciones de la ley comenzará a aplicarse el 11 de diciembre de 2027. Sin embargo, una parte especialmente relevante entrará en vigor antes.
A partir del 11 de septiembre de 2026, los fabricantes tendrán que notificar las vulnerabilidades que estén siendo explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos.
El primer aviso deberá enviarse en un plazo de 24 horas desde que la empresa tenga conocimiento del problema. La notificación completa tendrá que llegar en 72 horas. Posteriormente se exigirá un informe final que explique las medidas correctoras adoptadas.
La obligación no significa que todos los fallos vayan a hacerse públicos de inmediato, algo que podría facilitar nuevos ataques. Lo que pretende es evitar que una compañía oculte durante semanas una vulnerabilidad crítica mientras miles de dispositivos continúan expuestos.
Las comunicaciones se centralizarán en una plataforma gestionada por la Agencia de la Unión Europea para la Ciberseguridad, ENISA, y se compartirán con los equipos nacionales de respuesta ante incidentes.
Móviles, aplicaciones, juguetes y hogares conectados
La ley se aplica a los llamados productos con elementos digitales. La definición incluye tanto el hardware como el software cuando su uso previsto permite una conexión, física o lógica, con otro aparato o con una red. En la práctica, puede abarcar teléfonos móviles, sistemas operativos, routers, gestores de contraseñas, cámaras, televisores inteligentes, juguetes conectados, asistentes domésticos, programas informáticos o aplicaciones.
También se aplica a los componentes de terceros integrados en un producto. Si una empresa utiliza una biblioteca de software ajena, no podrá ignorar los riesgos que esa pieza introduce en el conjunto. La norma le exige actuar con la debida diligencia para que esos componentes no comprometan la seguridad final.
Algunos sectores regulados por normas específicas quedan excluidos o disponen de un tratamiento propio. Pero el alcance general es muy amplio porque la intención de la Comisión es acabar con el problema del número cada vez mayor objetos de conectados en los hogares con niveles de protección muy diferentes.
Añadir ElPlural.com como fuente preferida de Google.
Mantente informado con las últimas noticias de actualidad.
