En diciembre de 2024 entró en vigor la Cyber Resilience Act (CRA), marcando un hito en la ciberseguridad europea. Este reglamento vinculante (UE 2024/2847) eleva los estándares de protección para los «productos con elementos digitales».
Su alcance obliga a los fabricantes a replantear cómo diseñan y desarrollan sus productos digitales, convirtiéndose en un punto de inflexión para reforzar la confianza en el mercado digital europeo y posicionar a la Unión Europea como referente en resiliencia y seguridad digital.
Alcance y propósito: ¿Qué es el CRA?
El CRA, publicado como texto legal, es en esencia un marco normativo diseñado para reducir vulnerabilidades en los productos digitales puestos en el mercado europeo, exigiendo medidas de seguridad durante todo su ciclo de vida: desde el diseño y desarrollo, hasta su retirada del mercado.
Esta ley define unos requisitos esenciales de ciberseguridad (anexo I, CRA) que todo producto en el alcance debe cumplir, tanto a nivel de propiedades de ciberseguridad de producto (control de acceso, confidencialidad/integridad de datos…) como de requisitos de gestión de las vulnerabilidades.
Así, los fabricantes deben garantizar que sus productos sean seguros por diseño, se entreguen sin vulnerabilidades conocidas explotables, estén configurados de manera segura por defecto y cuenten con mecanismos y procedimientos efectivos de gestión de vulnerabilidades, incluyendo actualizaciones automáticas de seguridad. Los fabricantes deben incorporar la ciberseguridad desde el inicio del ciclo de vida y garantizar la transparencia mediante el marcado CE, un sello ya conocido que ahora también se extiende al cumplimiento en materia de ciberseguridad.
Calendario y alcance legal
Al tratarse de un reglamento, el CRA se aplica directamente en todos los Estados miembros desde el 11 de diciembre de 2024. Sin embargo, se ha establecido un período de transición que otorga a los fabricantes hasta el 11 de diciembre de 2027 para adaptar completamente sus productos.
En realidad, hay tres fechas clave a tener en cuenta:
- Entrada en vigor: 10 de diciembre de 2024, con un período de transición de 36 meses antes de que la mayoría de las obligaciones sean plenamente aplicables.
- Obligaciones de notificación de incidentes y vulnerabilidades: 11 de septiembre de 2026. Algunas obligaciones de notificación en relación con vulnerabilidades se aplican antes, transcurridos 21 meses.
- Aplicación completa: 11 de diciembre de 2027. A partir de esta fecha, los fabricantes y otros operadores económicos deberán cumplir plenamente con los requisitos de la CRA.
El incumplimiento conlleva sanciones severas: en general, multas de hasta 15 millones de euros o del 2,5 por ciento de la facturación anual mundial, lo que resulte mayor.
Categorías de productos y obligaciones de conformidad
Los productos bajo el CRA se dividen según su nivel de riesgo:
- Productos por defecto (aproximadamente el 90% del mercado): Los fabricantes realizan autoevaluaciones, mantienen la documentación técnica y elaboran una declaración de conformidad.
- Productos importantes: aquellos con funciones importantes en ciberseguridad, como sistemas de gestión de identidad, VPN o sistemas operativos. Están sujetos a controles adicionales y, dependiendo de la clase, se puede realizar autoevaluación en ciertas condiciones.
- Productos críticos: incluyen tarjetas inteligentes o módulos de seguridad de hardware vitales para cadenas de suministro críticas. Estos requieren certificación externa bajo esquemas europeos de ciberseguridad antes de su comercialización.
Las evaluaciones de la conformidad de tercera parte las realizan los organismos notificados. Quedan excluidas del CRA las categorías de productos ya reguladas por marcos específicos (como dispositivos médicos o vehículos).
Impactos y desafíos para los fabricantes
Destacamos dos impactos y desafíos para los fabricantes:
- Reestructuración de los procesos de diseño y desarrollo: la implantación de medidas puede implicar sobrecostes de ingeniería y certificación.
- Talento en ciberseguridad: dificultad para encontrar expertos cualificados para implantar ciclos de desarrollo seguros y gestionar notificaciones.
Beneficios y oportunidades estratégicas
- Seguridad en el ciclo de vida y confianza del consumidor: diseñar con seguridad reduce costes a largo plazo y mejora la reputación. Un producto con marcado CE genera confianza.
- Liderazgo en el ecosistema: las empresas que se adapten temprano pueden liderar iniciativas y consolidarse en el sector.
¡Sigue leyendo!
Aquí te hemos mostrado tan solo una parte de este artículo.
¿Quieres leer el contenido completo?
