La ciberseguridad de los productos digitales está entrando en una nueva etapa regulatoria en la Unión Europea. El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA), establece requisitos de ciberseguridad para los productos con elementos digitales y obliga a los fabricantes afectados a integrar la seguridad en su diseño, desarrollo y mantenimiento.
Aunque la aplicación general del Reglamento está prevista para el 11 de diciembre de 2027, las obligaciones de notificación de determinadas vulnerabilidades e incidentes son aplicables desde el 11 de septiembre de 2026. Este cambio plantea un reto para las empresas afectadas: disponer de mecanismos que permitan detectar amenazas, evaluar su impacto y activar una respuesta dentro de los plazos legales.
|
Índice de Contenidos: |
Gestión de vulnerabilidades durante todo el ciclo de vida
La CRA introduce un enfoque que va más allá de la seguridad inicial del producto. Su artículo 13 y el anexo I establecen obligaciones relacionadas con el diseño seguro, la evaluación de riesgos, la gestión de vulnerabilidades y las actualizaciones de seguridad.
Los fabricantes deben disponer de procesos para identificar y tratar vulnerabilidades, aplicar medidas correctoras y mantener la seguridad durante el periodo de soporte correspondiente. También deben considerar los riesgos asociados a los componentes integrados en sus productos.
Por tanto, la gestión de vulnerabilidades no puede limitarse a una comprobación puntual antes de la comercialización. Requiere una capacidad continuada para identificar amenazas, priorizar riesgos y adoptar medidas adecuadas.
Es importante recordar que las obligaciones varían según el papel de cada operador económico. Determinar si una empresa actúa como fabricante, importador o distribuidor resulta esencial para conocer los requisitos que le corresponden.
Nuevas obligaciones de notificación: plazos de 24 y 72 horas
Una de las novedades más relevantes de la CRA es el régimen de notificación establecido en su artículo 14, aplicable desde septiembre de 2026.
Los fabricantes deben notificar las vulnerabilidades explotadas activamente que afecten a sus productos y de las que tengan conocimiento, así como determinados incidentes graves que afecten a la seguridad de dichos productos.
El Reglamento establece los siguientes plazos:
- 24 horas: alerta temprana desde que el fabricante tenga conocimiento de la vulnerabilidad explotada activamente o del incidente grave.
- 72 horas: notificación con la información disponible sobre el evento, su impacto y las medidas adoptadas o previstas.
- Informe final: para las vulnerabilidades explotadas activamente, en un plazo de 14 días desde que esté disponible una medida correctora o mitigadora; para los incidentes graves, en el plazo de un mes desde la notificación de 72 horas.
Las notificaciones se canalizan a través de la Plataforma Única de Notificación de ENISA. Los plazos y el contenido de cada comunicación deben aplicarse conforme a las condiciones específicas previstas en el artículo 14.
Estos requisitos hacen necesario disponer de procedimientos internos capaces de detectar un evento, evaluar su relevancia y coordinar la respuesta técnica y jurídica sin demoras innecesarias.
De la obligación legal a la capacidad de respuesta
Cumplir con la CRA no consiste únicamente en disponer de políticas y documentación. Las empresas necesitan capacidades técnicas y organizativas que les permitan detectar amenazas, evaluar su impacto y actuar dentro de los plazos establecidos.
La monitorización continua, la inteligencia de amenazas, la gestión de vulnerabilidades y los procedimientos de respuesta ante incidentes son elementos clave para reforzar esta capacidad. También resulta esencial coordinar a los equipos técnicos y jurídicos para determinar las obligaciones aplicables y gestionar las notificaciones cuando corresponda.
Desde nuestra experiencia, trasladar estas necesidades a la práctica requiere combinar tecnología especializada, capacidad de monitorización y procedimientos de respuesta bien definidos. En Alhambra IT, a través de OneseQ, nuestra área de Ciberseguridad, trabajamos con fabricantes especializados y servicios como nuestro Centro de Operaciones de Seguridad (SOC) y el servicio de Alerta Temprana de incidentes de seguridad, que nos permiten mejorar la visibilidad sobre los riesgos y facilitar una actuación más rápida ante posibles incidentes.
También sabemos que la tecnología, por sí sola, no es suficiente. Estas capacidades deben integrarse en una estrategia adaptada a cada organización y acompañarse de procesos adecuados de gestión de vulnerabilidades y respuesta. En cualquier caso, no sustituyen las obligaciones legales que correspondan a cada operador económico.
Prepararse para la aplicación de la CRA
La aplicación escalonada de la Cyber Resilience Act ofrece a las empresas afectadas un calendario para revisar sus procesos y capacidades. Las prioridades deben ser identificar los productos incluidos en su ámbito de aplicación, determinar las responsabilidades correspondientes, revisar los procedimientos de gestión de vulnerabilidades y establecer mecanismos eficaces de detección, escalado y notificación.
La CRA refuerza así una idea fundamental: la ciberseguridad debe gestionarse de forma continua durante el ciclo de vida de los productos digitales. Combinar el cumplimiento normativo con mecanismos eficaces de prevención, detección y respuesta permitirá a las organizaciones afrontar mejor los riesgos y avanzar hacia una mayor ciberresiliencia.
Preguntas frecuentes sobre la Cyber Resilience Act
¿Qué obligaciones de la Cyber Resilience Act están ya en vigor en 2026?
Desde el 11 de septiembre de 2026 son aplicables las obligaciones de notificación de determinadas vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad de los productos con elementos digitales. La aplicación general del Reglamento está prevista para el 11 de diciembre de 2027.
¿Qué debe notificarse según la Cyber Resilience Act?
Deben notificarse las vulnerabilidades explotadas activamente que afecten a los productos y de las que el fabricante tenga conocimiento, así como determinados incidentes graves que afecten a su seguridad. La CRA establece requisitos y plazos específicos para realizar estas comunicaciones.
¿Cuáles son los plazos de notificación de la CRA: 24 y 72 horas?
El fabricante debe emitir una alerta temprana en un plazo de 24 horas desde que tenga conocimiento de la vulnerabilidad explotada activamente o del incidente grave. Posteriormente, debe presentar una notificación en un plazo de 72 horas con la información disponible sobre el evento, su impacto y las medidas adoptadas o previstas.
En el caso de las vulnerabilidades explotadas activamente, el informe final debe presentarse en un plazo de 14 días desde que esté disponible una medida correctora o mitigadora. Para los incidentes graves, el plazo es de un mes desde la notificación de 72 horas.
¿Qué empresas están afectadas por la Cyber Resilience Act?
Las obligaciones dependen del papel que desempeñe cada operador económico. Por ello, resulta esencial determinar si la empresa actúa como fabricante, importador o distribuidor de productos con elementos digitales para identificar los requisitos que le corresponden.
¿Cómo pueden prepararse las empresas para cumplir con las obligaciones de la CRA?
Las empresas deben identificar los productos incluidos en el ámbito de aplicación del Reglamento, determinar sus responsabilidades y revisar sus procedimientos de gestión de vulnerabilidades. También necesitan establecer mecanismos eficaces de detección, evaluación, escalado y notificación de incidentes.
La monitorización continua, la inteligencia de amenazas, la gestión de vulnerabilidades y los procedimientos de respuesta ante incidentes pueden ayudar a reforzar su preparación. Asimismo, es necesario coordinar a los equipos técnicos y jurídicos para determinar las obligaciones aplicables y gestionar las notificaciones cuando corresponda.
