Ley de Resiliencia Cibernética de la UE a partir de 2026: Qué deben verificar los CISO al adquirir productos digitales

El Reglamento de Ciberresiliencia de la UE (CRA) está en vigor desde el 10 de diciembre de 2024. A partir de septiembre de 2026 se aplicarán las obligaciones de notificación; desde diciembre de 2027, todos los productos digitales en el mercado de la UE deberán cumplir los requisitos de seguridad completos. Para los CISO, esto no solo cambia su propio cumplimiento, sino toda la lógica de compras: sin prueba de ciberseguridad no habrá marcado CE; sin declaración de conformidad no habrá mercado de la UE.

Qué regula el CRA

El CRA afecta a todos los «productos con elementos digitales»: hardware y software comercializados en la UE, independientemente de si el fabricante tiene su sede en la UE. Un sensor IoT de Shenzhen, un cliente VPN de California y un firewall de Múnich están sujetos a las mismas reglas. Más información al respecto: Reglamento de Ciberresiliencia.

La ley distingue tres clases. Los productos estándar (la mayoría) pueden certificarse mediante autoevaluación. Los productos de clase I (incluidos gestores de contraseñas, productos VPN, navegadores web, dispositivos de hogar inteligente y sistemas operativos) están sujetos a procedimientos más estrictos. Los productos de clase II (firewalls, sistemas de detección de intrusiones, microprocesadores resistentes a manipulaciones) requieren una evaluación de terceros por parte de un organismo notificado.

Quedan excluidos el software de código abierto no comercial, los productos sanitarios, los vehículos y los productos para la seguridad nacional. Todo lo demás que sea digital y se venda entra en el ámbito del CRA.

Las cinco obligaciones clave para los fabricantes

1. Secure by Design y por defecto. La ciberseguridad debe incorporarse desde el inicio del desarrollo. Nada de contraseñas estándar débiles, superficie de ataque minimizada, cifrado de los datos almacenados y transmitidos. Deben habilitarse las actualizaciones de seguridad automáticas.

2. Gestión de vulnerabilidades y SBOM. Los fabricantes deben elaborar una Software Bill of Materials (SBOM). Matiz importante: la publicación de la SBOM no es obligatoria. Sirve para la gestión interna de vulnerabilidades y debe presentarse a la autoridad de vigilancia del mercado cuando esta lo solicite. Además, debe establecerse un proceso de divulgación coordinada de vulnerabilidades.

3. Obligaciones de notificación a partir de septiembre de 2026. En caso de vulnerabilidades explotadas activamente, los fabricantes deben enviar una alerta temprana a ENISA en un plazo de 24 horas. En un plazo de 72 horas se presenta el informe detallado. El informe final vence al cabo de 14 días.

4. Marcado CE para ciberseguridad. Sin conformidad con el CRA, no hay marcado CE. Sin marcado CE, no hay mercado de la UE. Los fabricantes deben emitir una declaración UE de conformidad. Los importadores deben conservarla durante diez años.

5. Al menos cinco años de actualizaciones de seguridad. Los fabricantes deben comunicar la fecha de fin de soporte y proporcionar actualizaciones de seguridad gratuitas durante todo el periodo de soporte.

«El CRA cambia las reglas del juego para todo el mercado digital de la UE. Por primera vez, la ciberseguridad se convierte en un requisito para el marcado CE de productos digitales.»
BSI, página informativa sobre el Cyber Resilience Act

Qué deben cambiar ahora los CISO en las compras

El CRA no solo obliga a los fabricantes, sino a todos los agentes económicos a lo largo de la cadena de suministro. Para los CISO y las compras de TI, esto significa que los criterios de adquisición necesitan una actualización.

Siete preguntas que compras debe plantear a partir de 2026:

1. ¿Existe una declaración UE de conformidad (DoC) con el CRA?

2. ¿Está presente el marcado CE y se refiere a los requisitos del CRA?

3. ¿Cuánto dura el periodo de soporte comunicado? ¿Qué ocurre al final del soporte?

4. ¿Existe una SBOM (previa solicitud)?

5. ¿Qué vía de evaluación de la conformidad se ha elegido?

6. ¿Existe un proceso documentado de divulgación coordinada de vulnerabilidades?

7. ¿Tiene el fabricante una política para actualizaciones de seguridad automáticas?

Los contratos de adquisición deberían incluir explícitamente pruebas de conformidad con el CRA, obligaciones de actualización y disposiciones sobre el fin del soporte. El CRA establece el estándar de lo que se considera un defecto del producto.

Delimitación: CRA, NIS2, DORA y AI Act

El CRA regula los productos antes de su autorización de comercialización. NIS2 regula las organizaciones durante la operación. DORA regula las empresas financieras y sus proveedores de TIC. El AI Act regula los sistemas de IA según clases de riesgo. El CRA y NIS2 pueden aplicarse al mismo tiempo.

Conclusión: la ciberseguridad se convierte en requisito de acceso al mercado

El CRA convierte la ciberseguridad en el filtro de entrada al mercado de la UE. Sin marcado CE no hay prueba de seguridad; sin declaración de conformidad no hay comercialización; ninguna vulnerabilidad sin notificación en 24 horas. Las obligaciones de notificación empiezan ya en septiembre de 2026. Quien espere hasta entonces tendrá un problema de plazos.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.