3 min de lectura<\/p>\n
El Reglamento de Ciberresiliencia de la UE (CRA) est\u00e1 en vigor desde el 10 de diciembre de 2024. A partir de septiembre de 2026 se aplicar\u00e1n las obligaciones de notificaci\u00f3n; desde diciembre de 2027, todos los productos digitales en el mercado de la UE deber\u00e1n cumplir los requisitos de seguridad completos. Para los CISO, esto no solo cambia su propio cumplimiento, sino toda la l\u00f3gica de compras: sin prueba de ciberseguridad no habr\u00e1 marcado CE; sin declaraci\u00f3n de conformidad no habr\u00e1 mercado de la UE.<\/strong><\/p>\n Lo esencial en breve<\/p>\n El CRA afecta a todos los \u00abproductos con elementos digitales\u00bb: hardware y software comercializados en la UE, independientemente de si el fabricante tiene su sede en la UE. Un sensor IoT de Shenzhen, un cliente VPN de California y un firewall de M\u00fanich est\u00e1n sujetos a las mismas reglas. M\u00e1s informaci\u00f3n al respecto: Reglamento de Ciberresiliencia<\/a>.<\/p>\n La ley distingue tres clases. Los productos est\u00e1ndar (la mayor\u00eda) pueden certificarse mediante autoevaluaci\u00f3n. Los productos de clase I (incluidos gestores de contrase\u00f1as, productos VPN, navegadores web, dispositivos de hogar inteligente y sistemas operativos) est\u00e1n sujetos a procedimientos m\u00e1s estrictos. Los productos de clase II (firewalls, sistemas de detecci\u00f3n de intrusiones, microprocesadores resistentes a manipulaciones) requieren una evaluaci\u00f3n de terceros por parte de un organismo notificado.<\/p>\n Quedan excluidos el software de c\u00f3digo abierto no comercial, los productos sanitarios, los veh\u00edculos y los productos para la seguridad nacional. Todo lo dem\u00e1s que sea digital y se venda entra en el \u00e1mbito del CRA.<\/p>\n 1. Secure by Design y por defecto.<\/strong> La ciberseguridad debe incorporarse desde el inicio del desarrollo. Nada de contrase\u00f1as est\u00e1ndar d\u00e9biles, superficie de ataque minimizada, cifrado de los datos almacenados y transmitidos. Deben habilitarse las actualizaciones de seguridad autom\u00e1ticas.<\/p>\n 2. Gesti\u00f3n de vulnerabilidades y SBOM.<\/strong> Los fabricantes deben elaborar una Software Bill of Materials (SBOM). Matiz importante: la publicaci\u00f3n de la SBOM no es obligatoria. Sirve para la gesti\u00f3n interna de vulnerabilidades y debe presentarse a la autoridad de vigilancia del mercado cuando esta lo solicite. Adem\u00e1s, debe establecerse un proceso de divulgaci\u00f3n coordinada de vulnerabilidades.<\/p>\n 3. Obligaciones de notificaci\u00f3n a partir de septiembre de 2026.<\/strong> En caso de vulnerabilidades explotadas activamente, los fabricantes deben enviar una alerta temprana a ENISA en un plazo de 24 horas. En un plazo de 72 horas se presenta el informe detallado. El informe final vence al cabo de 14 d\u00edas.<\/p>\n 4. Marcado CE para ciberseguridad.<\/strong> Sin conformidad con el CRA, no hay marcado CE. Sin marcado CE, no hay mercado de la UE. Los fabricantes deben emitir una declaraci\u00f3n UE de conformidad. Los importadores deben conservarla durante diez a\u00f1os.<\/p>\n 5. Al menos cinco a\u00f1os de actualizaciones de seguridad.<\/strong> Los fabricantes deben comunicar la fecha de fin de soporte y proporcionar actualizaciones de seguridad gratuitas durante todo el periodo de soporte.<\/p>\n \n\u00abEl CRA cambia las reglas del juego para todo el mercado digital de la UE. Por primera vez, la ciberseguridad se convierte en un requisito para el marcado CE de productos digitales.\u00bb El CRA no solo obliga a los fabricantes, sino a todos los agentes econ\u00f3micos a lo largo de la cadena de suministro. Para los CISO y las compras de TI, esto significa que los criterios de adquisici\u00f3n necesitan una actualizaci\u00f3n.<\/p>\n Siete preguntas que compras debe plantear a partir de 2026:<\/strong><\/p>\n 1. \u00bfExiste una declaraci\u00f3n UE de conformidad (DoC) con el CRA?<\/p>\n 2. \u00bfEst\u00e1 presente el marcado CE y se refiere a los requisitos del CRA?<\/p>\n 3. \u00bfCu\u00e1nto dura el periodo de soporte comunicado? \u00bfQu\u00e9 ocurre al final del soporte?<\/p>\n 4. \u00bfExiste una SBOM (previa solicitud)?<\/p>\n 5. \u00bfQu\u00e9 v\u00eda de evaluaci\u00f3n de la conformidad se ha elegido?<\/p>\n 6. \u00bfExiste un proceso documentado de divulgaci\u00f3n coordinada de vulnerabilidades?<\/p>\n 7. \u00bfTiene el fabricante una pol\u00edtica para actualizaciones de seguridad autom\u00e1ticas?<\/p>\n Los contratos de adquisici\u00f3n deber\u00edan incluir expl\u00edcitamente pruebas de conformidad con el CRA, obligaciones de actualizaci\u00f3n y disposiciones sobre el fin del soporte. El CRA establece el est\u00e1ndar de lo que se considera un defecto del producto.<\/p>\n El CRA regula los productos<\/strong> antes de su autorizaci\u00f3n de comercializaci\u00f3n. NIS2<\/a> regula las organizaciones<\/strong> durante la operaci\u00f3n. DORA<\/a> regula las empresas financieras<\/strong> y sus proveedores de TIC. El AI Act regula los sistemas de IA<\/strong> seg\u00fan clases de riesgo. El CRA y NIS2 pueden aplicarse al mismo tiempo.<\/p>\n El CRA convierte la ciberseguridad en el filtro de entrada al mercado de la UE. Sin marcado CE no hay prueba de seguridad; sin declaraci\u00f3n de conformidad no hay comercializaci\u00f3n; ninguna vulnerabilidad sin notificaci\u00f3n en 24 horas. Las obligaciones de notificaci\u00f3n empiezan ya en septiembre de 2026. Quien espere hasta entonces tendr\u00e1 un problema de plazos.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n S\u00ed. El CRA afecta a todos los \u00abproductos con elementos digitales\u00bb, es decir, hardware y software. Queda excluido el software de c\u00f3digo abierto no comercial y sin \u00e1nimo de lucro.<\/p>\n<\/details>\n No. La SBOM debe crearse y poder presentarse a la autoridad de vigilancia del mercado si esta lo solicita. No est\u00e1 prevista una publicaci\u00f3n obligatoria.<\/p>\n<\/details>\n Multas de hasta 15 millones de euros o el 2,5 por ciento del volumen de negocio anual mundial. Adem\u00e1s, las autoridades de vigilancia del mercado pueden prohibir la distribuci\u00f3n u ordenar la retirada de productos. En Alemania, el BSI es la autoridad competente.<\/p>\n<\/details>\n El CRA regula los productos (antes de su autorizaci\u00f3n de comercializaci\u00f3n), NIS2 regula las organizaciones (durante el funcionamiento operativo). Ambos pueden aplicarse al mismo tiempo.<\/p>\n<\/details>\n Actualizar los criterios de compra, comprobar si los proveedores existentes est\u00e1n preparados para el CRA y complementar los contratos de adquisici\u00f3n con pruebas de conformidad y obligaciones de actualizaci\u00f3n.<\/p>\n<\/details>\n\n
Qu\u00e9 regula el CRA<\/h2>\n
Las cinco obligaciones clave para los fabricantes<\/h2>\n
\nBSI, p\u00e1gina informativa sobre el Cyber Resilience Act<\/cite>\n<\/p><\/blockquote>\nQu\u00e9 deben cambiar ahora los CISO en las compras<\/h2>\n
Delimitaci\u00f3n: CRA, NIS2, DORA y AI Act<\/h2>\n
Conclusi\u00f3n: la ciberseguridad se convierte en requisito de acceso al mercado<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfEl CRA tambi\u00e9n se aplica al software?<\/strong><\/summary>\n
\u00bfDebe publicarse la SBOM?<\/strong><\/summary>\n
\u00bfQu\u00e9 ocurre en caso de incumplimiento?<\/strong><\/summary>\n
\u00bfC\u00f3mo se relacionan el CRA y NIS2?<\/strong><\/summary>\n
\u00bfQu\u00e9 debe hacer el CISO antes de septiembre de 2026?<\/strong><\/summary>\n
Lecturas recomendadas por la redacci\u00f3n<\/h2>\n
\n