Vivimos rodeados de tecnología. Desde el móvil que llevas en el bolsillo hasta el software que gestiona una fábrica, todo depende del buen funcionamiento y la seguridad de los productos digitales. Pero, ¿qué ocurre cuando una simple vulnerabilidad pone en riesgo a miles de usuarios? Para evitarlo, la Unión Europea ha impulsado la Ley de Ciberresiliencia (CRA), la primera norma que exige seguridad digital desde el diseño.
¿Qué es la CRA y por qué es importante?
La Cyber Resilience Act (CRA) es un reglamento europeo que establece requisitos obligatorios de ciberseguridad para todos los productos con elementos digitales. Nace para abordar el bajo nivel de ciberseguridad de muchos productos y la falta de información clara para los usuarios.
Los fabricantes deberán garantizar que sus dispositivos y programas sean seguros desde su diseño, y mantenerlos actualizados durante todo su ciclo de vida. Por tanto, no podrán lanzar productos inseguros al mercado.
¿A quién afecta?
Si tu empresa participa en cualquier fase del ciclo de vida de un producto digital, esta ley te interesa. La CRA no solo va dirigida a grandes fabricantes: afecta a muchos perfiles del mercado tecnológico. Estos son los principales:
- Fabricantes de productos digitales: ya estén en la UE o fuera de ella, deberán cumplir la ley si venden sus productos en el mercado europeo.
- Desarrolladores de software: deberán asegurarse de que sus aplicaciones incorporan medidas de ciberseguridad desde el diseño y cumplen con los requisitos técnicos establecidos.
- Distribuidores e importadores: como intermediarios en la cadena de suministro, tendrán que verificar que los productos que comercializan cumplen con la normativa.
- Otros actores: también se incluyen revendedores u operadores que participen en la entrega de productos digitales dentro de la UE.
Principales obligaciones de la CRA
- Diseño seguro desde el principio: los productos deben ser seguros desde su creación.
- Gestión de vulnerabilidades: los fabricantes deben notificar a las autoridades competentes cualquier vulnerabilidad en un plazo de 24 horas tras su detección.
- Soporte y actualizaciones: se debe dar soporte durante todo el ciclo de vida del software o durante al menos 5 años.
- Documentación clara: los productos deberán incluir información transparente sobre las características de seguridad de los productos.
¿Cuándo empezará a aplicarse realmente?
Aunque la ley ya está en vigor desde el 10 de diciembre de 2024, su aplicación será gradual, dando a las empresas un margen para adaptarse.
Estas son las fechas clave que debes tener en cuenta:
- 11 de junio de 2026: entran en vigor las normas sobre notificación de entidades que certificarán que un producto cumple la ley (organismos de evaluación de la conformidad).
- 11 de septiembre de 2026: los fabricantes deben comenzar a cumplir con las obligaciones de información.
- 11 de diciembre de 2027: el reglamento se aplicará en su totalidad.
¿Qué puedes hacer desde este momento?
Si formas parte de una empresa que diseña, fabrica o vende productos digitales, es momento de actuar:
- Evalúa tus productos actuales.
- Identifica posibles riesgos de seguridad.
- Revisa tus procesos de desarrollo y mantenimiento
- Empieza a adaptarte a los nuevos requisitos.
La ciberseguridad ya no es opcional. Es una exigencia legal y una garantía de confianza. Adelantarte al cumplimiento te dará una ventaja competitiva y reducirá riesgos.
