La ciberseguridad entra en una nueva etapa de la regulación europea de productos. Con el Reglamento de Ciberresiliencia de la UE (CRA), la ciberseguridad deja de ser únicamente una cuestión informática o una característica voluntaria del producto. Para una amplia gama de productos de hardware y software comercializados en la Unión Europea, se convierte en un requisito esencial de conformidad.
El Reglamento (UE) 2024/2847 introduce requisitos horizontales de ciberseguridad para los productos con elementos digitales, incorporando la evaluación de riesgos de ciberseguridad, el desarrollo seguro, la gestión de vulnerabilidades, la documentación técnica y la evaluación de la conformidad al ciclo de vida regulatorio de los productos digitales.
Esto supone un avance importante para fabricantes, productores de software, importadores, distribuidores y organizaciones que suministran productos conectados a Europa.
La ciberseguridad se convierte en un requisito de conformidad del producto
Tradicionalmente, la conformidad de productos en Europa se ha asociado con la seguridad eléctrica, la seguridad de las máquinas, la compatibilidad electromagnética, los equipos a presión y otras características reguladas.
El Reglamento de Ciberresiliencia extiende firmemente este enfoque regulatorio a la ciberseguridad.
Los fabricantes de productos incluidos en el CRA deberán demostrar cada vez más que la ciberseguridad se ha considerado sistemáticamente durante la planificación, el diseño, el desarrollo, la producción, la entrega y el mantenimiento del producto.
En lugar de tratarse principalmente como una función técnica interna, la ciberseguridad pasa a formar parte de las pruebas que respaldan la conformidad del producto y el acceso al mercado europeo.
¿Qué es el Reglamento de Ciberresiliencia de la UE?
El Reglamento de Ciberresiliencia es el Reglamento (UE) 2024/2847 sobre los requisitos horizontales de ciberseguridad para los productos con elementos digitales.
Su finalidad es establecer un marco común de ciberseguridad para una amplia gama de hardware y software comercializados en la Unión Europea.
Un producto con elementos digitales puede incluir software o hardware junto con sus soluciones de tratamiento de datos a distancia, así como componentes de software o hardware comercializados por separado, dentro del ámbito y las exclusiones establecidos por el Reglamento.
El CRA va mucho más allá de los productos tradicionales de ciberseguridad. Los equipos industriales conectados, dispositivos de red, software, dispositivos inteligentes, productos IoT y muchos otros productos con funciones digitales pueden quedar sujetos al marco regulatorio.
¿Qué productos pueden verse afectados?
El ámbito del CRA es deliberadamente amplio, porque las funciones digitales están integradas en los productos y las infraestructuras actuales.
Según sus características y uso previsto, los productos afectados pueden incluir:
Por tanto, la aplicabilidad debe evaluarse para cada producto, sin presumirla únicamente por la clasificación sectorial del fabricante.
Se amplían las responsabilidades del fabricante
El CRA impone importantes responsabilidades a los fabricantes.
Al diseñar, desarrollar y producir un producto con elementos digitales, el fabricante debe garantizar que se cumplen los requisitos esenciales de ciberseguridad aplicables.
Una base importante de este proceso es la evaluación de riesgos de ciberseguridad.
Esta evaluación orienta la aplicación de los requisitos de ciberseguridad a lo largo del ciclo de vida y forma parte de la documentación técnica de cumplimiento del producto.
Definir el producto, sus elementos digitales, su finalidad y su uso previsible.
Identificar amenazas, vulnerabilidades y posibles consecuencias asociadas al producto.
Determinar qué requisitos de ciberseguridad del CRA son aplicables y cómo se cumplirán.
Aplicar medidas de ciberseguridad adecuadas en la arquitectura y el ciclo de vida del producto.
Establecer ensayos, validación y pruebas técnicas que demuestren su aplicación.
Mantener la gestión de vulnerabilidades, las actualizaciones y la notificación reglamentaria tras comercializar el producto.
Seguridad desde el diseño y por defecto
Uno de los principios centrales del CRA es considerar la ciberseguridad durante el desarrollo, en lugar de incorporarla únicamente después de que el producto llegue al mercado.
Los productos con elementos digitales deben diseñarse, desarrollarse y producirse para ofrecer un nivel adecuado de ciberseguridad basado en los riesgos identificados.
Según el producto y los requisitos aplicables, esto puede abarcar configuraciones seguras, control de acceso, confidencialidad e integridad de los datos, reducción de la superficie de ataque, resiliencia, vigilancia de seguridad y corrección de vulnerabilidades.
La evaluación de riesgos de ciberseguridad adquiere un papel central
El CRA exige que los fabricantes realicen una evaluación de riesgos de ciberseguridad para los productos incluidos en su ámbito.
Esta evaluación no debe tratarse como un documento aislado preparado inmediatamente antes del lanzamiento al mercado.
Debe orientar las decisiones en las etapas pertinentes del ciclo de vida del producto.
- la finalidad prevista y el uso razonablemente previsible del producto;
- la arquitectura del producto y sus interfaces digitales;
- las posibles amenazas de ciberseguridad y los escenarios de ataque;
- las vulnerabilidades conocidas y previsibles;
- los componentes de hardware y software de terceros;
- los servicios a distancia y las dependencias del tratamiento de datos;
- las posibles consecuencias de una vulneración de la ciberseguridad; y
- los controles aplicados para reducir los riesgos identificados.
Con el CRA, la ciberseguridad no es simplemente una característica que se comprueba al final del desarrollo. Se convierte en un requisito de conformidad durante el ciclo de vida, desde el diseño hasta el soporte tras la comercialización.
La gestión de vulnerabilidades no termina al vender el producto
Una de las características más importantes del Reglamento de Ciberresiliencia es su enfoque del ciclo de vida.
Se espera que los fabricantes establezcan procesos para identificar, documentar, corregir y comunicar las vulnerabilidades que afectan a sus productos.
La gestión de vulnerabilidades se convierte así en una actividad continua de cumplimiento del producto, en lugar de un ejercicio único previo a la comercialización.
Establecer procesos para descubrir y recibir información sobre debilidades de ciberseguridad.
Evaluar la gravedad, la posibilidad de explotación y el impacto potencial en los productos afectados.
Desarrollar y desplegar correcciones, parches o actualizaciones de seguridad adecuados.
Proporcionar información de seguridad adecuada a usuarios, clientes y partes interesadas pertinentes.
Mantener procesos de escalado y notificación de incidentes y vulnerabilidades sujetos a las obligaciones del CRA.
Garantizar que las responsabilidades de gestión de vulnerabilidades continúen durante el período de soporte aplicable.
La ciberseguridad pasa a formar parte del marcado CE
Una de las consecuencias más significativas del CRA es la integración de la ciberseguridad en el marco europeo de conformidad de productos.
Antes de comercializar en la UE un producto con elementos digitales sujeto al Reglamento, el fabricante debe realizar el procedimiento adecuado de evaluación de la conformidad.
Una vez demostrada la conformidad con los requisitos aplicables, el fabricante redacta la declaración UE de conformidad y coloca el marcado CE.
La seguridad suele tratarse principalmente como una cuestión de ingeniería o informática.
Los requisitos de seguridad, las pruebas y la evaluación de la conformidad pasan a formar parte del proceso formal de cumplimiento.
No todos los productos siguen la misma vía de conformidad
El CRA establece distintas posibilidades de evaluación de la conformidad según el producto y su clasificación.
Muchos productos pueden utilizar una vía de conformidad basada en el control interno si se cumplen las condiciones aplicables.
Sin embargo, el Reglamento también identifica categorías de productos importantes y críticos con elementos digitales para los que pueden aplicarse procedimientos de conformidad diferentes o más exigentes.
Por ello, clasificar correctamente el producto se convierte en una decisión temprana e importante de cumplimiento.
Los ensayos y las pruebas técnicas cobrarán mayor importancia
La conformidad del producto depende de pruebas objetivas.
Para cumplir el CRA, los fabricantes pueden necesitar demostrar cómo se han aplicado y verificado los requisitos de ciberseguridad mediante documentación técnica, análisis de ingeniería y ensayos adecuados.
- registros de evaluación de riesgos de ciberseguridad;
- documentación de la arquitectura del producto y del diseño de seguridad;
- información sobre software y componentes;
- registros de análisis de vulnerabilidades;
- verificación y validación de seguridad;
- pruebas de penetración u otros ensayos de ciberseguridad, cuando proceda;
- especificaciones técnicas y normas aplicables;
- registros de acciones correctivas y de corrección de vulnerabilidades;
- instrucciones del producto e información de seguridad; y
- pruebas de evaluación de la conformidad.
La cadena de suministro también importa
Los productos digitales modernos rara vez están compuestos íntegramente por tecnología desarrollada por un único fabricante.
Las bibliotecas de software, los componentes integrados, las aplicaciones de terceros, los servicios en la nube y el hardware suministrado externamente pueden formar parte de la arquitectura final.
Por ello, el CRA tiene importantes implicaciones para la ciberseguridad de la cadena de suministro y la gestión de componentes.
El hito de notificación de septiembre de 2026
Aunque las principales obligaciones del CRA se aplican a partir del 11 de diciembre de 2027, un requisito especialmente importante llega bastante antes.
Desde el 11 de septiembre de 2026, los fabricantes deben notificar determinadas vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad de los productos con elementos digitales.
Esto significa que las organizaciones no deben considerar diciembre de 2027 como la única fecha importante.
Los procedimientos de gestión de vulnerabilidades, escalado y notificación reglamentaria requieren atención desde ahora.
Calendario de aplicación del Reglamento de Ciberresiliencia
El Reglamento de Ciberresiliencia entró en vigor.
Comenzaron a aplicarse las disposiciones relativas a la notificación de organismos de evaluación de la conformidad.
Comienzan a aplicarse las obligaciones de notificación del artículo 14 relativas a determinadas vulnerabilidades e incidentes graves.
Las principales disposiciones del Reglamento de Ciberresiliencia pasan a ser plenamente aplicables.
Qué deben hacer ahora los fabricantes
El período transitorio debe utilizarse para integrar los requisitos del CRA en los procesos existentes de desarrollo y conformidad del producto, sin esperar a la fecha final de aplicación.
Identificar hardware, software y componentes que puedan calificarse como productos con elementos digitales.
Revisar las características del producto, el modelo comercial, el uso previsto y las exclusiones aplicables.
Determinar si los productos pertenecen a las categorías generales, importantes o críticas del CRA.
Comparar los controles actuales de desarrollo y seguridad con los requisitos aplicables del CRA.
Integrar el análisis de riesgos de ciberseguridad en la planificación, el desarrollo, la verificación y la gestión de cambios del producto.
Garantizar que puedan demostrarse los requisitos de ciberseguridad, los ensayos, las decisiones sobre riesgos y las pruebas de cumplimiento.
Preparar procesos de identificación, corrección, actualización, escalado y notificación reglamentaria.
Determinar qué ensayos, evaluación técnica, certificación o evaluación por terceros pueden ser necesarios.
De la ingeniería de ciberseguridad al acceso al mercado
El Reglamento de Ciberresiliencia representa mucho más que otra regulación de ciberseguridad.
Incorpora la ciberseguridad al ámbito establecido de la evaluación de la conformidad de productos.
Los fabricantes deberán conectar cada vez más la ingeniería de ciberseguridad con la evaluación de riesgos, los ensayos del producto, la documentación técnica, el cumplimiento reglamentario, la evaluación de la conformidad y el marcado CE.
Esta convergencia es especialmente importante para las organizaciones que operan en cadenas de suministro internacionales, cuyos productos pueden incorporar componentes, software, recursos de ingeniería y actividades de fabricación de varios países.
Las empresas mejor preparadas para el CRA serán, por tanto, aquellas que traten la ciberseguridad como un elemento integrado de la calidad, la conformidad y la gestión del ciclo de vida del producto, en lugar de un ejercicio técnico separado.
¿Está preparada su cartera de productos para el Reglamento de Ciberresiliencia?
La preparación para el CRA comienza por comprender qué productos están afectados, qué requisitos se aplican y qué vía de conformidad resulta adecuada.
Una evaluación temprana puede identificar brechas regulatorias, requisitos de ensayos, necesidades de documentación técnica y obligaciones de gestión de vulnerabilidades antes de que se conviertan en barreras de acceso al mercado.
El Reglamento de Ciberresiliencia marca una transición fundamental: la ciberseguridad pasa de ser una característica deseable del producto a un requisito demostrable de conformidad para acceder al mercado europeo.