Las organizaciones que operan en la UE, o que venden en el mercado de la UE, deben ahora cumplir rigurosas obligaciones en materia de ciberseguridad, incluida la vigilancia posterior a la comercialización y la supervisión del cumplimiento por parte de terceros.
Aspectos más destacados de la Ley de Ciberresiliencia de la UE
Definiciones
Producto con elementos digitales (PDE): cualquier producto de hardware o software capaz de procesar datos directa o indirectamente.
Fabricante: La entidad responsable del diseño o la producción de los PDE, incluso si la producción se subcontrata.
Productos críticos (Clase I) y no críticos (Clase II): Los PDE se clasifican en el anexo III debido a su importancia para los servicios esenciales o la seguridad.
Clase I: Incluye sistemas operativos, enrutadores, VPN y administradores de contraseñas.
Clase II: Incluye cortafuegos, hipervisores y chips a prueba de manipulaciones.
Ámbito de aplicación y aplicabilidad
La CRA se aplica a todos los PDE comercializados en el mercado de la UE, independientemente de su origen. Abarca:
- Fabricantes (incluidos los desarrolladores de software), importadores y distribuidores.
- Las empresas que utilizan productos TIC de terceros deben garantizar el cumplimiento normativo por parte de los proveedores.
- Excluye el software de código abierto desarrollado fuera de actividades comerciales.
Principios y obligaciones
Seguridad desde el diseño y por defecto: los PDE deben diseñarse para minimizar las vulnerabilidades desde su creación.
Ciberseguridad durante todo el ciclo de vida: las organizaciones deben abordar los riesgos desde el desarrollo hasta el fin de la vida útil, incluidas las actualizaciones y los parches.
Notificación de vulnerabilidades: las organizaciones deben notificar a la ENISA las vulnerabilidades explotadas y los incidentes de seguridad graves en un plazo de 24 a 72 horas.
Obligaciones de transparencia: los fabricantes deben proporcionar instrucciones claras para un uso seguro y revelar las vulnerabilidades conocidas a los usuarios.
Aplicación y sanciones
El cumplimiento de la CRA será supervisado por las autoridades nacionales de vigilancia del mercado en toda la UE. El incumplimiento conlleva consecuencias significativas, entre las que se incluyen:
- Multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual global, lo que sea mayor.
- Posible retirada del mercado de la UE de los productos que no cumplan con la normativa.
Las exenciones incluyen que las microempresas y las pequeñas empresas no serán multadas por notificaciones tardías de vulnerabilidades y que los administradores de código abierto estarán exentos de sanciones económicas.
Fechas clave de aplicación:
- Junio de 2026: Entran en vigor las obligaciones de notificación de incidentes graves y vulnerabilidades explotadas.
- Diciembre de 2027: Fecha límite para el pleno cumplimiento y la aplicación.
¿En qué se diferencia el CRA de otras normativas de la UE?
La Ley de Ciberresiliencia de la UE (CRA) complementa otros marcos normativos, como la NIS2, el RGPD y la Ley de IA de la UE, al abordar la ciberseguridad a nivel de producto. Por el contrario, los demás se centran en la seguridad operativa (NIS2), la protección de datos personales (RGPD) y la gestión de riesgos específicos de la IA (Ley de IA de la UE).
Aunque existe cierto solapamiento, especialmente en lo que respecta a la notificación de incidentes,la CRA aborda de forma única la ciberseguridad a nivel de producto, colmando las lagunas normativas y trabajando en consonancia con las leyes específicas del sector.
La CRA introduce tanto obligaciones de cumplimiento como retos de acceso al mercado. Aumenta la importancia de la transparencia de la cadena de suministro, la gestión sólida de las vulnerabilidades y la seguridad a lo largo del ciclo de vida del producto.
Entonces, ¿cómo puede su organización adelantarse a las funciones empresariales básicas más afectadas por la CRA? Comience con estos siete consejos prácticos.
7 pasos clave para prepararse para el cumplimiento de la Ley de Ciberresiliencia de la UE
Prepararse para la Ley de Ciberresiliencia de la UE no tiene por qué ser una tarea abrumadora. Siguiendo estos siete pasos prácticos, su organización puede tomar medidas proactivas y estructuradas para lograr el pleno cumplimiento.
1. Revise su cartera de productos
Comience por identificar cuáles de sus productos entran en la categoría de Productos con Elementos Digitales (PED). Una vez que tenga una lista clara, determine si alguno de ellos está clasificado como «producto crítico» según la CRA. Estos productos requerirán controles más estrictos y obligaciones adicionales, por lo que es esencial señalarlos desde el principio.
2. Adoptar prácticas de desarrollo seguras
Incorpore la seguridad en todas las etapas del ciclo de vida del desarrollo de su producto. Incorpore modelos de amenazas, siga estándares de codificación seguros y garantice pruebas de seguridad exhaustivas. También es aconsejable alinear sus procesos con marcos reconocidos, como ISO 27001 y NIST CSF, para cumplir con las mejores prácticas internacionales.
3. Mejorar los procesos de gestión de vulnerabilidades
Desarrolle un proceso integral y bien documentado para identificar, divulgar y mitigar las vulnerabilidades. Exija a sus equipos que sigan los protocolos de divulgación coordinada de vulnerabilidades (CVD). Prepárese para responder rápidamente estableciendo vías de escalamiento internas y asegurándose de que sus planes de respuesta a incidentes le permitan notificar a los reguladores en un plazo de 24 horas si es necesario.
Convierte en rutina documentar:
- Análisis de las causas
- Pasos para la remediación
- Cualquier impacto en los clientes
Además, supervise a sus proveedores críticos para asegurarse de que su gestión de vulnerabilidades cumple con sus expectativas.
4. Crear y mantener documentación técnica detallada.
La documentación desempeña un papel fundamental en el cumplimiento de la CRA. Asegúrese de que la documentación describa las evaluaciones de riesgos, las medidas de seguridad, los resultados de las pruebas y los procesos de actualización. Para cada producto regulado, mantenga registros claros de:
- Descripciones de productos, instrucciones de uso, versiones de software.
- Evaluaciones de riesgos de ciberseguridad y procedimientos de gestión de vulnerabilidades
- Pruebas de evaluaciones de conformidad
- Lista de materiales de software (SBOM)
- Declaración de conformidad y marcado CE
Esté preparado para compartir esta información con las autoridades cuando se le solicite. Conserve estos registros archivados durante al menos 10 años.
5. Realizar evaluaciones de conformidad con la CRA.
Determine si su producto requiere una autoevaluación o una evaluación independiente realizada por terceros. En función del resultado, aplique el marcado CE adecuado y complete la Declaración de conformidad de la UE para demostrar que su producto cumple con las normas CRA.
6. Fortalecer la supervisión de riesgos de terceros
Evalúa el grado de cumplimiento de la CRA por parte de todos tus proveedores. Introduce puntos de control específicos de la CRA en tus procesos de incorporación de proveedores y renovación de contratos. Actualiza los contratos de adquisición para incluir requisitos relativos a:
- Responsabilidades en materia de seguridad
- Obligaciones de divulgación
- Presentación de SBOM
Mantenga la visibilidad de las dependencias de los productos de sus proveedores y evalúe los posibles riesgos para la continuidad del negocio si un proveedor incumple la CRA.
7. Formar y educar a los equipos internos
Asegúrese de que sus equipos comprendan lo que significa la CRA para sus funciones. Ofrezca formación específica al personal de cumplimiento normativo, ingeniería y adquisiciones. Incorpore la concienciación sobre la CRA en el desarrollo de productos, la incorporación de proveedores y la planificación de la respuesta ante incidentes. Considere la posibilidad de organizar talleres interfuncionales para practicar cómo responderían sus equipos a un incidente de seguridad según los requisitos de la CRA.
Por qué la Ley de Ciberresiliencia de la UE exige medidas tempranas
La Ley de Resiliencia Cibernética representa un cambio de paradigma en la forma en que la UE aborda la seguridad de los productos digitales, incorporando obligaciones de ciberseguridad en todas las etapas, desde el diseño del producto hasta su implementación por parte del usuario final. Refuerza un modelo de responsabilidad compartida en toda la cadena de suministro digital y empodera a los consumidores con una mayor confianza y control sobre la seguridad de los productos conectados.
Aunque el cumplimiento de la CRA aún no sea obligatorio para su empresa, adaptarse cuanto antes ofrece claras ventajas:
- Demuestra un compromiso con la seguridad del cliente.
- Mitiga los riesgos de responsabilidad por productos defectuosos.
- Mejora la competitividad en la UE.
- Aumenta la resiliencia frente a las amenazas cibernéticas.
Al integrar la seguridad alineada con la CRA en el desarrollo de productos y los programas de riesgo de terceros, las organizaciones pueden reducir su exposición, mejorar la confianza de los clientes y garantizar un acceso ininterrumpido a los mercados de la UE.
Próximos pasos: reforzar el cumplimiento de la CRA con Mitratech
Con sanciones severas y obligaciones estrictas, la Ley de Ciberresiliencia de la UE no es una normativa que se pueda tomar a la ligera. A medida que se prepara para cumplir con la Ley de Ciberresiliencia de la UE (CRA), las herramientas adecuadas pueden simplificar y acelerar su proceso de preparación.
El conjunto de soluciones de GRC y gestión de riesgos de Mitratech respalda las operaciones alineadas con la CRA ayudándole a:
- Centralice y automatice la gestión de la documentación técnica para estar preparado para las auditorías.
- Implementar flujos de trabajo coherentes y repetibles para la respuesta ante vulnerabilidades e incidentes.
- Evaluar y supervisar el riesgo de terceros utilizando herramientas sólidas de gestión del riesgo de terceros (TPRM).
- Realizar evaluaciones de riesgos y gestionar el desarrollo seguro con marcos de políticas y control.
- Imparte formación en toda la organización con módulos integrados de concienciación sobre el cumplimiento normativo y seguimiento.
¿Está listo para descubrir cómo Mitratech puede ayudarle a cumplir con la normativa CRA? Solicite una demostración hoy mismo y hable con un experto en soluciones.
¿Le gusta este artículo? Échales un vistazo:
- Cuenta atrás para el cumplimiento del DORA: Pasos clave que su organización debe dar ahora
- Ciberresiliencia: De la gestión de terceros al ciberriesgo
- Cumplimiento del Reglamento General de Protección de Datos (RGPD)
- Riesgos cibernéticos de terceros: gestión de los riesgos informáticos, de conformidad y de datos a lo largo del ciclo de vida del proveedor
