La Unión Europea ha dado un paso decisivo para garantizar la protección del ecosistema digital con la entrada en vigor del Reglamento de Ciberresiliencia (Cyber Resilience Act). Esta normativa establece por primera vez requisitos obligatorios de ciberseguridad para todos los productos con elementos digitales comercializados en el mercado europeo. Esta ley, aprobada en octubre de 2024 y vigente desde diciembre del mismo año, será de plena aplicación en diciembre de 2027, tras un periodo de adaptación de tres años para fabricantes y empresas.
¿Qué persigue la Ley de Ciberresiliencia?
El objetivo principal es reducir vulnerabilidades en dispositivos conectados y garantizar que la ciberseguridad esté presente desde el diseño hasta el mantenimiento. La norma responde al aumento de ciberataques y a la proliferación de dispositivos IoT, que han incrementado la superficie de riesgo en hogares y empresas.
Ámbito de aplicación
La ley afecta a todos los productos con componentes digitales comercializados en la UE, incluyendo hardware, software y servicios en la nube. Desde dispositivos inteligentes para el hogar hasta infraestructuras críticas, todos deberán cumplir con estándares homogéneos. Los productos que cumplan los requisitos llevarán el marcado CE, como garantía de seguridad.
Principales obligaciones
- Ciberseguridad desde el diseño: los fabricantes deberán integrar medidas de seguridad en todas las fases del ciclo de vida del producto.
- Actualizaciones obligatorias: se exige soporte y parches de seguridad durante al menos cinco años.
- Gestión de vulnerabilidades: obligación de informar sobre incidentes y corregir fallos.
- Transparencia para el consumidor: información clara sobre riesgos y periodo de soporte.
Impacto en empresas y fabricantes
Las compañías deberán adaptar sus procesos de desarrollo y verificación para cumplir con los nuevos estándares. El incumplimiento puede acarrear multas de hasta 15 millones de euros o el 2,5% del volumen de negocio anual. Además, las organizaciones que utilicen software de código abierto en sus productos tendrán nuevas responsabilidades para garantizar su seguridad.
Calendario de aplicación
11 de diciembre de 2027: aplicación completa de la normativa.
10 de diciembre de 2024: entrada en vigor.
11 de septiembre de 2026: obligación de notificar vulnerabilidades.