22 Oct Cyber Resilience Act: las nuevas obligaciones de ciberseguridad que ya afectan a los fabricantes de software
La ciberseguridad ha dejado de ser una cuestión exclusivamente técnica para convertirse en una obligación legal de los fabricantes de productos digitales. Desde el 11 de septiembre de 2026, determinadas disposiciones del Cyber Resilience Act (CRA) son obligatorias en la Unión Europea, introduciendo nuevas responsabilidades para las empresas que desarrollan y comercializan software.
El Reglamento (UE) 2024/2847 establece un marco común de ciberseguridad para productos con elementos digitales, con el objetivo de reducir las vulnerabilidades, mejorar la protección de los usuarios y reforzar la seguridad durante todo el ciclo de vida de los productos.
Aunque sus principales requisitos comenzarán a aplicarse el 11 de diciembre de 2027, algunas obligaciones ya están plenamente vigentes.
¿Qué es el Cyber Resilience Act y a quién afecta?
El Cyber Resilience Act es un reglamento europeo que establece requisitos horizontales de ciberseguridad para productos de hardware y software comercializados en el mercado de la Unión Europea.
Su ámbito de aplicación incluye numerosas categorías de productos digitales, desde aplicaciones informáticas y sistemas operativos hasta dispositivos conectados, equipos de red y determinados componentes de software.
La normativa afecta especialmente a los fabricantes, aunque también contempla obligaciones para importadores, distribuidores y otros operadores económicos.
Esto significa que una empresa desarrolladora de software puede encontrarse sometida a nuevas responsabilidades legales relacionadas con la seguridad de sus productos, incluso cuando estos no están destinados a sectores considerados críticos.
El reglamento contempla determinadas exclusiones y tratamientos específicos, por lo que resulta necesario analizar cada producto y su modalidad de comercialización.
Desde septiembre de 2026 ya es obligatorio notificar determinadas vulnerabilidades
La principal novedad es la entrada en aplicación, el 11 de septiembre de 2026, del artículo 14 del Cyber Resilience Act.
A partir de esa fecha, los fabricantes de productos con elementos digitales incluidos en su ámbito de aplicación deben notificar las vulnerabilidades explotadas activamente de las que tengan conocimiento y los incidentes graves que afecten a la seguridad de sus productos.
El reglamento establece un sistema de comunicación escalonado.
El fabricante debe presentar una alerta temprana en un plazo máximo de 24 horas desde que tiene conocimiento del hecho notificable, seguida de una notificación más completa dentro de las 72 horas.
Posteriormente, debe facilitar un informe final conforme a los plazos establecidos. En el caso de vulnerabilidades explotadas activamente, este informe debe presentarse como máximo 14 días después de que esté disponible una medida correctiva o de mitigación. Para los incidentes graves, el plazo general es de un mes desde la notificación de las 72 horas.
Estas obligaciones afectan también a productos comprendidos en el ámbito del reglamento que ya estaban comercializados antes de la aplicación de sus requisitos generales.
La nueva plataforma europea para comunicar incidentes de seguridad
Coincidiendo con la aplicación de las obligaciones de notificación, la Agencia de la Unión Europea para la Ciberseguridad, ENISA, puso en funcionamiento la denominada Single Reporting Platform.
Esta plataforma permite centralizar las comunicaciones de vulnerabilidades explotadas e incidentes graves relacionados con productos digitales.
El objetivo es facilitar la coordinación entre los fabricantes, los equipos nacionales de respuesta a incidentes de seguridad informática y las autoridades europeas competentes.
Para las empresas desarrolladoras, esto implica disponer de procedimientos internos capaces de detectar incidentes, evaluar si cumplen los criterios legales de notificación y comunicar la información dentro de los plazos establecidos.
¿Qué cambiará para los fabricantes de software en diciembre de 2027?
La aplicación completa del Cyber Resilience Act está prevista para el 11 de diciembre de 2027.
A partir de esa fecha comenzarán a exigirse los principales requisitos de ciberseguridad previstos por el reglamento.
Los fabricantes deberán integrar la seguridad desde las fases iniciales del diseño y desarrollo de sus productos, evaluar los riesgos de ciberseguridad y aplicar medidas proporcionadas para reducirlos.
También deberán establecer procedimientos para gestionar vulnerabilidades, proporcionar actualizaciones de seguridad durante el período de soporte correspondiente y mantener la documentación técnica exigible.
Otra cuestión importante será la evaluación de conformidad y el marcado CE para los productos sujetos al reglamento.
En determinados casos, según la clasificación del producto y las condiciones previstas legalmente, será necesaria la intervención de un organismo independiente de evaluación de conformidad.
¿Qué responsabilidad asumen las empresas desarrolladoras?
El Cyber Resilience Act introduce obligaciones que van más allá de corregir errores cuando un cliente comunica un problema.
Los fabricantes deberán incorporar la ciberseguridad a sus procesos de desarrollo, mantenimiento y gestión de productos.
La falta de procedimientos adecuados para detectar vulnerabilidades o comunicar incidentes puede generar situaciones de incumplimiento normativo.
El reglamento establece un régimen sancionador que, para determinadas infracciones de sus requisitos esenciales, puede alcanzar los 15 millones de euros o el 2,5 % del volumen de negocios mundial anual, aplicándose la cantidad superior en los supuestos previstos.
No obstante, las sanciones dependen del tipo de infracción y de las condiciones legales aplicables. Algunas categorías de operadores también cuentan con disposiciones específicas.
La auditoría de software como herramienta de prevención
La entrada en aplicación de las primeras obligaciones del CRA hace especialmente importante revisar los mecanismos de seguridad utilizados en el desarrollo y mantenimiento del software.
Una auditoría técnica independiente puede ayudar a identificar deficiencias en la gestión de vulnerabilidades, los controles de acceso, la protección de datos, los procedimientos de actualización y la documentación de seguridad.
También permite evaluar si una organización dispone de mecanismos adecuados para detectar incidentes y gestionar las comunicaciones exigidas.
Aunque una auditoría no sustituye por sí sola los procedimientos formales de evaluación de conformidad previstos por el reglamento, constituye una herramienta útil para preparar la adaptación.
Un cambio decisivo en la regulación europea del software
El Cyber Resilience Act representa una evolución importante en la responsabilidad de los fabricantes de productos digitales.
La seguridad informática deja de depender únicamente de compromisos comerciales o buenas prácticas voluntarias para incorporarse progresivamente al marco de obligaciones legales europeas.
Desde septiembre de 2026 ya existen obligaciones de notificación, y diciembre de 2027 marcará la aplicación general de los requisitos de ciberseguridad.
Para los fabricantes de software, anticipar las adaptaciones técnicas y organizativas será fundamental para comercializar productos digitales con las garantías exigidas por la normativa europea.
Contáctanos en luis@luisvilanova.es