En un mundo tan tecnológicamente avanzado como el nuestro, los ciberataques se han convertido en el equivalente moderno a los robos a mano armada. En lugar de asaltar bancos, tiendas o a personas desprevenidas en la calle durante la noche, muchos delincuentes actuales concentran sus esfuerzos en el robo a través de ciberataques contra corporaciones, gobiernos y ciudadanos comunes. Aunque estos ataques varían en tamaño, alcance y audacia, en conjunto representan una enorme operación criminal.
Según el grupo del sector Cybersecurity Ventures, el costo anual total de la ciberdelincuencia mundial supera actualmente los 10 billones de dólares. Estos costos provienen de una combinación de consecuencias negativas, entre las que se incluyen:
- Interrupción de operaciones y pérdida de productividad asociada
- Robo mediante fraude, extorsión y malversación
- Pérdida de datos
- Robo de propiedad intelectual
Las múltiples formas en que los ciberdelincuentes pueden atacar a personas y organizaciones, y la variedad de información valiosa que pueden obtener, conforman un sector criminal de gran envergadura, que sigue creciendo año tras año. Datos de Cybersecurity Ventures indican que el costo total de la ciberdelincuencia ha aumentado drásticamente en la última década:
- 2015: 3 billones de dólares
- 2021: 6 billones de dólares
- 2025: 10,5 billones de dólares
Aunque algunas organizaciones estiman cifras significativamente menores, incluso un costo anual de ciberdelincuencia entre 1 y 2 billones de dólares equipararía esta actividad criminal con el PIB total de países como Indonesia u Holanda. Entonces, ¿qué están haciendo el mundo y sus principales gobiernos ante este floreciente entorno de actores maliciosos?
¿Qué es el Cyber Resilience Act?
El Cyber Resilience Act (CRA) es una regulación creada por la Unión Europea para abordar el fenómeno creciente de la ciberdelincuencia. El objetivo es obligar a las empresas de tecnología y otros fabricantes a producir hardware y software protegidos contra ciberataques y que sean menos propensos a convertirse en vectores de delitos dirigidos a los datos y/o recursos financieros de los ciudadanos de la UE. Según explica la Comisión Europea en su sitio web, el Cyber Resilience Act busca establecer “requisitos de ciberseguridad claros y obligatorios en todo el ciclo de vida de los productos digitales”.
El CRA fue propuesto inicialmente por la Comisión Europea en 2022. Dos años después, en 2024, el Parlamento Europeo adoptó formalmente el texto de la ley y el Consejo Europeo lo aprobó. Tras su publicación en el Diario Oficial de la UE en noviembre, el CRA entró oficialmente en vigor en diciembre de 2024.
Debido al alcance y la cantidad de obligaciones que el CRA impone a las empresas sujetas a la normativa, la UE ha otorgado un plazo suficiente para que las compañías se preparen para cumplir con sus responsabilidades de cumplimiento normativo. La ley se implementará durante un período aproximado de 15 meses, iniciando en septiembre de 2026 y alcanzando su plena aplicación en diciembre de 2027.
¿Cuáles son los requisitos del Cyber Resilience Act?
El CRA de la UE impone una serie de obligaciones para las organizaciones dentro de su alcance. El objetivo de esta regulación es obligar legalmente a las empresas a crear productos digitales más seguros y resilientes, desarrollar protocolos más robustos para la gestión de incidentes de ciberseguridad y dar mayor transparencia a los consumidores y a otros grupos de interés respecto a las medidas de mitigación y el nivel general de seguridad.
Los requisitos principales del Cyber Resilience Act se encuentran en el Anexo I de la ley, denominado Requisitos Esenciales de Ciberseguridad. Estos se dividen en dos secciones: qué características deben tener los productos digitales fabricados por las empresas sujetas al reglamento y qué procesos deben aplicar los fabricantes de esos productos para cumplir con la ley.
Anexo I, Parte I: Propiedades que deben tener los productos digitales
Esta sección de la ley representa, en muchos aspectos, el núcleo de la legislación. La UE quiere que los productos digitales comercializados y vendidos en Europa sean más seguros y resistentes ante los ciberdelitos, y considera que estas medidas permiten alcanzar ese nivel de protección. Para cumplir con el CRA, los productos digitales deben diseñarse y lanzarse en el mercado de la UE con las siguientes características:
- 1 Sin vulnerabilidades explotables conocidas
- 2 Configuración segura predeterminada. Esto significa que los ajustes seguros son la configuración inicial por defecto en el dispositivo o producto.
- 3 Las vulnerabilidades pueden resolverse de manera efectiva mediante actualizaciones de seguridad, incluidas las actualizaciones automáticas de seguridad que incluyan una opción clara de exclusión.
- 4 Protección contra el acceso no autorizado, incluso mediante funciones como autenticación, identificación o mecanismos de gestión de acceso.
- 5 Preservación de la confidencialidad de los datos almacenados en el producto, mediante cifrado u otros métodos.
- 6 Protección de la integridad de los datos, programas y configuraciones contra manipulación o modificación externa.
- 7 Sólo se podrán recopilar los datos necesarios para el funcionamiento continuo del producto.
- 8 Preservación de las funciones básicas del producto tras un ciberataque.
- 9 Minimización del impacto negativo de los ciberataques en otros dispositivos o redes.
- 10 Superficie de ataque limitada, es decir, puntos de exposición o vulnerabilidad aprovechables por actores maliciosos.
- 11 Mecanismos para limitar el impacto y la efectividad de ciberataques exitosos.
- 12 Capacidad para registrar eventos de seguridad, incluidos cambios en los datos o las funciones del dispositivo. Esta función debe contar con un mecanismo de exclusión para el usuario.
- 13 Posibilidad de que el usuario elimine todos los datos y configuraciones personalizadas del producto.
Anexo I, Parte II: Procesos que deben llevar a cabo los fabricantes
Además de diseñar y fabricar productos digitales con funciones de seguridad adecuadas, los fabricantes deben estar preparados para jugar un papel activo en la mitigación de ciberataques durante todo el ciclo de vida del producto.
Los fabricantes de productos deben realizar las siguientes acciones:
- 1 Identificar y documentar las vulnerabilidades del producto, incluso mediante la creación de una lista de materiales (BOM) que contemple todas las dependencias clave.
- 2 Atender y remediar vulnerabilidades de seguridad tan pronto como surjan, incluyendo mediante actualizaciones de seguridad.
- 3 Realizar pruebas de seguridad continuas en los productos digitales.
- 4 Compartir información sobre vulnerabilidades y eventos de seguridad, incluyendo el impacto, la gravedad y directrices claras para que los usuarios puedan remediar las vulnerabilidades existentes.
- 5 Establecer una política oficial de divulgación coordinada de vulnerabilidades (CVD, por sus siglas en inglés).
- 6 Crear un marco para compartir e informar sobre vulnerabilidades de seguridad, incluso a través de una dirección de contacto difundida para que las personas puedan informar sobre problemas de seguridad.
- 7 Crear mecanismos para que las actualizaciones de seguridad se transmitan oportunamente a todos los productos digitales y, cuando corresponda, de forma automática.
Estos mecanismos deben distribuirse a los usuarios y productos sin demoras, sin costo alguno y junto con mensajes que transmitan información relevante y detallen todas las acciones necesarias por parte del usuario.
¿Qué empresas están dentro del alcance del CRA?
El Cyber Resilience Act tiene un alcance muy amplio, y muchas empresas que operan en la UE estarán legalmente obligadas a cumplir con la directiva. En líneas generales, el CRA se aplica a cualquier empresa que fabrique “productos con elementos digitales” disponibles en el mercado de la UE. Dicho de forma sencilla, cualquier producto de hardware que pueda conectarse a internet u otro dispositivo, y cualquier software —incluyendo programas, aplicaciones y firmware— están dentro del ámbito del CRA.
Aunque no es una lista exhaustiva, estos son algunos de los productos regulados por el Cyber Resilience Act:
- Electrónica de consumo: Portátiles, teléfonos inteligentes, tabletas, routers, switches.
- Dispositivos inteligentes: Electrodomésticos inteligentes, altavoces inteligentes, asistentes virtuales, sistemas de alarma.
- Tecnología wearable: Relojes inteligentes, medidores de actividad, gafas inteligentes, anillos inteligentes.
- Software y firmware: Aplicaciones móviles y de escritorio, sistemas operativos, firmware de dispositivos.
- Componentes electrónicos: Procesadores gráficos, unidades centrales de procesamiento (CPU), microprocesadores (MPU).
Los productos digitales y tecnológicos cuentan con cadenas de suministro complejas, involucrando a múltiples fabricantes, proveedores y subproveedores. La UE distingue tres grupos específicos, o “operadores económicos”, que deben cumplir con la ley:
Fabricantes
Estas son las empresas que fabrican el producto y lo comercializan bajo su propia marca. A menudo se les denomina fabricantes de equipos originales (OEM, por sus siglas en inglés) y, generalmente, abastecen sus productos a partir de grandes cadenas de suministro con decenas, cientos o incluso miles de proveedores directos e indirectos. Estos fabricantes en particular asumen la responsabilidad de cumplir con el CRA.
Importadores
Como indica el nombre, estos operadores son empresas que importan productos digitales desde fuera de la UE—frecuentemente de un OEM u otro fabricante—y los venden en el mercado de la UE.
Distribuidores
El término distribuidores abarca a todos los actores, excepto fabricantes e importadores, responsables de introducir productos digitales en el mercado de la UE. Los distribuidores incluyen minoristas y otros negocios relacionados, y suelen vender directamente a los consumidores.
¿Cómo aplica la UE el CRA?
El CRA exige que todos los países de la UE designen su propia autoridad de mercado para hacer cumplir la ley y supervisar a las compañías dentro de su alcance. Estas autoridades pueden ser oficinas gubernamentales, agencias u otras entidades con capacidades de monitorización y aplicación de medidas. La autoridad de mercado designada tiene la facultad de solicitar documentación técnica a los operadores incluidos en el alcance, realizar retiradas de productos o limitar que un producto específico llegue al mercado si se considera que no cumple con el CRA.
Además, las autoridades pueden imponer sanciones y multas a quienes incumplan.
Consecuencias del incumplimiento del CRA
Las empresas que no cumplan con el Cyber Resilience Act pueden enfrentarse a multas importantes.
- Infracciones a los Requisitos Esenciales del CRA: Multas de hasta 15 millones de euros o el 2,5 % de la facturación global de la empresa, lo que resulte mayor.
- Infracciones a otras Obligaciones del CRA (incluidos los requisitos de documentación y los procedimientos de marcado CE): Multas de hasta 10 millones de euros o el 2 % de la facturación global de la empresa, lo que resulte mayor.
- Suministro de Información Falsa o Incompleta a Autoridades de Mercado u Organismos Notificados: Multas de hasta 5 millones de euros o el 1 % de la facturación global de la empresa, lo que resulte mayor.
El papel de los organismos certificadores en el Cyber Resilience Act
Que una empresa deba trabajar con un organismo certificador u organismo notificado para cumplir con el Cyber Resilience Act depende de la clasificación de riesgo de los productos que fabrique, importe o distribuya. El CRA clasifica todos los productos digitales en uno de cuatro niveles distintos:
- Productos por Defecto: Esta categoría abarca la mayoría de los productos digitales en el mercado de la UE, incluyendo la electrónica de consumo, juguetes y la mayoría de dispositivos inteligentes. Las empresas que fabriquen, importen o distribuyan productos dentro de la categoría por defecto no necesitan obtener una evaluación de terceros.
- Productos Importantes (Clase I): Esta clasificación incluye productos con responsabilidades especiales en seguridad, como enrutadores, módems, navegadores y redes privadas virtuales (VPN). Esta clase de productos generalmente requiere una evaluación de terceros por parte de un organismo notificado que demuestre el cumplimiento con el CRA, salvo que el operador económico demuestre conformidad con una norma armonizada relevante de ciberseguridad, u obtenga una certificación de ciberseguridad de la UE aprobada por el CRA.
- Productos Importantes (Clase II): Este grupo incluye infraestructuras de seguridad aún más importantes, como cortafuegos (firewalls), hipervisores y sistemas de detección de intrusos. Las empresas que fabriquen, importen o distribuyan estos productos deben obtener siempre una evaluación de terceros por parte de un organismo notificado para demostrar el cumplimiento con el CRA.
- Productos Críticos: Esta es la categoría de mayor riesgo e incluye productos como módulos de hardware de seguridad, tarjetas inteligentes (smart cards) y pasarelas de medición inteligente. Al igual que en la tercera categoría, las empresas involucradas en la introducción de estos productos en el mercado de la UE deben obtener siempre una evaluación de terceros por parte de un organismo notificado.
Fechas clave de implementación del Cyber Resilience Act
La UE está implementando el CRA de manera escalonada. La entrada en vigor de la ley estará comprendida dentro de un periodo de aproximadamente 15 meses, entre septiembre de 2026 y diciembre de 2027.
El 11 de septiembre, las empresas incluidas en el alcance deben comenzar a reportar vulnerabilidades de ciberseguridad activamente explotadas e incidentes graves de ciberseguridad. Dado que la obligación de informar inicia en esta fecha, las empresas deberán tener establecidos e implementados sus procesos internos de reporte de incidentes antes del plazo.
Quince meses después de la entrada en vigor de las obligaciones de reporte, las empresas serán responsables de cumplir con todos los demás requisitos de cumplimiento. Esto incluye los 13 requisitos para productos digitales y las ocho obligaciones para fabricantes de productos.
¿Cómo pueden las empresas cumplir con el CRA?
Uno de los principales desafíos actuales del CRA es que los estándares armonizados de la regulación aún no se han finalizado ni publicado (a fecha de otoño de 2026). A pesar de ello, la UE sigue avanzando con sus dos plazos más importantes: el reporte de vulnerabilidades en septiembre de 2026 y el cumplimiento pleno de obligaciones en diciembre de 2027.
Cumpla con los estándares vigentes de ciberseguridad
Las empresas incluidas en el alcance podrían preguntarse razonablemente: Si no existen estándares oficiales armonizados para esta regulación, ¿cómo debo prepararme ahora mismo? Aunque esta perspectiva tiene cierta validez, las organizaciones no están completamente desamparadas. Es ampliamente conocido que el comité de la UE encargado de elaborar los estándares del CRA está tomando como base varios marcos consolidados, estándares que las empresas pueden aprovechar hoy mismo mientras avanzan hacia el cumplimiento de una regulación cuyos requisitos concretos aún no están totalmente definidos. Los estándares utilizados por el CRA incluyen:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Establezca un protocolo de respuesta ante incidentes
Si hay algo que las organizaciones cubiertas saben con certeza es que, a partir del 11 de septiembre de 2026, se espera que empiecen a reportar vulnerabilidades activamente explotadas o incidentes graves de ciberseguridad.
En síntesis, las empresas necesitan contar con un proceso de reporte de incidentes antes de esta fecha para poder cumplir efectivamente con el Cyber Resilience Act. Parte de esta obligación incluye la conformación de un equipo de respuesta a incidentes de seguridad de producto (PSIRT, por sus siglas en inglés) encargado de responder ante incidentes cibernéticos, identificar rápidamente vulnerabilidades, evaluar su nivel de amenaza y crear actualizaciones de seguridad que se desplieguen a todos los usuarios.
Las organizaciones cubiertas deben estar trabajando ya en reunir los equipos profesionales, herramientas digitales, procesos y documentación necesarios para cumplir con esta obligación.
Documente cuidadosamente todo
Una vez que todas las obligaciones del CRA entren en vigor en diciembre de 2027, las entidades incluidas en el alcance deberán disponer de un expediente de documentación extenso para la evaluación de conformidad (ya sea realizada internamente o por un organismo notificado de terceros). Este expediente deberá incluir una lista de materiales, evaluación de riesgos de ciberseguridad, decisiones de diseño fundamentadas en los requisitos de seguridad y una explicación de las normas aplicadas, entre otros elementos.
Las empresas no necesitan esperar los estándares armonizados del CRA para empezar a recopilar toda esta información. Pueden comenzar a reunir los requisitos de documentación exigidos por la directiva desde ahora.
