Publicado: septiembre 12, 2026, 5:28 am
Las amenazas cibernéticas evolucionan cada vez más rápido, lo que está llevando a las empresas y organizaciones a replantear sus estrategias para reforzar su resiliencia. Ya no se trata únicamente de responder a un ataque, sino también de preparar a los empleados, detectar posibles amenazas con antelación y desarrollar mecanismos de defensa capaces de adaptarse al ritmo de crecimiento de los entornos tecnológicos.
En este contexto, Europa ha impulsado el Cyber Resilience Act (CRA, por sus siglas en inglés), una normativa que busca elevar el nivel de seguridad de los productos digitales comercializados en la Unión Europea. Además, establece requisitos obligatorios de ciberseguridad para los dispositivos de hardware y software que incorporen elementos digitales.
El CRA entró en vigor en diciembre de 2024 y, a partir de este viernes 11 de septiembre, comienza su nueva fase de aplicación. Desde entonces, las empresas deben notificar las vulnerabilidades que estén siendo explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos digitales, ya que el incumplimiento de estas obligaciones puede conllevar multas de hasta 15 millones de euros.
Asimismo, la normativa afecta a un amplio abanico de productos, desde aplicaciones y sistemas operativos hasta smartphones, routers, relojes inteligentes, monitores de bebés o cortafuegos. Por lo tanto, todos ellos deberán cumplir unos requisitos mínimos de ciberseguridad, que serán proporcionales al nivel de riesgo asociado a cada producto.
Con esta regulación, la Comisión Europea pretende abordar algunos de los problemas que todavía presentan numerosos dispositivos y programas, como los niveles de seguridad insuficientes o la falta de actualizaciones a tiempo. Además, se suma la dificultad de empresas y consumidores para identificar qué productos ofrecen garantías adecuadas.
¿Qué entra en vigor a partir del 11 de septiembre?
Aunque la aplicación completa del Cyber Resilience Act está prevista para el 11 de diciembre de 2027, las empresas tendrán que empezar a adaptarse a sus exigencias antes de esa fecha. La primera gran obligación comienza este viernes 11 de septiembre, cuando entran en vigor los requisitos de notificación de vulnerabilidades e incidentes graves.
Esto significa que, a partir de hoy, los fabricantes tienen que notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de los productos. Además, la normativa señala que estos incidentes se deben avisar rápidamente, con un plazo de alerta temprana de un máximo de 24 horas desde que se tiene conocimiento del problema y una notificación con toda la información necesaria en un plazo de máximo 72 horas.
No obstante, el Cyber Resilience Act va más allá de la obligación de informar sobre incidentes. La normativa también establece requisitos de ciberseguridad que abarcan todo el ciclo de vida de los productos, desde su planificación y diseño hasta su desarrollo y mantenimiento, incluida la gestión de las vulnerabilidades que puedan surgir durante ese periodo.
Con todo, el incumplimiento de las obligaciones más graves previstas por el Cyber Resilience Act puede acarrear consecuencias económicas importantes. Las empresas se enfrentan a multas de hasta 15 millones de euros o, en determinados casos, al equivalente al 2,5% de su facturación anual mundial.
La normativa debe estar presente en toda la cadena de valor
La normativa también establece obligaciones para los diversos operadores económicos que intervienen en la comercialización del producto digital, por lo tanto, esto significa que los requisitos del CRA se deben respetar a lo largo de toda la cadena de valor.
También, las organizaciones tienen que prestar atención no solo a qué tecnología incorporan a sus infraestructuras, sino también a cómo se han gestionado sus vulnerabilidades, qué actualizaciones recibirá y qué garantías ofrece el fabricante durante todo su periodo de soporte.
Esto supone que la ciberseguridad debe ocupar un lugar relevante a la hora de tomar decisiones tecnológicas, teniendo en cuenta que la normativa europea busca facilitar esta tarea a empresas y consumidores, de modo que puedan identificar de forma sencilla los productos y servicios que cumplen con los requisitos de seguridad establecidos por la legislación comunitaria.
Asimismo, para acreditar esta conformidad y poder comercializar en la Unión Europea, los productos afectados por la normativa deben contar con el símbolo ‘CE‘.
