El primer plazo ineludible de la Ley de Ciberresiliencia de la UE (CRA) entra en vigor esta semana. A partir del 11 de septiembre de 2026, los fabricantes que comercialicen en el mercado de la UE productos con elementos digitales deberán notificar las vulnerabilidades que estén siendo explotadas activamente en un plazo de 24 horas desde que tengan conocimiento de ellas. Se deberá presentar una notificación más detallada en un plazo de 72 horas, seguida de un informe final en un plazo de 14 días a partir de que se disponga de una medida correctiva. Existe un mecanismo paralelo para los incidentes graves de ciberseguridad que afecten a la seguridad del producto. En esos casos, el informe final deberá presentarse en el plazo de un mes a partir de la notificación de 72 horas.

Ambas obligaciones se aplican a los productos que ya se encuentran en el mercado, no solo a los nuevos lanzamientos, y ambas recaen sobre el fabricante, independientemente de que el producto sea hardware, software o un servicio conectado. Cualquier plataforma de mensajería o coordinación que opere en la UE tiene ahora esta obligación de forma directa.

La seguridad ha dejado de ser una inversión discrecional

Antes de la CRA, un proveedor podía decidir cuánto invertir en la seguridad de sus productos y hasta qué punto hablar de ello públicamente. Esa libertad ya no existe. A más tardar el 11 de diciembre de 2027, todos los productos con elementos digitales deberán ser seguros desde su diseño, comercializarse sin vulnerabilidades explotables conocidas, contar con un período de soporte declarado de al menos cinco años (a menos que la vida útil prevista del producto sea naturalmente más corta) y mantener cada actualización de seguridad publicada disponible durante un mínimo de 10 años tras su publicación, o durante el resto del período de soporte, lo que sea más largo. La conformidad plena, la documentación técnica, una lista de materiales de software (SBOM) legible por máquina y el marcado CE deberán estar disponibles en esa misma fecha. La seguridad se convierte en una condición documentada y auditable para permanecer en el mercado de la UE, y no en una afirmación que un proveedor pueda hacer sin que se le cuestione.

El incumplimiento conlleva consecuencias que van más allá de una multa. Las autoridades de vigilancia del mercado pueden ordenar la adopción de medidas correctivas, la retirada del producto o una retirada total del mercado, además de sanciones económicas que pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación anual total a nivel mundial por incumplir los requisitos esenciales o las obligaciones establecidas en los artículos 13 o 14, elímine la cifra que sea mayor. Cualquier organización que siga llevando a cabo una coordinación sensible a través de un proveedor que no pueda responder a estas preguntas se expone ahora a riesgos normativos, además de a los riesgos operativos.

Por qué hay tanto en juego para las plataformas de comunicación

Se ha solucionado una vulnerabilidad en una aplicación de hojas de cálculo. Una vulnerabilidad en la plataforma que utiliza una organización para coordinar operaciones sensibles, las comunicaciones de la dirección y la respuesta a incidentes puede convertirse en un punto único de fallo para todo lo que pasa por ella, incluida la propia respuesta al incidente. Las herramientas de comunicación suelen seleccionarse en función de sus características, su precio y lo familiar que resulte su interfaz. La seguridad rara vez ha sido un requisito primordial. Resultaba más fácil justificar el uso de las herramientas a las que los usuarios estaban acostumbrados en su vida cotidiana que tomar decisiones basadas en la seguridad. La CRA cambia de forma permanente los criterios de adquisición, ya que ahora la gestión de vulnerabilidades debe estar documentada y ser auditable, con un registro escrito que el comprador tiene derecho a solicitar y revisar.

Preguntas que debes plantear a tu proveedor de servicios de comunicaciones

A la hora de evaluar el cumplimiento de la normativa CRA de la UE por parte de un proveedor, pide detalles concretos, no simples garantías.

• ¿Disponen ya en la actualidad de un sistema operativo de notificación conforme al artículo 14, y no solo de un plan para implantarlo, dado que dicha obligación se aplica a los productos que ya se encuentran en el mercado?

• ¿Cuál es el periodo de asistencia técnico declarado para el producto que vas a comprar? Pregunta específicamente si ese periodo se ha fijado en función del uso real previsto del producto, y no solo en función del mínimo de cinco años exigido por la CRA.

• ¿Cómo demostrarán la disponibilidad de las actualizaciones de seguridad para cada parche que publiquen? Ese compromiso se mantiene durante años tras cada actualización concreta, no solo mientras dure el contrato.

• ¿Pueden generar ya una SBOM legible por máquina, o eso sigue formando parte de su plan de trabajo de cara a la fecha límite de diciembre de 2027?

• ¿Qué ocurre en el marco de la CRA si cometen un error? Es probable que un proveedor que no sea capaz de explicar con claridad a qué sanciones se expone él mismo tampoco haya reflexionado detenidamente sobre las tuyas.

Una normativa que obliga al mercado a actuar

La CRA no inventa tanto una nueva norma como plantea una pregunta que el mercado debería haberse planteado desde el principio: ¿se ha diseñado esta plataforma para garantizar una gestión de la seguridad continua y demostrable, o se añadió esa gestión a posteriori cuando la ley lo exigió? Para cualquier organización que actualmente coordine tareas sensibles a través de una plataforma elegida por comodidad más que por su arquitectura, el plazo de presentación de informes que vence esta semana es un momento oportuno para averiguar cuál de las dos situaciones se da en su caso.