La Comisión Europea ha publicado una guía práctica para ayudar a fabricantes, desarrolladores y empresas a adaptarse a la Ley de Resiliencia Cibernética (CRA), que impondrá nuevas obligaciones de ciberseguridad a los productos digitales comercializados en la Unión Europea.
La Comisión Europea ha dado un nuevo paso en la aplicación de la Ley de Resiliencia Cibernética (Cyber Resilience Act, CRA) al presentar una guía destinada a facilitar el cumplimiento de la normativa por parte de empresas, fabricantes y desarrolladores de software. El documento pretende aclarar las principales dudas sobre la aplicación del reglamento y ofrecer criterios prácticos para preparar a las organizaciones antes de que entren en vigor las obligaciones más relevantes.
La iniciativa cobra especial importancia porque las primeras obligaciones de notificación de vulnerabilidades e incidentes graves comenzarán a aplicarse el 11 de septiembre de 2026, mientras que el resto de los requisitos generales del reglamento serán exigibles a partir del 11 de diciembre de 2027.
¿Qué es la Ley de Resiliencia Cibernética?
La Ley de Resiliencia Cibernética, aprobada mediante el Reglamento (UE) 2024/2847, establece un marco común de ciberseguridad para todos los productos con elementos digitales que se comercialicen dentro de la Unión Europea.
El objetivo es que los dispositivos conectados, las aplicaciones y el software incorporen medidas de seguridad desde su diseño y mantengan un nivel adecuado de protección durante todo su ciclo de vida, reduciendo así el riesgo de ciberataques que puedan afectar tanto a ciudadanos como a empresas.
La guía aclara cómo deben cumplir las empresas
El documento publicado por Bruselas responde a algunas de las cuestiones que más dudas habían generado entre el sector tecnológico.
Entre los aspectos que desarrolla destacan:
- Qué productos están sujetos a la normativa.
- Cómo deben gestionarse las vulnerabilidades de seguridad.
- Cuándo una actualización constituye una «modificación sustancial».
- Cómo calcular el período de soporte obligatorio.
- Qué requisitos deben cumplir los procesos de evaluación de conformidad.
- Cómo deben notificarse vulnerabilidades e incidentes graves a las autoridades competentes.
La Comisión subraya que el objetivo es facilitar la aplicación de la norma, especialmente entre las microempresas y las pequeñas y medianas empresas (PYMES), reduciendo la incertidumbre jurídica y evitando cargas administrativas innecesarias.
El software libre solo estará afectado en determinados casos
Uno de los apartados más relevantes de la guía hace referencia al software libre y de código abierto.
La Comisión aclara que este tipo de programas no quedará automáticamente sujeto a la Ley de Resiliencia Cibernética. Solo entrará dentro de su ámbito de aplicación cuando forme parte de una actividad comercial, por ejemplo cuando se venda, se utilice para obtener ingresos mediante otros servicios o implique un tratamiento de datos personales con fines distintos a la mejora de la seguridad.
Por el contrario, las donaciones voluntarias realizadas para apoyar un proyecto de código abierto, sin ánimo de lucro y sin condicionar el acceso al software, no se consideran una actividad comercial.
Además, la guía introduce la figura de los administradores de software de código abierto, entidades que respaldan de forma continuada determinados proyectos y que asumirán determinadas responsabilidades relacionadas con la seguridad cuando dichos programas se utilicen con fines comerciales.
Los fabricantes deberán mantener el soporte durante años
Otra de las novedades más relevantes afecta al ciclo de vida de los productos digitales.
La normativa obliga a los fabricantes a establecer un período de soporte durante el cual deberán corregir vulnerabilidades y proporcionar actualizaciones de seguridad.
Como regla general, este período será de al menos cinco años, salvo que la vida útil prevista del producto sea inferior.
La Comisión también aclara que las actualizaciones habituales de seguridad no implican necesariamente una nueva evaluación del producto. Sin embargo, cuando una actualización modifique su finalidad principal o introduzca nuevos riesgos de ciberseguridad, deberá volver a someterse al correspondiente procedimiento de evaluación de conformidad.
Clasificación según el nivel de riesgo
La guía recuerda que los productos digitales estarán sujetos a diferentes niveles de exigencia en función de su clasificación.
El reglamento distingue entre productos generales, importantes y críticos, atendiendo principalmente a su función y al impacto potencial que podrían tener sobre la seguridad.
Esta clasificación determinará los requisitos técnicos, los procedimientos de certificación y el grado de supervisión que deberán afrontar los fabricantes antes de comercializar sus productos en el mercado europeo.
Notificación obligatoria de vulnerabilidades
A partir del 11 de septiembre de 2026, los fabricantes tendrán la obligación de comunicar a las autoridades competentes cualquier vulnerabilidad que esté siendo explotada activamente o cualquier incidente grave de seguridad.
La primera notificación deberá realizarse en un plazo máximo de 24 horas desde que la empresa tenga conocimiento del incidente, reforzando así la capacidad de respuesta coordinada frente a las ciberamenazas en toda la Unión Europea.
Una apuesta por reforzar la ciberseguridad europea
La publicación de esta guía forma parte de la estrategia comunitaria para elevar el nivel de protección de los productos digitales y reforzar la confianza de consumidores y empresas en un mercado cada vez más conectado.
Aunque el documento no tiene carácter jurídicamente vinculante, la Comisión Europea considera que servirá como referencia para facilitar el cumplimiento de la normativa antes de que las obligaciones entren plenamente en vigor.
