A partir del 11 de septiembre de 2026, el descubrimiento de una vulnerabilidad que se esté explotando activamente en un producto digital ya no solo dará lugar a una carrera técnica para encontrar una solución. Para los fabricantes afectados, también podrá dar inicio a una cuenta atrás reglamentaria especialmente breve: deberá enviarse una primera alerta en un plazo de 24 horas.

Esta nueva obligación se deriva de la Ley de Ciberresiliencia (Cyber Resilience Act, CRA), la normativa europea destinada a reforzar la seguridad de los productos que incorporan componentes digitales.

Su entrada en vigor completa está prevista para diciembre de 2027. Sin embargo, una parte importante del texto entrará en vigor ya este año. A partir del 11 de septiembre de 2026, los fabricantes deberán ser capaces de notificar determinadas vulnerabilidades e incidentes de seguridad incluso mientras sus investigaciones aún estén en curso.

Para las empresas afectadas, el verdadero reto no consistirá, por tanto, únicamente en conocer el texto. Habrá que lograr calificar un suceso, recopilar la información inicial pertinente y transmitir una primera alerta en un plazo máximo de 24 horas.

Garantizar la seguridad de los productos durante todo su ciclo de vida

La Ley de Ciberresiliencia parte de una constatación relativamente sencilla: los productos digitales están presentes hoy en día en casi todos los sectores, pero su nivel de seguridad sigue siendo extremadamente variable.

Un programa informático puede contener una dependencia vulnerable. Un dispositivo conectado puede comercializarse con una configuración insuficientemente segura. Un equipo puede seguir funcionando durante varios años aunque su fabricante ya no proporcione parches. En cada uno de estos casos, una vulnerabilidad aislada puede convertirse en un punto de entrada a una red mucho más amplia.

Por ello, el reglamento europeo pretende integrar la ciberseguridad en todo el ciclo de vida del producto, desde su diseño hasta el final de su periodo de soporte. El objetivo ya no es solo corregir las vulnerabilidades cuando se hacen públicas, sino prever su detección, tratamiento y comunicación desde la fase de desarrollo del producto.

El CRA se aplica a los productos que contienen elementos digitales comercializados en el mercado europeo. Este concepto abarca numerosos programas y equipos capaces de conectarse directa o indirectamente a un dispositivo o a una red. Entre otros, pueden entrar en su ámbito de aplicación las aplicaciones, los equipos conectados, los sistemas operativos, los componentes de software o los dispositivos de seguridad.

Algunas soluciones de tratamiento de datos a distancia también pueden verse afectadas cuando sean indispensables para el funcionamiento del producto. Por el contrario, no todos los servicios digitales ni todos los servicios en línea entran automáticamente en el ámbito de aplicación del CRA. El análisis debe realizarse en función del producto, de su uso y de la forma en que se comercializa.

El 11 de septiembre de 2026, un primer plazo concreto

La mayoría de las obligaciones de la Ley de Ciberresiliencia (Cyber Resilience Act) se aplicarán a partir del 11 de diciembre de 2027. Los fabricantes deberán, en particular, cumplir los requisitos de ciberseguridad durante el diseño, el desarrollo y el mantenimiento de sus productos.

Sin embargo, las obligaciones de notificación previstas en el artículo 14 del reglamento entrarán en vigor a partir del 11 de septiembre de 2026.

A partir de esa fecha, un fabricante que tenga conocimiento de una vulnerabilidad que se esté explotando activamente y que afecte a su producto deberá enviar una primera alerta en un plazo de 24 horas. La misma obligación se aplicará cuando tenga conocimiento de un incidente grave que afecte a la seguridad del producto.

Una vulnerabilidad se considera explotada activamente cuando existen pruebas fiables que demuestran que un actor malintencionado la ha utilizado efectivamente. Por lo tanto, la mera existencia de una vulnerabilidad no basta necesariamente para activar la notificación. En cambio, la observación de indicadores técnicos que demuestren su explotación puede hacer que el suceso entre inmediatamente en el ámbito de aplicación del reglamento.

Un incidente se considera grave cuando compromete, o corre el riesgo de comprometer, la capacidad del producto para proteger la disponibilidad, la autenticidad, la integridad o la confidencialidad de datos o funciones sensibles o importantes. También puede calificarse de grave cuando conduce, o corre el riesgo de conducir, a la introducción o ejecución de código malicioso en el producto o en la red y el sistema de información de un usuario.

En ambos casos, la rapidez en la clasificación resulta esencial.

Una notificación en varias fases

El CRA tiene en cuenta que, por lo general, una empresa no puede comprender la totalidad de un ataque en unas pocas horas. Por lo tanto, la notificación se organiza de forma progresiva.

La primera alerta, que debe enviarse en un plazo de 24 horas, debe permitir notificar rápidamente la existencia del incidente. En esta fase, es posible que aún se desconozcan las causas exactas, el número de productos afectados o la identidad del atacante.

A continuación, debe enviarse una notificación más completa a más tardar 72 horas después de tener conocimiento de la vulnerabilidad o del incidente. Este plazo, por tanto, no se suma a las 24 horas de la primera alerta. Debe incluir la información disponible sobre la vulnerabilidad o el incidente, las versiones afectadas, las consecuencias observadas y las primeras medidas adoptadas por el fabricante.

En el caso de una vulnerabilidad que se esté explotando activamente, deberá presentarse un informe final a más tardar 14 días después de que se haya puesto a disposición una medida correctiva o de mitigación. En caso de incidente grave, dicho informe deberá enviarse en el mes siguiente a la notificación realizada en el plazo de 72 horas.

Las notificaciones se realizarán a través de una plataforma única creada y gestionada por la ENISA, la Agencia de la Unión Europea para la Ciberseguridad. De este modo, el fabricante no tendrá que realizar múltiples trámites en cada Estado miembro en el que se comercialice su producto.

El plazo de 24 horas no significa que la empresa deba disponer inmediatamente de un informe pericial definitivo. Sin embargo, exige que sea capaz de reconocer con la suficiente antelación que un suceso puede estar incluido en el CRA.

El reto de las primeras 24 horas

Cuando se produce un ataque, las primeras horas rara vez transcurren de forma ordenada. Los equipos tratan en primer lugar de comprender qué está sucediendo, contener el incidente e impedir su propagación.

Una alerta puede proceder de un cliente, un investigador de seguridad, un proveedor de servicios o una herramienta de vigilancia. En esta fase, aún puede ser imprecisa. Es necesario verificar el producto afectado, reproducir el comportamiento observado y determinar si la vulnerabilidad ha sido realmente explotada.

Es precisamente durante este periodo de incertidumbre cuando puede comenzar a correr el plazo reglamentario.

Por lo tanto, el concepto de «conocimiento del hecho» cobrará especial importancia. Una empresa puede detectar una actividad anómala por la mañana, confirmar una intrusión unas horas más tarde y comprender, solo al día siguiente, que el ataque se basa en una vulnerabilidad de su producto.

En ese caso, resulta indispensable conservar una cronología precisa. Debe ser posible reconstruir la hora de recepción de la alerta, las primeras constataciones, la identificación de las versiones afectadas, el descubrimiento de las pruebas de explotación y las decisiones tomadas.

Esta trazabilidad permitirá comprender el incidente, pero también demostrar cómo ha reaccionado la organización.

Un tema que también concierne a las aseguradoras

Aunque las principales obligaciones del CRA se refieren principalmente a los fabricantes, sus consecuencias afectan directamente a las aseguradoras, los corredores y los peritos que intervienen tras un siniestro cibernético.

Cuando un incidente tiene su origen en un software o un equipo vulnerable, el análisis debe determinar el papel de cada actor. ¿Se conocía la vulnerabilidad? ¿Se seguía prestando soporte técnico al producto? ¿Existía algún parche? ¿Tenía conocimiento el fabricante de un ataque anterior? ¿Había aplicado el cliente las medidas recomendadas?

Los elementos técnicos recopilados para preparar las notificaciones previstas por el CRA también podrán contribuir a la peritación del siniestro. La cronología de la detección, las pruebas de explotación, las versiones afectadas y las medidas adoptadas por el fabricante podrán arrojar luz sobre el análisis de los hechos y las responsabilidades. Se trata de elementos que un perito experto deberá solicitar. 

No sustituirán al peritaje, pero podrán constituir un elemento adicional en el análisis de los hechos, las responsabilidades y las medidas adoptadas.

De este modo, el reglamento podría modificar progresivamente la forma de evaluar el riesgo asociado a los editores, los fabricantes y los productos digitales integrados en el sistema de información de una empresa.

También exige una organización previa por parte de los fabricantes antes de su aplicación, con el fin de poder preservar rápidamente las pruebas, identificar los productos afectados y rastrear su historial. De este modo, la Ley de Ciberresiliencia (Cyber Resilience Act) nos recuerda una realidad fundamental de la ciberseguridad: cuando se produce un incidente, la calidad de la respuesta depende en gran medida de la preparación previa.