La Comisión Europea ha publicado unas nuevas directrices para facilitar la aplicación del Reglamento de Ciberresiliencia (Cyber Resilience Act o CRA), un documento que llega en un momento clave. Aunque muchas empresas tienen la vista puesta en diciembre de 2027, la realidad es que algunas de las primeras obligaciones comenzarán a aplicarse mucho antes.
Con la publicación de estas orientaciones, Bruselas busca aclarar cómo deben interpretar fabricantes y desarrolladores los requisitos del reglamento, especialmente en materia de gestión de vulnerabilidades, evaluación de riesgos y mantenimiento de productos digitales.
Septiembre marca el primer gran hito
El próximo 11 de septiembre de 2026 entra en vigor la obligación de notificar vulnerabilidades explotadas activamente e incidentes graves relacionados con los productos cubiertos por el Reglamento de Ciberresiliencia.
Las empresas deberán actuar con rapidez. El marco establece un sistema escalonado de comunicación que contempla una alerta inicial en un plazo de 24 horas, seguida de una notificación más completa dentro de las 72 horas.
Además, las directrices dejan claro que estas obligaciones afectan también a productos que ya estaban comercializados, siempre que entren dentro del ámbito del reglamento y continúen recibiendo soporte.
Tres mensajes clave de las nuevas directrices
El documento publicado por la Comisión Europea introduce varias aclaraciones relevantes para fabricantes de software y dispositivos conectados.
1. Incluso pequeños cambios pueden tener un gran impacto.
Una modificación aparentemente menor puede considerarse sustancial si introduce nuevos riesgos de seguridad. Por ejemplo, incorporar una función que almacene credenciales o tokens de autenticación podría obligar a realizar una nueva evaluación de riesgos.
2. La seguridad no puede sacrificarse por motivos comerciales.
Las directrices insisten en que decisiones relacionadas con costes, plazos o estrategia empresarial no justifican reducir el nivel de protección del producto. Tampoco es válido trasladar al usuario la responsabilidad de compensar deficiencias de diseño mediante advertencias o condiciones de uso.
3. El periodo de cinco años es un mínimo, no una regla fija.
El CRA establece que el soporte de seguridad debe mantenerse durante un periodo adecuado para el ciclo de vida del producto. Las nuevas orientaciones recuerdan que los cinco años representan un suelo mínimo en muchos casos, no una duración automática aplicable a todos los productos.
Persisten retos para la implantación
Aunque las obligaciones empiezan a acercarse, todavía existen aspectos prácticos pendientes de completar.
Entre ellos destacan la falta de disponibilidad de algunos mecanismos de notificación previstos, la ausencia de determinadas normas armonizadas que faciliten demostrar el cumplimiento y la necesidad de seguir desarrollando parte de la infraestructura regulatoria necesaria para la aplicación completa del reglamento.
Esto significa que muchas organizaciones deberán prepararse mientras algunos elementos del ecosistema regulador continúan evolucionando.
¿Qué deberían hacer las empresas?
Con los primeros plazos ya muy próximos, conviene que fabricantes y desarrolladores revisen cuanto antes sus procesos internos. Algunas acciones prioritarias incluyen:
- Revisar los procedimientos de gestión y comunicación de vulnerabilidades.
- Evaluar el impacto de cualquier modificación realizada sobre los productos.
- Definir tiempos de respuesta compatibles con las obligaciones de notificación.
- Revisar las políticas de mantenimiento y soporte de seguridad.
- Mantener un seguimiento continuo de las futuras normas técnicas y guías publicadas por la Comisión Europea.
Conclusión
La publicación de estas directrices confirma que el Reglamento de Ciberresiliencia entra en una nueva fase. Aunque la plena aplicación del CRA todavía tiene recorrido, las primeras obligaciones llegan en septiembre de 2026 y exigirán a las empresas responder con rapidez ante vulnerabilidades e incidentes de seguridad.
Más que esperar a las fechas finales de cumplimiento, este es el momento de revisar procesos, fortalecer la gestión de vulnerabilidades y adaptar la estrategia de ciberseguridad para cumplir con un marco regulatorio que será cada vez más exigente.
Contáctanos en info@legalauditors.es
