A partir de este viernes 11 de septiembre, el ámbito de la ciberseguridad en la Unión Europea entra en una fase distinta con la aplicación del Cyber Resilience Act, una norma que obliga a las compañías a informar de las vulnerabilidades explotadas activamente y de los incidentes graves que comprometan la seguridad de sus productos digitales, con sanciones que pueden alcanzar los 15 millones de euros.
Las ciberamenazas se transforman a gran velocidad y, ante este escenario, las organizaciones están redefiniendo su enfoque para fortalecer su resiliencia, no solo en la respuesta a un ataque, sino también en la preparación de sus equipos, la detección temprana de riesgos y el diseño de estrategias defensivas capaces de crecer al mismo ritmo que sus entornos tecnológicos.
En este contexto, la Unión Europea busca asegurar que las empresas avancen en esa dirección y aceleren el cambio de paradigma en ciberseguridad. Con este objetivo se creó el Cyber Resilience Act (CRA), un reglamento que fija requisitos obligatorios de seguridad para los productos de 'hardware' y 'software' con componentes digitales que se comercialicen dentro del mercado comunitario.
La regulación, en vigor desde diciembre de 2024, se extiende desde aplicaciones hasta todo tipo de dispositivos y programas informáticos -'smartphones', sistemas operativos, 'routers', monitores de bebés, relojes inteligentes, cortafuegos, entre otros-, que deberán ajustarse a unos estándares mínimos de ciberseguridad, proporcionales al nivel de riesgo asociado a cada producto.
Con ello, la Comisión Europea quiere atajar problemas frecuentes en muchos productos digitales, como niveles de protección insuficientes o la falta de actualizaciones a tiempo, "mientras empresas y consumidores tienen dificultades para identificar qué productos ofrecen unas garantías adecuadas", tal y como señalan desde el distribuidor de soluciones IT, Ingram Micro.
Desde su posición en el mercado, la compañía observa el rol de fabricantes, partners y clientes en materia de seguridad y puede analizar tanto las necesidades actuales como el efecto que tendrá la nueva normativa sobre las empresas.
"Las organizaciones necesitan anticiparse, conocer los riesgos asociados a su infraestructura y disponer de una estrategia que les permita reaccionar rápidamente cuando se produce un incidente. El Cyber Resilience Act refuerza precisamente esa visión de la seguridad durante todo el ciclo de vida de la tecnología", ha manifestado la respecto el director de Advanced Solutions de Ingram Micro, Martin Trullás.
Nueva fase del CRA: comienza la obligación de notificar incidentes
Antes de que se apliquen en su totalidad todas las obligaciones de la Ley de Ciberresiliencia, previstas para el 11 de diciembre de 2027, el distribuidor recuerda que las empresas afrontan ya una etapa intermedia, que arranca este viernes 11 de septiembre y que, si no se aborda adecuadamente, puede acarrear consecuencias "importantes".
En concreto, desde este viernes se activan las obligaciones de notificación: los fabricantes tendrán que comunicar las vulnerabilidades que estén siendo explotadas y los incidentes graves que impacten en la seguridad de sus productos con elementos digitales.
La norma establece además que estas incidencias deben notificarse con rapidez, fijando un aviso temprano en un máximo de 24 horas desde que se detecta el problema y un informe más completo, con toda la información relevante, en un plazo máximo de 72 horas.
No obstante, Ingram Micro recalca que el objetivo del CRA no se limita a que las compañías informen de sus incidentes, sino que incorpora exigencias de ciberseguridad que abarcan la planificación, el diseño, el desarrollo y el mantenimiento de los productos, con la obligación de gestionar las vulnerabilidades durante todo su ciclo de vida.
Esta filosofía parte de la premisa de que la seguridad "no puede añadirse al final del proceso", sino que "tiene que formar parte de la tecnología desde que se diseña y acompañarla durante su vida útil", como ha asegurado Trullás.
Por ello, el directivo considera que las organizaciones deben revisar sus procesos internos y lograr que fabricantes, distribuidores, partners y clientes "trabajen de una forma todavía más coordinada", algo que suele requerir un tiempo prolongado de adaptación. De ahí que no se deba entender 2027 como la fecha para empezar a prepararse, ya que, en palabras de Trullás, "el primer cambio llega ya este septiembre".
En los casos más graves de incumplimiento de la normativa, las empresas se exponen a sanciones de hasta 15 millones de euros o al 2,5 por ciento de su facturación anual mundial, aplicándose el importe que resulte más elevado.
Ciberseguridad a lo largo de toda la cadena de valor
Ingram Micro subraya también que el CRA no recae únicamente sobre el fabricante, sino que fija obligaciones para los distintos operadores económicos que intervienen en la puesta en el mercado del producto digital.
De este modo, los requisitos del reglamento deben cumplirse en toda la cadena de valor. Esto implica saber qué tecnología se integra en la infraestructura, cómo se han tratado sus vulnerabilidades, qué tipo de actualizaciones recibirá y qué garantías ofrece el fabricante durante el periodo de soporte, según detalla la compañía.
En la práctica, las decisiones tecnológicas de las organizaciones deberán incorporar la ciberseguridad como criterio central. Así, por ejemplo, una empresa que renueva sus equipos con cámaras de videovigilancia conectadas ya no solo valorará prestaciones o precio, sino que tendrá que "conocer cómo se gestionarán posibles vulnerabilidades, durante cuánto tiempo recibirán actualizaciones de seguridad o qué mecanismos existen para responder ante un incidente". La protección pasa, por tanto, a ser una responsabilidad compartida.
Por este motivo, la normativa europea exige que empresas y usuarios puedan identificar con claridad los servicios y productos que cumplen con unos niveles adecuados de ciberseguridad, los cuales deberán llevar el marcado 'CE' que acredita su conformidad con los requisitos legales de la Unión Europea para su comercialización.
"Las amenazas van a seguir evolucionando independientemente del calendario regulatorio. Sin embargo, aquellas organizaciones que aprovechen este periodo para anticiparse no solo estarán mejor preparadas para cumplir con el nuevo marco, sino también para enfrentarse a un escenario de ciberseguridad cada vez más complejo y ser más resilientes", ha sentenciado Trullás.
En este escenario, Ingram Micro insiste en que, según su experiencia, "el canal tecnológico puede desempeñar un papel relevante como nexo entre fabricantes, partners y clientes". Como distribuidor global, y gracias a su amplio ecosistema de proveedores tecnológicos y especialistas en seguridad, la plataforma afirma que puede facilitar el acceso a soluciones y conocimiento para "reforzar la protección de sus clientes" en esta nueva etapa marcada por el Cyber Resilience Act.