◢¿Qué es el Reglamento de Ciberresiliencia?

Es el Reglamento (UE) 2024/2847. Según la Comisión, establece requisitos obligatorios de ciberseguridad para el hardware y el software que se vende en la Unión Europea. Entró en vigor el 10 de diciembre de 2024 y se aplica a los "productos con elementos digitales", que es el nombre oficial de casi todo lo que lleva software: una cámara IP, un router, un controlador industrial, una aplicación móvil o un programa de gestión instalado en el ordenador del cliente.

Hasta ahora, la seguridad de estos productos dependía de la buena voluntad del fabricante. El reglamento la convierte en condición para poder venderlos en Europa, igual que ya pasa con otros requisitos que se acreditan con el marcado CE.

◢¿Qué productos cubre y cuáles no?

◢¿Qué dos fechas hay que tener presentes?

• ▹11 de septiembre de 2026: ya se aplican las obligaciones de notificación del artículo 14.
• ▹11 de diciembre de 2027: se aplica el resto de las obligaciones principales.

Según el resumen de la Comisión, los productos que ya estaban en el mercado antes de diciembre de 2027 solo entran en el resto de obligaciones si sufren una modificación sustancial después de esa fecha. Las obligaciones de notificación, en cambio, se aplican a todos los productos comercializados, incluidos los que ya estaban a la venta.

◢¿Qué tiene que notificar un fabricante y en cuánto tiempo?

• ▹Un aviso temprano en las 24 horas siguientes a tener conocimiento.
• ▹Una notificación completa en 72 horas.
• ▹Un informe final, como máximo 14 días después de que exista una medida correctora, si es una vulnerabilidad explotada. Si es un incidente grave, en el plazo de un mes desde la notificación de las 72 horas.

Todo se envía una sola vez a través de la plataforma única de notificación de la ENISA, la agencia europea de ciberseguridad, que según la Comisión funciona desde el 11 de septiembre. La notificación llega al CSIRT del país donde el fabricante tiene su establecimiento principal y, salvo circunstancias excepcionales, también a la ENISA.

La Comisión añade un detalle para las empresas pequeñas: a las microempresas y pequeñas empresas no se les puede multar por incumplir el plazo de 24 horas.

◢¿Y si solo importo o distribuyo productos de otros?

Tampoco te libras, aunque estas obligaciones llegan con el resto de las principales, en diciembre de 2027. El resumen de la Comisión dice que el importador, que es quien comercializa en la UE productos con el nombre o la marca de un fabricante de fuera, debe comprobar que ese fabricante ha cumplido sus obligaciones, que se hizo la evaluación de conformidad y que el producto lleva el marcado CE. Si no es así, no puede ponerlo en el mercado.

El distribuidor, que vende el producto sin modificarlo, también tiene que verificar el marcado CE y que fabricante e importador han cumplido con lo suyo, incluidos los datos de contacto, las instrucciones al usuario y el periodo de soporte. Quien revende material conectado a clientes (instaladores, integradores, tiendas) debería saber que esto dejará de ser opcional.

◢¿Qué cambia si mi empresa solo compra estos productos?

Para quien solo compra, el reglamento no impone obligaciones directas, pero cambia lo que puedes exigir. Según la Comisión, el fabricante tiene que fijar un periodo de soporte, durante el cual debe gestionar las vulnerabilidades de forma efectiva, y la fecha de fin (mes y año) debe estar clara en el momento de la compra.

Eso es útil de verdad. Cuando los ataques a las neveras de los supermercados europeos salieron en las noticias, los fabricantes dijeron que la mayoría de los equipos afectados eran productos descatalogados que ya no recibían actualizaciones. El reglamento no arregla esos equipos antiguos, pero sí obliga a que los nuevos digan hasta cuándo se les va a cuidar.

◢Qué hacer ahora

Si fabricas, importas o distribuyes productos con software:

• ▹Averigua si tus productos entran en el ámbito del reglamento. Empieza por la guía y las preguntas frecuentes de la Comisión.
• ▹Decide quién en la empresa se ocupará de avisar si se explota una vulnerabilidad en tus productos y cómo se enviará el aviso temprano en menos de 24 horas. Es lo que ya exige la norma.
• ▹Pide a tus proveedores de componentes y de software de terceros que te digan cómo gestionan las vulnerabilidades. Como fabricante, eres responsable de lo que integras.

Si solo compras:

• ▹Antes de adquirir equipos conectados (cámaras, controladores, cerraduras, aparatos industriales), pregunta hasta cuándo recibirán actualizaciones de seguridad.
• ▹Pon esa fecha en tu inventario de equipos, junto al nombre de quien los instaló y quién puede acceder desde fuera. Ya conté en otro artículo que los ataques casi nunca entran por el servidor, sino por lo que nadie tenía controlado.

Entender qué te exige la norma y qué puedes exigir tú es parte de lo que trabajo en mis formaciones de ciberseguridad para empresas, pensadas para equipos que no son técnicos.