Ley de resiliencia cibernética para el sector manufacturero:

Visión general

La Ley de Resiliencia Cibernética (CRA), Reglamento (UE) 2024/2847, es la primera normativa horizontal de la UE que exige la ciberseguridad «segura desde el diseño» para los productos que sean o contengan un elemento digital (es decir, conectados hardware, software , o que impliquen el tratamiento remoto de datos) comercializados en el mercado de la UE, vinculando su cumplimiento directamente al marcado CE. Divide las obligaciones en requisitos de diseño de seguridad del producto (Anexo I, Parte I) y requisitos de gestión de vulnerabilidades a lo largo del ciclo de vida (Anexo I, Parte II). 

En la práctica, los fabricantes deben comercializar productos con protección criptográfica para la confidencialidad e integridad de los datos activada de forma predeterminada, actualizaciones de software software y firmware verificadas criptográficamente, y un mecanismo seguro de identidad y autenticación, todo ello justificado mediante una evaluación de riesgos de ciberseguridad específica para cada producto, en lugar de una lista de comprobación fija. 

Por qué es importante 

La CRA se aplica, en esencia, a cualquier producto conectado o « software » que se comercialice en la UE: la mayoría de los productos se incluyen en la categoría por defecto, mientras que las categorías de productos «importantes» (clases I y II) y «críticos» —como los sistemas de gestión de identidades, las VPN software y las pasarelas de contadores inteligentes— están sujetas a obligaciones más estrictas. 

Los requisitos esenciales deberán aplicarse íntegramente a más tardar el 11 de diciembre de 2027, mientras que las obligaciones de notificación de vulnerabilidades y de explotación activa entrarán en vigor en un plazo más breve, a partir de septiembre de 2026. Las sanciones pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación total mundial, lo que sea mayor, y los productos que incumplan la normativa perderán el marcado CE, necesario para acceder al mercado de la UE, lo que convierte esta cuestión en un problema de acceso al mercado tanto como de seguridad. 

Cómo se aplica esto a la criptografía 

La CRA aborda la criptografía a través de varios de los requisitos esenciales del anexo I, que abarcan la confidencialidad, la integridad, los ajustes predeterminados seguros y la autenticidad de las actualizaciones. Las principales áreas de control con implicaciones criptográficas directas son: 

Preparación para la auditoría 

Las evaluaciones de conformidad con la CRA, ya sean autodeclaradas o revisadas por un organismo notificado, se centran en comprobar si las decisiones de diseño criptográfico están documentadas, justificadas en función del riesgo y se han implementado de forma demostrable. Áreas clave que examinan los evaluadores y las autoridades de vigilancia del mercado: 

• Documentación sobre la evaluación de riesgos: ¿Hallevado a cabo y documentado la organización una evaluación de riesgos de ciberseguridad específica para el producto que justifique sus decisiones de diseño criptográfico? 

• Asignación de identidad a los dispositivos: ¿Seasigna a cada dispositivo una identidad criptográfica única durante su fabricación, en lugar de recurrir a credenciales compartidas o predeterminadas? 

• Proceso de actualización con firma: ¿Puedela organización demostrar que las actualizaciones de firmware y software están firmadas criptográficamente y se verifican antes de su instalación, con las actualizaciones automáticas activadas de forma predeterminada? 

• Inventario de componentes criptográficos: ¿Mantienela organización un inventario de todas las bibliotecas y algoritmos criptográficos integrados en el producto, incluidas las dependencias heredadas? 

• Borrado seguro y destrucción de claves: ¿Admiteel producto el borrado seguro de datos, incluida la destrucción de claves criptográficas, en caso de transferencia de propiedad o retirada del servicio? 

• Compromisos relativos al periodo de soporte: ¿Se hadocumentado y comunicado a los usuarios el periodo obligatorio de soporte para las actualizaciones de seguridad, que esde un mínimo de cinco años o, si es inferior, la vida útil prevista del producto? 

LLEVA ESTO A LA DIRECCIÓN

La CRA convierte la ciberseguridad en un requisito para acceder al mercado: sin el marcado CE, no hay acceso al mercado de la UE. Por no hablar de las multas de hasta 15 millones de euros o el 2,5 % de nuestra facturación global total. Cada producto conectado — hardware o software — que comercializamos debe contar con una identidad de dispositivo única, un firmware firmado y el cifrado activado por defecto, todo ello respaldado por documentación que demuestre que hemos evaluado el riesgo y lo hemos diseñado en consecuencia.

Tenemos hasta diciembre de 2027 para cumplir plenamente con la normativa, pero el plazo para notificar vulnerabilidades comienza en un plazo mucho más breve, y 36 meses se esfuman rápidamente si se tiene en cuenta el rediseño de productos que nunca se desarrollaron con una identidad única ni un proceso de firma. Si no podemos elaborar un inventario criptográfico para un producto, no podremos indicar ni a las autoridades reguladoras ni a nosotros mismos qué es lo que realmente queda expuesto cuando surja la próxima vulnerabilidad.