Conoce qué es el Reglamento CRA, a qué empresas afecta, sus obligaciones de ciberseguridad y cómo prepararse con Boreal Comunicaciones, experto en ciberseguridad en Guadalajara.
Reglamento de ciberresiliencia (CRA): qué empresas deben cumplirlo y cómo prepararse
GuadaRed | Contenido patrocinado por Boreal Comunicaciones
La nueva normativa europea de ciberseguridad introduce obligaciones para fabricantes, importadores y distribuidores de productos digitales. El Reglamento de Ciberresiliencia (CRA) establece requisitos de seguridad desde el diseño, gestión de vulnerabilidades y notificación de incidentes. Boreal Comunicaciones, especialista en ciberseguridad en Guadalajara, explica las claves de una regulación que afecta a buena parte del ecosistema tecnológico y empresarial.
Plataforma única de informes de la CRA
Preguntas frecuentes sobre la aplicación de la CRA
La creciente interconexión de dispositivos, aplicaciones y sistemas informáticos ha ampliado también los riesgos para empresas y usuarios. Los ataques a la cadena de suministro, las vulnerabilidades del software y los accesos no autorizados a redes y equipos han situado la ciberseguridad entre las prioridades de la Unión Europea.
En este contexto, el Reglamento Europeo de Ciberresiliencia (CRA) establece un marco común para reforzar la seguridad de los productos que incorporan componentes digitales y se comercializan en el mercado comunitario.
La normativa introduce nuevas responsabilidades para quienes fabrican, importan o distribuyen estos productos, con especial atención a su protección durante todo el ciclo de vida. Además, contempla obligaciones específicas para comunicar determinadas vulnerabilidades e incidentes de seguridad.
Para las empresas, conocer su alcance y anticiparse a los cambios resulta fundamental. Desde Boreal Comunicaciones, compañía especializada en soluciones informáticas y protección frente a ciberataques en Guadalajara, se ofrece asesoramiento para revisar sistemas, identificar riesgos y mejorar la seguridad tecnológica de las organizaciones.
El Cyber Resilience Act (CRA), aprobado mediante el Reglamento (UE) 2024/2847, es la normativa europea que establece requisitos obligatorios de ciberseguridad para productos con elementos digitales.
Su objetivo es que los dispositivos y programas informáticos comercializados en la Unión Europea incorporen medidas de protección desde su diseño y mantengan unas condiciones adecuadas de seguridad durante su vida útil.
El reglamento afecta tanto al desarrollo y fabricación como a la comercialización de productos tecnológicos. Entre sus principales objetivos se encuentran reducir las vulnerabilidades, mejorar la protección de los datos y garantizar que los fabricantes proporcionen actualizaciones de seguridad.
En definitiva, la CRA busca que la seguridad informática deje de ser un añadido opcional y forme parte del propio producto desde las primeras fases de desarrollo.
¿A qué empresas y productos afecta la nueva normativa?
El ámbito de aplicación de la CRA es amplio y alcanza a distintos participantes de la cadena de suministro tecnológica.
Entre los principales sujetos afectados figuran:
-
Fabricantes de productos con elementos digitales que se comercializan en la Unión Europea.
-
Importadores y distribuidores que introducen estos productos en el mercado comunitario.
-
Determinados administradores de software de código abierto, cuando concurren las condiciones previstas en el reglamento.
La normativa contempla una extensa variedad de productos, desde dispositivos conectados hasta programas informáticos de uso general.
Dispositivos y software incluidos
Entre los ejemplos de productos que pueden quedar sujetos a la CRA se encuentran:
-
Dispositivos del Internet de las Cosas (IoT).
-
Routers, cámaras IP y equipos conectados a redes.
-
Sistemas de control industrial y tecnologías OT/ICS.
-
Sistemas operativos y aplicaciones de escritorio.
-
Gestores de contraseñas y otras herramientas de software.
La aplicación concreta dependerá de las características del producto y de las disposiciones recogidas en el reglamento.
¿Qué productos quedan excluidos?
La normativa contempla determinadas excepciones. Entre ellas, el software libre y de código abierto desarrollado o suministrado fuera de una actividad comercial, en los términos previstos por la CRA.
También existen exclusiones para productos sujetos a otras regulaciones sectoriales específicas, como determinados dispositivos médicos, productos de automoción o equipos relacionados con la aviación.
En el caso de los servicios exclusivamente en la nube o SaaS, su tratamiento depende de sus características y de su relación con el funcionamiento de un producto con elementos digitales. Cuando forman parte del procesamiento remoto indispensable para que ese producto funcione, pueden entrar en el ámbito de aplicación del reglamento.
Por ello, las empresas que desarrollan o comercializan soluciones tecnológicas deben analizar cada caso antes de determinar sus obligaciones.
Las principales obligaciones de ciberseguridad para los fabricantes
La CRA establece una serie de requisitos que deben tenerse en cuenta para comercializar productos digitales en Europa. Entre las medidas más relevantes destacan las siguientes:
Seguridad desde el diseño y por defecto
Los productos deberán incorporar medidas de protección desde su desarrollo, con el objetivo de reducir las vulnerabilidades y limitar las posibilidades de ataque.
Este principio, conocido como Secure by Design y Secure by Default, implica que la seguridad debe formar parte de la arquitectura del producto y no depender exclusivamente de configuraciones posteriores.
Actualizaciones y gestión de vulnerabilidades
Los fabricantes deberán establecer procedimientos para identificar, corregir y comunicar vulnerabilidades de seguridad.
También tendrán que proporcionar actualizaciones de seguridad durante el periodo de soporte establecido, que deberá ajustarse a las condiciones previstas por la normativa.
Inventario de componentes de software (SBOM)
La CRA contempla la elaboración de una Software Bill of Materials (SBOM), es decir, una relación de los componentes de software que integran un producto.
Este inventario facilita la identificación de dependencias de terceros y permite localizar con mayor rapidez componentes afectados por vulnerabilidades conocidas.
Evaluación de conformidad y marcado CE
Los productos incluidos en el ámbito de aplicación deberán cumplir los requisitos correspondientes antes de su comercialización y someterse a los procedimientos de evaluación de conformidad que resulten aplicables.
El marcado CE permitirá identificar los productos que cumplen las exigencias europeas pertinentes.
Las obligaciones generales de ciberseguridad de la CRA serán aplicables a partir del 11 de diciembre de 2027, mientras que las obligaciones de notificación de determinados incidentes comenzaron el 11 de septiembre de 2026.
Notificación de incidentes: qué comunicar y en qué plazo
Uno de los cambios más relevantes de la normativa es la obligación de comunicar determinados problemas de seguridad mediante la plataforma europea Single Reporting Platform (SRP), desarrollada y gestionada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA).
Desde el 11 de septiembre de 2026, los fabricantes deben notificar dos tipos de situaciones:
-
Vulnerabilidades explotadas activamente: fallos de seguridad de productos digitales sobre los que existen evidencias fiables de explotación maliciosa.
-
Incidentes graves: sucesos que afectan de manera significativa a la seguridad de un producto con elementos digitales.
Los plazos establecidos son los siguientes:
Calendario de notificación CRA
-
Primeras 24 horas: alerta temprana
Comunicación inicial sin demora injustificada y, en todo caso, dentro de las primeras 24 horas desde que se tenga conocimiento del incidente o vulnerabilidad.
-
Primeras 72 horas: notificación formal
Información general sobre el suceso y una evaluación inicial, incluyendo las medidas correctivas o de mitigación disponibles.
-
Informe final
-
Vulnerabilidades explotadas: hasta 14 días después de que esté disponible una medida correctiva.
-
Incidentes graves: dentro del mes siguiente a la notificación de 72 horas.
-
Estos plazos hacen especialmente importante que las empresas dispongan de procedimientos internos para detectar incidentes, evaluar su alcance y coordinar las comunicaciones correspondientes.
INCIBE y ENISA: cómo actuar ante una vulnerabilidad o un ciberataque
La nueva plataforma europea no sustituye a los canales habituales de atención y respuesta ante incidentes de ciberseguridad.
Es importante diferenciar entre las notificaciones obligatorias contempladas en la CRA y otras situaciones que pueden afectar a los sistemas informáticos de una organización.
Cuándo utilizar la plataforma SRP
Los fabricantes obligados deberán utilizar la Single Reporting Platform de ENISA para comunicar las vulnerabilidades explotadas activamente y los incidentes graves incluidos en el reglamento.
La plataforma permite realizar una única notificación para su comunicación a las autoridades competentes.
Qué hacer ante otros incidentes de seguridad
Para el resto de incidencias que afecten a una organización, INCIBE-CERT mantiene sus canales habituales de respuesta.
Asimismo, los investigadores y fabricantes que descubran vulnerabilidades desconocidas pueden recurrir al servicio de coordinación de vulnerabilidades y asignación de identificadores CVE.
En caso de duda sobre si un incidente está sujeto a las obligaciones de la CRA, la recomendación recogida en la información facilitada por INCIBE es contactar inicialmente con sus canales habituales para recibir orientación sobre cómo proceder.
Cómo registrarse en la plataforma europea SRP
Las entidades obligadas necesitan disponer de acceso autorizado a la plataforma de notificación de ENISA.
Según el procedimiento indicado por INCIBE, el proceso contempla las siguientes fases:
-
Solicitud de acceso: enviar un correo a cve-coordination@incibe.es solicitando la creación de un usuario para la plataforma.
-
Validación de la entidad: INCIBE solicitará la información y documentación necesaria para comprobar que la organización está legitimada para acceder.
-
Confirmación e instrucciones: una vez validada la solicitud, se facilitarán las indicaciones para completar el registro y comenzar a realizar notificaciones.
La plataforma oficial puede consultarse en la web de ENISA Single Reporting Platform
Boreal Comunicaciones: soluciones de ciberseguridad para empresas en Guadalajara
Ante un escenario en el que la protección de los sistemas informáticos adquiere cada vez mayor relevancia, contar con asesoramiento especializado permite a las empresas identificar sus puntos débiles y establecer medidas preventivas.
Boreal Comunicaciones, especialista en ciberseguridad en Guadalajara, ofrece soluciones tecnológicas adaptadas a las necesidades de empresas y profesionales, desde la actualización de equipos y programas hasta proyectos integrales de renovación informática.
Entre sus servicios se encuentran:
-
Auditorías de sistemas informáticos y análisis de riesgos.
-
Soluciones de protección frente a ciberataques, mediante herramientas de hardware, software y recursos especializados.
-
Implantación y mejora de equipos y programas informáticos.
-
Actualización de antivirus y sistemas de protección.
-
Proyectos de continuidad de negocio.
-
Aplicaciones de gestión y contabilidad adaptadas a las exigencias fiscales.
-
Equipos informáticos, dispositivos de impresión y sistemas de comunicaciones.
-
Asesoramiento teniendo en cuenta los requisitos de seguridad de la información y la norma ISO 27001.
La compañía trabaja para ayudar a las organizaciones a mejorar su infraestructura tecnológica, reforzar la protección de sus datos y afrontar los nuevos desafíos de la transformación digital.
Con la aplicación progresiva del Reglamento de Ciberresiliencia, revisar los sistemas y conocer las obligaciones que corresponden a cada empresa se convierte en una cuestión esencial para operar con garantías en el mercado europeo.
GuadaRed | Tecnología y empresas
La ciberseguridad ya no es una cuestión exclusiva de los departamentos informáticos: afecta a la actividad diaria, la continuidad y la confianza de empresas de todos los tamaños.
Desde GuadaRed, periódico digital de Guadalajara y su provincia, acercamos a nuestros lectores información útil sobre tecnología, innovación y servicios empresariales, dando también visibilidad a las compañías que trabajan para mejorar el tejido económico de nuestro entorno.
¿Está preparada tu empresa para afrontar las nuevas exigencias de ciberseguridad? Te leemos en los comentarios.
Contenido patrocinado por Boreal Comunicaciones
Boreal Comunicaciones | Gestión de riesgos y ciberseguridad para empresas y hogares en Guadalajara
