Con la adopción de la EU Cyber Resilience Act (CRA), la ciberseguridad ya no es solo una cuestión de buenas prácticas o normas voluntarias: se convierte en un requisito legalmente exigible para los fabricantes de productos digitales.

Para las empresas que desarrollan software o sistemas conectados, la CRA introduce nuevas obligaciones en materia de diseño seguro de productos, gestión de vulnerabilidades, transparencia y notificación de incidentes. Las organizaciones que no cumplan estos requisitos se exponen a sanciones considerables: hasta 15 millones de euros o el 2,5 % del volumen de negocio anual mundial.

En ALPEIN Software ya estamos preparando nuestro gestor de contraseñas para empresas PassSecurium™ para cumplir estos requisitos, mucho antes de que el reglamento sea plenamente aplicable.

En este artículo explicamos qué es la CRA, a quién se aplica y cómo estamos preparando PassSecurium™ para cumplir sus requisitos de ciberseguridad.

¿Qué es la EU Cyber Resilience Act?

La Cyber Resilience Act (Reglamento (UE) 2024/2847), o Ley de Ciberresiliencia, es un reglamento europeo que establece requisitos de ciberseguridad obligatorios para los productos con elementos digitales comercializados en el mercado de la UE.

Entre ellos se incluyen:

• productos de software
• soluciones de red y de seguridad
• dispositivos IoT
• hardware con software integrado
• aplicaciones empresariales y sistemas de TI

El objetivo de la CRA es garantizar que los productos vendidos en la UE:

• se desarrollen según el principio de seguridad desde el diseño (secure by design)
• se configuren de forma segura por defecto (secure by default)
• reciban actualizaciones de seguridad periódicas
• informen de forma transparente sobre las vulnerabilidades

El reglamento introduce requisitos de ciberseguridad a lo largo de todo el ciclo de vida del producto: desde el desarrollo y el lanzamiento hasta la gestión de vulnerabilidades y la información a los usuarios.

En la práctica, la ciberseguridad pasa de ser una recomendación a una obligación legal.

¿A quién se aplica la CRA?

La CRA se aplica a fabricantes, importadores y distribuidores de productos con elementos digitales comercializados en el mercado de la UE.

Esto incluye:

• empresas con sede en la UE
• empresas de fuera de la UE que venden productos a clientes de la UE

Para los fabricantes de software, la clave es sencilla:

si su producto se distribuye o vende en la UE, la CRA es de aplicación.

Esto significa que también las empresas de software suizas, incluidos los proveedores de soluciones de seguridad empresarial, deben cumplir los requisitos si atienden a clientes de la UE.

Clasificación de productos en la CRA

El reglamento clasifica los productos digitales en distintas categorías según su riesgo de ciberseguridad.

Categoría por defecto

Alrededor del 90 % de los productos pertenecen a esta categoría.

Algunos ejemplos:

• aplicaciones de software estándar
• electrónica de consumo
• dispositivos IoT de menor riesgo

Por lo general, estos productos se someten a una autoevaluación de la conformidad.

Productos importantes – Clase I

Determinados productos que desempeñan un papel central en la seguridad o en la gestión de identidades se clasifican como productos importantes de clase I.

Entre ellos figuran, por ejemplo:

• gestores de contraseñas
• navegadores
• soluciones VPN
• sistemas de gestión de identidades
• software de gestión de redes

PassSecurium™ pertenece a esta categoría.

Esta clasificación refleja que los gestores de contraseñas almacenan credenciales sensibles y, por tanto, deben cumplir requisitos de ciberseguridad especialmente exigentes.

Los productos importantes de clase I pueden:

realizar una autoevaluación basada en normas armonizadas

o bien

someterse a una evaluación de la conformidad por parte de un organismo externo.

Productos importantes – Clase II

En esta categoría se incluye el software de infraestructura de mayor riesgo, por ejemplo:

• cortafuegos (firewalls)
• sistemas de detección y prevención de intrusiones (IDS/IPS)
• hipervisores y entornos de ejecución de contenedores
• microprocesadores y microcontroladores resistentes a la manipulación

Para estos productos es obligatoria una evaluación por parte de un organismo externo.

Productos críticos

Entre los componentes digitales críticos se encuentran, por ejemplo:

• módulos de seguridad de hardware (HSM)
• tarjetas inteligentes
• criptoprocesadores seguros

Estos productos requieren una certificación EUCC (European Union Cybersecurity Certification Scheme on Common Criteria) con un nivel de garantía sustancial o alto.

Calendario de aplicación de la CRA

La CRA prevé una aplicación escalonada que da a los fabricantes tiempo para prepararse.

Entrada en vigor

10 de diciembre de 2024

El reglamento entró oficialmente en vigor y las empresas deberían empezar a planificar su cumplimiento.

Las actividades típicas de esta fase son:

• clasificación de productos
• análisis de brechas (gap analysis) frente a los requisitos de la CRA
• designación de un responsable interno de cumplimiento

Notificación obligatoria de vulnerabilidades

11 de septiembre de 2026

Es uno de los hitos más importantes.

Los fabricantes deben ser capaces de:

• notificar las vulnerabilidades explotadas activamente
• informar a las autoridades a través de la plataforma de notificación de ENISA
• presentar informes de incidentes estructurados

Aplicación plena

11 de diciembre de 2027

A partir de esta fecha:

• deben cumplirse todos los requisitos esenciales de ciberseguridad
• la documentación técnica debe estar completa
• las evaluaciones de la conformidad deben haber concluido
• debe colocarse el marcado CE
• debe emitirse una declaración UE de conformidad

Requisitos esenciales de ciberseguridad

La CRA define los requisitos esenciales de ciberseguridad en su anexo I. Constituyen el núcleo del reglamento y se aplican también a productos de software como los gestores de contraseñas.

A continuación, algunos de los principios más importantes.

Seguridad desde el diseño y por defecto

Los productos deben desarrollarse con la ciberseguridad como principio arquitectónico central.

Para PassSecurium™ esto implica, entre otras cosas:

• una arquitectura de seguridad basada en el riesgo
• configuraciones predeterminadas reforzadas (hardening)
• mecanismos de autenticación robustos
• un almacenamiento seguro de las credenciales

Los usuarios no deberían tener que activar ajustes de seguridad adicionales para lograr una configuración segura.

Sin vulnerabilidades explotables conocidas

Los productos no pueden lanzarse con vulnerabilidades explotables conocidas.

Esto exige:

• revisiones de seguridad antes de cada lanzamiento
• pruebas de vulnerabilidades
• procesos de publicación controlados

Control de acceso

Los productos deben impedir el acceso no autorizado mediante mecanismos adecuados de autenticación y autorización.

Para un gestor de contraseñas, esto significa, por ejemplo:

• autenticación multifactor
• control de acceso basado en roles
• modelos de acceso de mínimo privilegio
• integración segura con proveedores de identidad

Confidencialidad, integridad y disponibilidad

Los productos deben garantizar la protección de los datos mediante:

• confidencialidad, gracias al cifrado
• integridad, gracias a la protección contra manipulaciones
• disponibilidad, gracias a una arquitectura de sistema resiliente

Reducción de la superficie de ataque

La CRA exige que los productos limiten las interfaces innecesarias y los puntos de acceso externos.

Esto incluye:

• restringir las interfaces externas
• minimizar los servicios expuestos
• controlar cuidadosamente las API

Registro y monitorización de la seguridad

Los productos deben registrar los eventos relevantes para la seguridad para permitir la monitorización y el análisis de incidentes.

En productos empresariales como los gestores de contraseñas, las funciones de registro son fundamentales para:

• la auditabilidad
• la investigación de incidentes
• la acreditación del cumplimiento normativo

Mecanismos de actualización seguros

Los fabricantes deben ofrecer mecanismos para distribuir las actualizaciones de seguridad de forma segura.

Esto incluye:

• verificación de la integridad de las actualizaciones
• distribución autenticada de las actualizaciones
• funciones de reversión (rollback)

Requisitos de gestión de vulnerabilidades

El anexo I define también requisitos sobre el tratamiento de las vulnerabilidades.

Lista de materiales de software (SBOM, Software Bill of Materials)

Los fabricantes deben mantener un inventario legible por máquina de los componentes de software. Las SBOM aumentan la transparencia de la cadena de suministro de software y ayudan a identificar con mayor rapidez los componentes vulnerables.

Corrección de vulnerabilidades

Las vulnerabilidades deben:

• identificarse
• evaluarse
• corregirse sin demoras indebidas

Las actualizaciones de seguridad deben ponerse a disposición de los usuarios afectados.

Divulgación coordinada de vulnerabilidades

Los fabricantes deben establecer un proceso público para la notificación de vulnerabilidades.

Esto incluye:

• un punto de contacto público para notificar vulnerabilidades
• procesos internos documentados
• procedimientos de divulgación responsable

Notificación de incidentes y vulnerabilidades

Los fabricantes deben notificar las vulnerabilidades explotadas activamente a través de la plataforma única de notificación de la CRA gestionada por ENISA.

Esto permite una coordinación transfronteriza más rápida de las medidas de ciberdefensa.

Normas que respaldan el cumplimiento de la CRA

La CRA permite a los fabricantes demostrar el cumplimiento de los requisitos esenciales de ciberseguridad mediante normas europeas armonizadas (artículo 27).

Hasta que se publiquen oficialmente normas armonizadas específicas para la CRA, las normas internacionales consolidadas pueden servir como marcos de referencia, por ejemplo:

• IEC 62443 (ciclo de vida de desarrollo seguro de productos)
• ISO/IEC 27001 (sistemas de gestión de la seguridad de la información)
• ISO 31000 (gestión de riesgos)
• ISO/IEC 29147 y 30111 (divulgación y tratamiento de vulnerabilidades)

El cumplimiento de las normas armonizadas puede generar una presunción de conformidad con arreglo al reglamento.

Una perspectiva suiza

Aunque la CRA es un reglamento de la UE, tiene efectos directos sobre los proveedores de software suizos.

Si un producto se ofrece en el mercado de la UE, su fabricante debe cumplir los requisitos de la CRA.

Para las empresas suizas, esto da lugar a una interesante combinación de:

• marco jurídico y de alojamiento suizo
• cumplimiento normativo de la UE

PassSecurium™ opera en un centro de datos suizo, lo que ofrece las siguientes ventajas:

• un marco claro de competencia jurídica
• altos estándares de protección de datos
• independencia de las infraestructuras de nube pública de los hiperescaladores

Al mismo tiempo, el cumplimiento de la CRA garantiza la compatibilidad con el entorno regulatorio de la UE.

Así, los proveedores suizos pueden combinar soberanía digital y conformidad con la normativa europea.

Nuestra hoja de ruta de preparación para la CRA

La preparación para el cumplimiento de la CRA es un proceso plurianual.

Nuestra hoja de ruta interna incluye varios pasos clave.

Fase 1 – Planificación del cumplimiento

• designación de un responsable de cumplimiento de la CRA
• inventario de productos y componentes
• clasificación de los productos según las categorías de la CRA
• análisis de brechas frente al anexo I

Fase 2 – Infraestructura de seguridad

• implantación de la generación de SBOM
• establecimiento de procesos de seguimiento de vulnerabilidades
• desarrollo de procedimientos de notificación de incidentes
• preparación de la documentación técnica

Fase 3 – Notificación y pruebas

• registro en la plataforma de notificación de ENISA
• implantación de la notificación de vulnerabilidades en 24 horas
• pruebas de los flujos de notificación
• establecimiento de procesos de divulgación coordinada

Fase 4 – Evaluación de la conformidad

• selección de organismos de evaluación de la conformidad adecuados
• finalización de la documentación técnica
• realización de las pruebas de seguridad finales
• preparación del marcado CE y de la declaración UE de conformidad

El plazo final de cumplimiento es el 11 de diciembre de 2027.

Conclusión

La Cyber Resilience Act supone un cambio fundamental en la regulación de la ciberseguridad en Europa.

En lugar de normas voluntarias, la CRA introduce requisitos de seguridad obligatorios para los productos digitales.

Para los proveedores de soluciones de ciberseguridad, este reglamento refuerza un principio que ya debería ser la norma:

la seguridad debe integrarse en todo el ciclo de vida del producto, desde la arquitectura y el desarrollo hasta la gestión de vulnerabilidades y la transparencia.

En ALPEIN Software preparamos PassSecurium™ para el cumplimiento de la CRA con una estrategia de implantación estructurada y alineada con las normas internacionales de seguridad.

Nuestro objetivo no es solo el cumplimiento normativo, sino también ofrecer un alto nivel de seguridad, transparencia y confianza a nuestros clientes en Suiza y en toda Europa.

Fuentes:

https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act