La Ley de Ciberresiliencia europea —el Cyber Resilience Act, CRA— entró en vigor el 10 de diciembre de 2024, pero hasta ahora era una ley «en diferido»: casi todas sus obligaciones tenían fecha futura. La primera de esas fechas acaba de llegar: desde el 11 de septiembre de 2026 los fabricantes de productos digitales están obligados a notificar las vulnerabilidades que se estén explotando, con una alerta en 24 horas. Es el momento de contar qué es esta ley, a quién obliga de verdad y —lo que casi nadie explica— qué cambia para una empresa que no fabrica nada y solo compra routers, programas y equipos.
Qué es la CRA, en una frase
Es el reglamento (UE) 2024/2847, y regula la ciberseguridad de los productos con elementos digitales que se venden en Europa: hardware y software, desde un router o una cámara IP hasta un programa de gestión o una aplicación. La idea es simple: igual que una tostadora no puede venderse si da calambre, un producto digital no podrá venderse si trae vulnerabilidades conocidas, contraseñas por defecto o se queda sin actualizaciones a los seis meses. Al ser un reglamento —y no una directiva como NIS2— se aplica directamente en España, sin ley de transposición.
A quién obliga (y a quién no)
Las obligaciones recaen sobre quien pone el producto en el mercado: fabricantes, y en menor medida importadores y distribuidores. Si tu empresa desarrolla software que vende a terceros, o fabrica dispositivos conectados, la ley te habla a ti. Si eres una asesoría, una clínica, un taller o una tienda que usa productos de otros, no tienes obligaciones directas — pero sí tienes derechos nuevos, que es a lo que vamos más abajo.
Quedan fuera los productos que ya tienen su propia norma (dispositivos médicos, automoción, aviación) y el software libre desarrollado sin ánimo de lucro, que tiene un régimen aparte mucho más ligero.
Las fechas, corregidas
Circulan calendarios equivocados de esta ley (nosotros mismos publicamos uno en 2024 con una fecha mal). Este es el bueno, sacado del artículo 71 del reglamento:
- 10 de diciembre de 2024 — entrada en vigor.
- 11 de junio de 2026 — se aplica el capítulo de los organismos de evaluación de la conformidad (los que certifican los productos de más riesgo). No es una obligación para fabricantes.
- 11 de septiembre de 2026 — ya está en vigor: obligación de los fabricantes de notificar vulnerabilidades explotadas activamente e incidentes graves (artículo 14).
- 11 de diciembre de 2027 — aplicación completa: ningún producto podrá comercializarse sin cumplir los requisitos esenciales y llevar el marcado CE que lo acredite.
Qué tiene que hacer un fabricante desde este mes
La obligación que acaba de entrar en vigor tiene tres escalones, y todos pasan por la plataforma única de notificación que gestiona ENISA junto con los CSIRT nacionales (en España, INCIBE-CERT):
- Alerta temprana en 24 horas desde que se conoce que una vulnerabilidad del producto está siendo explotada.
- Notificación completa en 72 horas, con la gravedad, el impacto y las medidas correctoras disponibles.
- Informe final a los 14 días de tener el parche, con la causa y la solución.
Lo mismo aplica a los incidentes graves que afecten a la seguridad del producto (24 horas, 72 horas y un mes para el informe final). Y hay una obligación menos vistosa pero más importante para el día a día: el fabricante tiene que informar a los usuarios de la vulnerabilidad y de cómo corregirla, sin esperar.
Lo que cambia para tu empresa aunque no fabriques nada
Aquí está lo útil. A partir de diciembre de 2027 —y cada vez más desde ya, porque los fabricantes se están adaptando— comprar un producto digital en Europa te da garantías que hasta ahora no tenías:
- Un periodo de soporte declarado. El fabricante tiene que publicar hasta cuándo dará actualizaciones de seguridad: como mínimo cinco años, o la vida útil esperada del producto si es menor. Se acabó comprar un router que deja de recibir parches sin que nadie te avise.
- Actualizaciones de seguridad gratuitas y separadas de las funcionales, durante todo ese periodo.
- Sin vulnerabilidades conocidas en el momento de la venta y sin contraseñas por defecto universales.
- Un punto de contacto para reportar vulnerabilidades y una lista de componentes (SBOM) que el fabricante tiene que mantener, aunque no siempre publicar.
En la práctica, cuando compres un dispositivo o contrates un programa, ya puedes hacer tres preguntas que antes no tenían respuesta obligatoria: ¿hasta qué fecha tiene soporte de seguridad? ¿Cómo me avisáis de una vulnerabilidad? ¿Dónde están las actualizaciones? Un proveedor que no sepa contestarlas en 2026 no va a saber en 2027.
Lo que la ley no arregla: los productos que ya tienes
La CRA regula lo que se vende. No obliga a nadie a actualizar el router de 2018 que hay en tu oficina, ni el programa de gestión que compraste hace ocho años, ni el NAS que nadie ha tocado desde que se instaló. Y esos productos son, precisamente, por donde entran la mayoría de los ataques que vemos en pymes: un ransomware rara vez usa una vulnerabilidad nueva; usa una de hace dos años en un equipo que nadie parcheó.
Por eso, para una pyme, la ley es una buena excusa para hacer lo que ya tocaba:
- Un inventario honesto de todo lo que está conectado: equipos, servidores, router, NAS, cámaras, impresoras y programas, con la fecha de fin de soporte de cada uno. Lo que ya no recibe parches se sustituye o se aísla.
- Actualizaciones aplicadas, no solo disponibles. Es la mitad del trabajo de un mantenimiento informático serio: parchear, comprobar que el parche ha entrado y que nada ha dejado de funcionar.
- Copias fuera del alcance del atacante. Ninguna ley evita el incidente; lo que decide si un incidente es una anécdota o un cierre es tener copias supervisadas y deslocalizadas el día que hacen falta.
CRA y NIS2 no son lo mismo
Se confunden a menudo. La CRA regula productos (lo que se vende) y obliga a fabricantes. NIS2 regula organizaciones (cómo gestionan su seguridad) y obliga a empresas de sectores esenciales e importantes, y por contrato a sus proveedores. Una pyme puede verse afectada por NIS2 a través de un cliente grande; por la CRA, en cambio, se beneficia como compradora y solo tiene obligaciones si fabrica o desarrolla.
Preguntas frecuentes
Desarrollo software a medida para clientes. ¿Me afecta?
Si el software se entrega como producto que el cliente usa —aunque sea a un solo cliente—, en principio sí: eres fabricante a efectos de la CRA. Si lo que prestas es un servicio en la nube (SaaS), la CRA no lo cubre (ahí manda NIS2). Los desarrollos internos que no se comercializan tampoco.
¿Qué pasa con los productos que ya están en el mercado el 11 de diciembre de 2027?
Los productos comercializados antes de esa fecha no tienen que cumplir los requisitos esenciales, salvo que después sufran una modificación sustancial. La obligación de notificar vulnerabilidades, en cambio, ya se aplica a todos desde el 11 de septiembre de 2026.
¿Hay sanciones?
Sí, y serias: hasta 15 millones de euros o el 2,5 % de la facturación mundial por incumplir los requisitos esenciales, y hasta 10 millones o el 2 % por el resto de obligaciones. Las impondrá cada Estado; en España aún está por designar la autoridad de vigilancia del mercado.
¿Dónde puedo leer el texto oficial?
En el Diario Oficial de la UE, como Reglamento (UE) 2024/2847. INCIBE publica además guías en castellano y atiende dudas de empresas en el 017.
¿Quieres saber qué equipos y programas de tu empresa se han quedado sin soporte, y cuáles están por parchear? Lo vemos contigo: 924 290 155 o info@centroderespaldo.com.
