Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
La Unión Europea ha sentado las bases para la reforma de la ciberseguridad mundial con la recién promulgada Ley de Resiliencia de la Ciberseguridad (CRA), publicada oficialmente el 20 de noviembre de 2024. Al igual que el GDPR antes que ella, esta normativa está preparada para influir no solo en las empresas europeas, sino también en organizaciones y particulares de todo el mundo. Su alcance mundial se deriva de la realidad de que pocas empresas pueden permitirse fabricar productos separados para la UE y otros mercados. La CRA garantiza que los productos digitales de todo el mundo se adhieran probablemente a sus estrictos requisitos de ciberseguridad, y pretende aumentar la importancia de las cuestiones de seguridad de una mera idea de último momento a una preocupación central.
Por qué es importante la Ley de Resiliencia de la Ciberseguridad
La CRA se centra en mejorar la seguridad de los "productos con elementos digitales". Esto incluye hardware, software y dispositivos conectados, abordando las vulnerabilidades de ciberseguridad que los ciberdelincuentes explotan para causar daños generalizados. Como se destaca en el anexo I del Reglamento, los fabricantes están ahora obligados a adoptar una postura proactiva en materia de ciberseguridad a lo largo de todo el ciclo de vida de un producto, desde el diseño hasta la comercialización y más allá.
Anexo I: Plan para la seguridad de los productos digitales
Muchos de los requisitos prácticos de la ERC se recogen en el anexo I, en el que se detallan dos aspectos clave: los requisitos de ciberseguridad para las propiedades de los productos y los requisitos de gestión de vulnerabilidades. He aquí algunos de los aspectos más destacados:
Parte I: Requisitos de ciberseguridad para productos digitales
- Estado de vulnerabilidad: Los productos deben enviarse libres de vulnerabilidades conocidas.
- Diseño basado en el riesgo: Los productos deben diseñarse con un nivel adecuado de ciberseguridad, proporcional a los riesgos identificados durante las evaluaciones.
- Seguridad por defecto: Los productos deben enviarse con una configuración segura por defecto, a menos que se personalicen para un uso específico de la empresa.
- Actualizaciones automáticas de seguridad: Las vulnerabilidades deben abordarse mediante actualizaciones, con funciones de automatización de la ciberseguridad como actualizaciones automáticas activadas por defecto y opciones de exclusión fáciles de usar.
- Protección e integridad de los datos: Los productos deben salvaguardar la confidencialidad, integridad y disponibilidad de los datos mediante encriptación y controles de acceso.
- Resistencia a los ataques: Deben existir medidas para garantizar la disponibilidad y mitigar el impacto de incidentes como los ataques de denegación de servicio.
- Superficie de ataque mínima: El diseño debe limitar las interfaces externas y reducir las posibles vías de explotación.
Parte II: Requisitos para la gestión de vulnerabilidades
- Lista de materiales de software (SBOM): Los fabricantes deben mantener una SBOM detallada para identificar vulnerabilidades en los componentes. Esta SBOM debe contener, al menos, la lista de dependencias de primer nivel.
- Corrección rápida: Las vulnerabilidades deben remediarse rápidamente, con actualizaciones proporcionadas por separado de las actualizaciones de características cuando sea factible.
- Transparencia e información: Las divulgaciones sobre vulnerabilidades corregidas, impactos y mitigaciones deben ser publicadas, salvo riesgos significativos de explotación, en cuyo caso la divulgación pública puede ser retrasada (pero no impedida).
- Divulgación coordinada de vulnerabilidades: Es obligatorio contar con un mecanismo claro para informar y abordar las vulnerabilidades.
- Distribución segura de actualizaciones: Las actualizaciones deben difundirse de forma segura, gratuita e incluir mensajes de aviso para los usuarios.
Implicaciones más amplias
La CRA va más allá del establecimiento de normas de ciberseguridad para los productos digitales: reconfigura las prácticas actuales de ciberseguridad en el mundo real. Las empresas, especialmente las multinacionales, adoptarán prácticas conformes con la CRA de forma universal para agilizar las operaciones y reducir costes. Esto refleja el efecto dominó global observado con el GDPR, que afectó a las normas de privacidad de datos en todo el mundo.
Retos para los fabricantes
Aunque la CRA marca un camino prometedor para un ecosistema digital más seguro, introduce importantes retos para las empresas:
- Costes de implantación: Las pequeñas y medianas empresas pueden tener dificultades para cumplir los estrictos requisitos.
- Gestión del ciclo de vida: Garantizar la asistencia continua y las actualizaciones de todos los productos podría sobrecargar los recursos de los administradores de Linux y del equipo de seguridad.
- Normalización mundial: Alinearse con la CRA al tiempo que se cumplen las normativas locales no comunitarias podría complicar el cumplimiento.
Oportunidades para las organizaciones La adopción de las normas CRA también abre puertas:
- Confianza del consumidor: Los productos que cumplan los requisitos de la CRA atraerán a los consumidores preocupados por la seguridad.
- Ventaja de mercado: Los pioneros pueden obtener una ventaja competitiva en los mercados que valoran la ciberseguridad.
- Innovación: La ley alienta los avances en el diseño de productos seguros, fomentando la innovación en ciberseguridad.
Observaciones finales
La Ley de Resiliencia de la Ciberseguridad es algo más que otra normativa: es un paso hacia la fortificación del mundo digital frente a las amenazas. Al exigir a los fabricantes que den prioridad a la ciberseguridad en todas las etapas, la CRA pretende dar forma a productos que sean más seguros para los consumidores, las empresas y los gobiernos por igual. Su influencia llegará sin duda más allá de Europa, estableciendo un nuevo punto de referencia mundial para la resistencia de la ciberseguridad.
Las organizaciones de todo el mundo deberían empezar a prepararse ya, integrando los principios de CRA en sus procesos de desarrollo para mejorar su propio posicionamiento en materia de ciberseguridad y el de sus productos.
