En diciembre pasado, casi en silencio, entr贸 en vigor en la Comunida Europea la Ley de Ciberresiliencia (CRA), cuyas principales obligaciones ser谩n aplicables en diciembre del 2027. Esta normativa har谩 que todo producto digital que llegue a los consumidores europeos deba cumplir requisitos de ciberseguridad. El ingeniero catal谩n Roger Riera es miembro del grupo de expertos de la Comisi贸n Europea para la aplicaci贸n de la ley y responsable t茅cnico en Applus+ Laboratories.
驴En qu茅 consiste esta ley?
Es la culminaci贸n de toda una serie de regulaciones que est谩n siendo promovidas desde la Uni贸n Europea. Cualquier producto con elementos digitales, es decir, que tenga un hardware, un software, o una combinaci贸n de ambos, tiene que cumplir con la ley. El impacto es muy grande porque todos deber谩n cumplir con ciertos requisitos que acabar谩n influyendo en que los productos sean seguros o al menos se informe a los consumidores cuando un producto tiene vulnerabilidades. Podr谩n haber multas si no se cumple con esto.
驴No hay excepciones?
La comunidad de Open Source (c贸digo abierto)coment贸 que el impacto era muy grande para ellos y realmente no hay tanto riesgo en sus productos. Al final, est谩n fuera. Hay otros productos a los que tampoco les afecta, como los coches y los productos aeron谩uticos, porque ya tienen otras regulaciones, y tambi茅n los productos de seguridad nacional.
驴C贸mo hacer entender al p煤blico que casi todo, hasta la aspiradora, est谩 afectado?
Cualquier producto. Un reloj digital, no solo es un reloj digital, sino sus elementos, como los chips. Quien fabrica el reloj ensambla componentes que ha comprado en el mercado europeo, y tambi茅n tiene que cumplir el reglamento
驴En qu茅 situaci贸n est谩 ahora la aplicaci贸n de la ley?
Ahora hay un un tiempo de imp谩s en el cual se van a publicar gu铆as sobre c贸mo cumplir con el CRA y se dar谩n unos detalles un poco m谩s espec铆ficos.
驴Por qu茅 la ley est谩 en vigor desde el a帽o pasado y no ser谩 vigente del todo hasta el 2027?
La raz贸n por la cual se dan tres a帽os entiendo que es porque el impacto es muy grande. Al final, lo importante es que las empresas tienen que ser conscientes que llegado en diciembre del 2027 deber谩n estar cumpli茅ndola.
驴Hay algo comparable a esto?
Ahora mismo hay regulaciones que obligan a que los productos sean seguros, por ejemplo, para la salud de las personas, como los productos farmac茅uticos, que llevan un prospecto. Con el CRA yo veo el equivalente pero a nivel de ciberseguridad. Tendr谩s una gu铆a de cu谩ndo usar el producto, c贸mo usarlo de forma segura y adem谩s unas informaciones que te dir谩n que hay vulnerabilidades que te pueden afectar.
驴Qu茅 pasa con los productos que ya tenemos todos aquellos que se puedan actualizar de forma remota?
No les afecta la regulaci贸n, que dice expl铆citamente que s贸lo se aplica los productos puestos en el mercado despu茅s de una cierta fecha.
驴El grupo de expertos asesor en el que participa tiene ya perspectivas sobre las recomendaciones que debe hacer?
El CRA define diferentes tipos de productos en base al riesgo asociado y los define como 鈥榩or defecto鈥�, 鈥榠mportantes鈥� o 鈥榗r铆ticos鈥�. Estos dos 煤ltimos son los que tendr谩n que seguir una evaluaci贸n un poco m谩s compleja, pero ya son productos que hasta ahora ya ten铆an ciertas regulaciones, por ejemplo, las tarjetas inteligentes o las tarjetas de cr茅dito. Hoy en d铆a ya tienen regulaciones muy complejas que seguir谩n teniendo con el CRA. Donde veo m谩s impacto es en los que llaman 鈥榩or defecto鈥�, que son los productos en los que hasta ahora la ciberseguridad era algo que no se ten铆a mucho en cuenta. Se dice que constituyen el 90% de los que est谩n en el mercado.
Lee tambi茅n
驴Alg煤n tipo de producto concreto en el que vaya a tener un impacto m谩s grande?
El impacto es proporcional, basado en el riesgo. Por ejemplo, si tienes un chip que utilizas para abrir la taquilla del gimnasio, el riesgo es bajo. No se puede categorizar como el de una tarjeta de cr茅dito. Si categorizamos los productos por riesgo, piensa tambi茅n en la aplicaci贸n final, no solo pienses en la tipolog铆a del producto.
驴Qu茅 hace un grupo de expertos en este caso?
Lo que hacemos es ayudar a la Comisi贸n Europea a evaluar si el camino que estamos siguiendo realmente es el correcto. Es un trabajo m谩s de opini贸n, m谩s de intentar ir por el camino correcto. Pero realmente el trabajo, el grueso del trabajo lo est谩n llevando la Comisi贸n Europea y las organizaciones de estandarizaci贸n.
驴C贸mo de necesario es que regulemos que todo lo digital sea ciberseguro?
Es una buena ley. Tenemos una vida digital y tenemos que empezar a preocuparnos por ella. La Uni贸n Europea est谩 buscando una regulaci贸n para protegernos e intentando que el impacto no sea muy grande para el consumidor final.
驴C贸mo van a empezar a notar los cambios las empresas?
A partir de septiembre del 2026, las empresas empezar谩n a estar obligadas a reportar cualquier vulnerabilidad que est茅 siendo explotada en el en el mercado. Esto ser铆a el primer el primer hito. El segundo ser谩 cuando ya entre en vigor el CRA para todos los productos.
Seguridad
鈥淪i fabrico un m贸vil debo estar seguro de que no se puede explotar una vulnerabilidad en 茅l鈥�
Esto obligar谩 a un gran intercambio de informaci贸n entre las empresas.
Si manufacturo un tel茅fono m贸vil, debo estar seguro de que una vulnerabilidad no puede ser explotada en el mismo. Cualquier informaci贸n que pueda obtener del fabricante del chip har谩 que para m铆 sea mucho m谩s f谩cil evaluar el problema. Todav铆a falta un poco de gu铆a sobre si una vulnerabilidad es explotada, cu谩ndo hay que comunicarlo y cu谩ndo no. Esto creo que ser谩 de las primeras cosas que se van a publicar en cuanto a c贸mo gestionar ese tipo de cosas.
