El Cyber Resilience Act obliga desde hoy a notificar ciberataques en Europa

A partir de este viernes 11 de septiembre, las empresas en la Unión Europea deben notificar vulnerabilidades explotadas y ataques que comprometan la seguridad de sus productos digitales, con multas de hasta 15 millones de euros o el 2,5% de su facturación global. Esta obligación forma parte del Cyber Resilience Act, una normativa que busca fortalecer la seguridad en el mercado digital europeo.

El reglamento, vigente desde diciembre de 2024, impone requisitos mínimos de ciberseguridad en hardware y software comercializado en la UE, incluyendo desde smartphones y routers hasta dispositivos IoT como cámaras de videovigilancia y relojes inteligentes. El objetivo es reducir los niveles insuficientes de protección y facilitar la identificación de productos seguros para consumidores y empresas, en un contexto de amenazas en rápida evolución.

La regulación también establece que las organizaciones deben integrar la ciberseguridad en todas las fases del ciclo de vida de sus productos, desde el diseño hasta el mantenimiento. La comunicación rápida ante incidentes, con alertas en 24 horas y notificación completa en 72 horas, será obligatoria para responder eficazmente a las vulnerabilidades y reducir el impacto de los ataques.

Por su parte, las empresas deberán revisar y actualizar sus procesos internos y la coordinación con fabricantes, distribuidores y clientes. La normativa busca que la seguridad digital deje de ser un añadido al final del proceso, para convertirse en un elemento integral desde la concepción de los productos tecnológicos.

Este cambio normativo, que llegará plenamente en 2027, tendrá consecuencias relevantes en la cadena de valor de la tecnología. El incumplimiento de las obligaciones puede acarrear sanciones económicas severas, que pueden alcanzar los 15 millones de euros o el 2,5% de la facturación mundial, según la normativa europea.

En un escenario de amenazas en constante evolución, las organizaciones que anticipen estos requisitos podrán fortalecer su resiliencia y adaptarse mejor a un panorama cada vez más complejo. La normativa refuerza la necesidad de una estrategia integral de ciberseguridad, que involucre a todos los actores del mercado digital europeo.