La entrada en vigor del Reglamento Cyber Resilience Act (CRA) marca un punto de inflexión en la estrategia europea de ciberseguridad. Su relevancia no reside únicamente en los requisitos que establece para los productos con elementos digitales, sino en el cambio de paradigma que introduce, ya que la seguridad pasa a convertirse en una responsabilidad que impacta a fabricantes, importadores, distribuidores y, de forma indirecta, a toda la cadena de suministro tecnológica.
A partir del 11 de septiembre, las compañías deberán notificar a las autoridades competentes aquellas vulnerabilidades e incidentes graves que afecten a sus productos digitales (abarcando desde los dispositivos conectados, incluyendo el software y hardware, a las aplicaciones móviles). Con ello, la ciberseguridad pasa a formar parte de los atributos esenciales de un producto, elevándose al mismo nivel que la calidad, la fiabilidad o el rendimiento.
Este requerimiento llega en un momento especialmente relevante. La creciente sofisticación de los ciberataques, la profesionalización de los grupos criminales y la interdependencia entre plataformas, dispositivos y servicios digitales han convertido las vulnerabilidades en riesgos sistémicos. Una debilidad en un único componente de software puede afectar simultáneamente a miles de organizaciones, infraestructuras críticas y millones de usuarios. Por ello, la ciberseguridad deja de ser un asunto tecnológico para convertirse en un factor determinante de confianza y competitividad.
La obligación de notificar vulnerabilidades e incidentes graves introduce, además, un principio transformador, pues la transparencia pasa a formar parte de la responsabilidad corporativa. En este nuevo escenario, la capacidad para identificar, gestionar y comunicar adecuadamente los riesgos de seguridad será tan relevante como la propia capacidad para prevenirlos.
Sin embargo, el principal desafío radicará en incorporar la norma en las organizaciones. Estas, en muchos casos, continúan abordando la ciberseguridad de manera fragmentada. El CRA no afecta únicamente a los equipos de tecnología o seguridad. Sus implicaciones alcanzan a áreas como gobierno corporativo, gestión de riesgos, desarrollo de producto, compras, cumplimiento normativo y, entre otras, a las relaciones con clientes y proveedores.
Precisamente ahí reside uno de los principales retos. Muchas compañías pueden verse tentadas a interpretar el CRA como un ejercicio de cumplimiento documental. El reglamento, no obstante, exige mucho más: seguridad desde el diseño, gestión continuada de vulnerabilidades, trazabilidad de componentes, periodos de soporte definidos, documentación técnica y capacidad de reporte ante las autoridades competentes. También determina la obligación de revisar las relaciones contractuales para evitar que aquellas responsabilidades que correspondan al fabricante o proveedor terminen trasladándose a quienes adquieran la tecnología.
La complejidad aumenta si se tiene en cuenta que la cadena de suministro se ha convertido en uno de los principales vectores de riesgo. Según el informe ‘El Estado de la Ciberseguridad en España 2026’, elaborado por Deloitte, el 83% de las organizaciones reconoce dificultades para obtener garantías suficientes de seguridad por parte de terceros y proveedores tecnológicos, mientras que el 77% de los CISO identifica la inteligencia artificial y las nuevas tecnologías como uno de los principales retos de ciberseguridad. Estos datos reflejan que proteger únicamente los sistemas propios ya no es suficiente, al depender la infraestructura digital significativamente de componentes y servicios externos.
En este contexto, las compañías tendrán que revisar con mayor profundidad la composición y gobernanza de sus cadenas de suministro, evaluando no solo la calidad técnica de los productos y servicios adquiridos, sino también el grado de madurez en ciberseguridad de los proveedores que los desarrollan. Esta revisión resultará especialmente relevante para garantizar el cumplimiento de los estándares europeos cuando intervengan empresas establecidas fuera de la Unión Europea, cuyos marcos regulatorios pueden imponer exigencias menos estrictas en materia de desarrollo seguro, gestión de vulnerabilidades o transparencia de los productos con elementos digitales.
La adaptación efectiva a esta normativa europea exige, asimismo, conocer con precisión la exposición real de cada organización. Esto implica identificar todos los productos con elementos digitales y los componentes de terceros que los integran, incluidos software embebido, bibliotecas abiertas y servicios conectados. Sin esa visibilidad resultará difícil evaluar riesgos, determinar obligaciones regulatorias o demostrar diligencia ante reguladores y clientes.
También será necesario reforzar la capacidad para detectar, evaluar y corregir vulnerabilidades de forma continua. El CRA convierte este aspecto en una exigencia estructural. Las empresas deberán disponer de mecanismos que permitan identificar fallos de seguridad con rapidez, valorar su impacto, priorizar aquellas actuaciones pertinentes y comunicar adecuadamente a los clientes y a las autoridades cuando sea necesario.
Por último, cobrará especial importancia la coordinación entre los equipos de respuesta a incidentes, las áreas jurídicas y la función de comunicación corporativa. Determinar qué debe notificarse, en qué plazos y con qué evidencias será un factor clave para gestionar adecuadamente cualquier incidente y evitar que un problema técnico termine convirtiéndose en una crisis reputacional.
El verdadero alcance del CRA no radica únicamente en imponer nuevas obligaciones regulatorias. Su aportación más relevante es impulsar un modelo en el que la seguridad pasa a formar parte de la responsabilidad asociada al producto digital durante todo su ciclo de vida. En el nuevo escenario europeo, la diferencia entre cumplir y liderar no vendrá marcada exclusivamente por la tecnología, sino por la capacidad de generar confianza en un entorno cada vez más dependiente de lo digital.
Francisco Costas, socio de Ciberseguridad de Deloitte
Vicente Moret, counsel de Derecho Digital y Ciberseguridad de Deloitte Legal
Artículo publicado originalmente en el Blog de Fide en El Confidencial
