El Cyber Resilience Act obliga desde este viernes a notificar ciberataques: así es el papel de las empresas

Archivo - Cyber Security Protection Firewall Interface Concept- MAGNIFIC - Archivo

   MADRID, 9 Sep. (Portaltic/EP) -

   A partir de este viernes 11 de septiembre el sector de la ciberseguridad entrará en una nueva etapa con el Cyber Resilience Act, que exigirá a las empresas notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos digitales, con multas de hasta 15 millones de euros.

   Las amenazas de ciberseguridad evolucionan rápidamente y, frente a ello, las organizaciones replantean su estrategia para construir resiliencia, yendo más allá de la capacidad de responder ante un ataque e incluyendo desde la preparación de sus profesionales hasta la detección de amenazas y el desarrollo de estrategias de defensa, sobre todo, con métodos que sean capaces de escalar al mismo ritmo que sus entornos tecnológicos.

   En este marco, Europa también quiere garantizar que las empresas lleven a cabo estos objetivos y acelerar este cambio en el foco de la ciberseguridad. Para ello, desarrolló el Cyber Resilience Act (CRA, por sus siglas en inglés), un reglamento que establece requisitos obligatorios de ciberseguridad para los productos de 'hardware' y 'software' con elementos digitales comercializados en la Unión Europea.

   Esta regulación, que entró en vigor en diciembre de 2024, abarca desde aplicaciones hasta todos los equipos y programas informáticos -'smartphones', sistemas operativos o 'routers', pero también monitores de bebés, relojes inteligentes, cortafuegos, etc.-, que deberán cumplir unos requisitos de ciberseguridad mínimos, proporcionales al nivel de riesgo asociado a cada uno de ellos.

   Con ello, la Comisión Europea pretende afrontar una problemática que muchos productos digitales presentan. Es el caso de niveles insuficientes de seguridad o no recibir las actualizaciones necesarias a tiempo, "mientras empresas y consumidores tienen dificultades para identificar qué productos ofrecen unas garantías adecuadas", como han explicado al respecto desde el distribuidor de soluciones IT, Ingram Micro.

   Esto se debe a que, desde su posición, la compañía observa el papel de fabricantes, partners y clientes en materia de ciberseguridad, y puede evaluar las necesidades del mercado y el impacto que tiene la nueva normativa en las empresas.

   "Las organizaciones necesitan anticiparse, conocer los riesgos asociados a su infraestructura y disponer de una estrategia que les permita reaccionar rápidamente cuando se produce un incidente. El Cyber Resilience Act refuerza precisamente esa visión de la seguridad durante todo el ciclo de vida de la tecnología", ha manifestado la respecto el director de Advanced Solutions de Ingram Micro, Martin Trullás.

NUEVA FASE DE APLICACIÓN DEL CRA: OBLIGACIONES DE NOTIFICACIÓN

   Así, antes de la aplicación completa de las obligaciones de esta Ley de Ciberresiliencia europea, con fecha prevista para el 11 de diciembre de 2027, el distribuidor de soluciones ha recordado que las empresas deberán tener en cuenta una nueva fase de aplicación, que comienza este viernes 11 de septiembre y que, de no adaptarse, puede ocasionar consecuencias "importantes".

   Concretamente, a partir de este viernes comenzarán a aplicarse las obligaciones de notificación. Esto es, que los fabricantes tendrán que notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos con elementos digitales.

   Además, la ley indica que estos incidentes se deberán notificar rápidamente, con un plazo de alerta temprana de un máximo de 24 horas desde que se tiene conocimiento del problema y una notificación con toda la información necesaria en un plazo de máximo 72 horas.

   Sin embargo, Ingram Micro ha subrayado que la ley no solo pretende que las compañías comuniquen sus incidentes, sino que también introduce requisitos de ciberseguridad que engloban desde planificación, a diseño, desarrollo y mantenimiento de los productos, con obligación de gestionar sus vulnerabilidades durante todo su ciclo de vida.

   Esto se debe a que la seguridad "no puede añadirse al final del proceso", sino que "tiene que formar parte de la tecnología desde que se diseña y acompañarla durante su vida útil", como ha asegurado Trullás.

   Por tanto, el directivo ha valorado que las empresas deben revisar procesos y conseguir que fabricantes, distribuidores, partners y clientes "trabajen de una forma todavía más coordinada", lo que habitualmente requiere un periodo prolongado. Esto hace que no se deba interpretar 2027 como el momento en el que empezar a prepararse para cumplir la normativa, según Trullás, "el primer cambio llega ya este septiembre".

   También cabe resaltar que, para los incumplimientos más graves de esta normativa, las empresas se podrán enfrentar a multas de hasta 15 millones de euros o el equivalente al 2,5 por ciento de la facturación anual mundial de la empresa en cuestión.

REFORZAR LA CIBERSEGURIDAD EN TODOS LOS NIVELES

   Además, desde Ingram Micro han puntualizado que la normativa no afecta únicamente al fabricante, sino que también establece obligaciones para los diferentes operadores económicos que intervienen en la comercialización del producto digital.

    Por tanto, los requisitos del CRA se deben respetar a lo largo de toda la cadena de valor. Esto implica conocer qué tecnología se incorpora a una infraestructura, cómo se han gestionado sus vulnerabilidades, qué actualizaciones recibirá o qué garantías ofrece el fabricante durante su periodo de soporte, como ha explicado la compañía.

   Todo ello se traduce en que, a la hora de tomar decisiones tecnológicas, las organizaciones tendrán que tener la ciberseguridad en mente en todo momento.

    Un ejemplo de ello es una empresa que renueva sus quipos incorporando cámaras de videovigilancia conectadas. Ya no solo deberá valorar las prestaciones o coste de los equipos, sino también "conocer cómo se gestionarán posibles vulnerabilidades, durante cuánto tiempo recibirán actualizaciones de seguridad o qué mecanismos existen para responder ante un incidente". Es decir, la ciberseguridad pasa a ser una problemática que cuidar de forma conjunta.

    Es por ello que la normativa europea exige que empresas y consumidores puedan identificar fácilmente los servicios y productos que incorporan características adecuadas de ciberseguridad, que deberán estar marcados con el símbolo 'CE' para acreditar su conformidad con los requisitos de la legislación de la Unión Europea para su comercialización.

   "Las amenazas van a seguir evolucionando independientemente del calendario regulatorio. Sin embargo, aquellas organizaciones que aprovechen este periodo para anticiparse no solo estarán mejor preparadas para cumplir con el nuevo marco, sino también para enfrentarse a un escenario de ciberseguridad cada vez más complejo y ser más resilientes", ha sentenciado Trullás.

   Con todo, Ingram Micro ha remarcado que, según sus conocimientos, "el canal tecnológico puede desempeñar un papel relevante como nexo entre fabricantes, partners y clientes". Así, como distribuidor global y al trabajar con un amplio ecosistema de proveedores tecnológicos y especialistas en seguridad, la plataforma ha asegurado que puede ayudar a acceder a soluciones y conocimiento para "reforzar la protección de sus clientes" en esta nueva etapa.