Documento Técnico — Normativa UE
Resumen Ejecutivo · Reglamento (UE) 2024/2847
Ley de Ciberresiliencia Europea
Marco normativo horizontal de ciberseguridad para productos con elementos digitales en el mercado único europeo. Aplicable a fabricantes, importadores y distribuidores.
¿Qué es? La Ley de Ciberresiliencia es el primer reglamento horizontal de la UE que exige requisitos mínimos de ciberseguridad para todos los productos con elementos digitales comercializados en el mercado interior. Obliga a los operadores económicos a aplicar el principio de security by design y a gestionar activamente las vulnerabilidades durante todo el ciclo de vida del producto.
01
Definición y Alcance
¿Qué es y a quién afecta?
El Reglamento define como producto con elementos digitales cualquier hardware o software —incluidas las soluciones de procesamiento remoto de datos— que integre funciones de conectividad directa o indirecta a una red. Su alcance es horizontal: aplica a todos los fabricantes, importadores y distribuidores que operen en el mercado único europeo, con independencia del sector.
Se excluyen expresamente los productos cubiertos por regulación sectorial equivalente (dispositivos médicos regulados por el Reglamento (UE) 2017/745, equipos de aviación, vehículos de motor).
Objetivos estratégicos (arts. 2 y 3)
- Elevar la ciberseguridad: Garantizar un nivel mínimo armonizado en todos los productos digitales del mercado interior.
- Transparencia: Obligar a los fabricantes a proporcionar información clara sobre las propiedades de seguridad a usuarios finales.
- Responsabilidad en cadena: Distribuir obligaciones a lo largo de toda la cadena de valor, desde el diseño hasta la gestión post-comercialización.
Ejemplos de aplicación
Un fabricante alemán de routers domésticos que vende en toda la UE queda íntegramente sujeto a la norma. Del mismo modo, un proveedor de software ERP con módulos de conectividad debe cumplir los requisitos esenciales del Anexo I antes de su comercialización.
02
Implicaciones para las Empresas
Requisitos, certificación y obligaciones de reporte
Requisitos esenciales — Anexo I
- Diseño con superficie de ataque mínima, interfaces de red y protocolos seguros.
- Autenticación y control de acceso proporcionales al nivel de riesgo.
- Protección de la confidencialidad e integridad de los datos en reposo y en tránsito.
- Capacidad de actualización de seguridad durante un mínimo de 5 años desde la comercialización.
- Generación de registros de auditoría (logs) cuando resulte aplicable.
Evaluación de conformidad — Marcado CE (art. 27)
- Productos estándar: autoevaluación (módulo A) si se aplican normas armonizadas.
- Clase II y Críticos: intervención obligatoria de organismo notificado acreditado (Reglamento CE 765/2008).
Obligaciones de notificación — art. 14
- 24 horas: notificación a ENISA y autoridad nacional de cualquier vulnerabilidad activamente explotada.
- 72 horas: informe inicial con análisis de impacto y medidas de mitigación adoptadas.
- 14 días: informe final con descripción detallada, gravedad y correcciones implementadas.
Ejemplo de cumplimiento avanzado
Cisco Systems ha publicado un roadmap de adecuación con los controles del Anexo I integrados en su SDL. Telefónica ha incorporado los requisitos en su programa de certificación de proveedores industriales.
03
Productos y Sectores Afectados
Clasificación tripartita de productos (Anexos III y IV)
El nivel de criticidad determina el rigor del proceso de evaluación de conformidad exigido:
Estándar
Productos generales
Domótica, wearables, apps de productividad. Autoevaluación suficiente.
Clase I — Importantes
Alto impacto
SSOO, navegadores, antivirus, gestores de contraseñas.
Clase II — Importantes
Alta criticidad
Hipervisores, IDS/IPS, SIEM, microprocesadores de uso general.
Críticos
Infraestructura clave
TPM, tarjetas criptográficas, routers y switches empresariales.
Sectores con mayor impacto regulatorio
- Fabricación de dispositivos IoT industriales y de consumo.
- Industria del software (SaaS, plataformas embebidas).
- Telecomunicaciones y operadores de red.
- Automatización industrial y sistemas SCADA.
- Sanidad (dispositivos conectados no médicos) y automoción (sistemas de conectividad vehicular).
Ejemplo sectorial
Un fabricante de PLCs para plantas de tratamiento de agua deberá obtener evaluación de organismo notificado y mantener un programa activo de gestión de vulnerabilidades (arts. 13 y 14), dado el potencial impacto en infraestructuras críticas.
04
Calendario de Implementación
Fechas clave y plazos de transición — art. 71
| Fecha | Hito normativo |
|---|---|
| 20 nov. 2024 | Publicación en el Diario Oficial de la Unión Europea. |
| 10 dic. 2024 | Entrada en vigor. Inicio del período de adaptación para operadores económicos. |
| 11 sep. 2026 | Obligaciones de notificación de incidentes (art. 14) ya exigibles. Coordinación con la Directiva NIS2. |
| 11 dic. 2027 | ⚠ Plena aplicabilidad. Prohibición de comercializar productos no conformes en el mercado único. |
Recomendación de planificación
Las empresas deben iniciar su proceso de adecuación con al menos 18 meses de antelación a la fecha límite. La evaluación por organismos notificados puede requerir entre 6 y 12 meses según la complejidad del producto.
05
Consejos Prácticos
Hoja de ruta para la adaptación normativa
Una adecuación efectiva exige un enfoque transversal que involucre a TI, legal, ingeniería y dirección general.
- Inventario de productos: Clasificar toda la cartera conforme a los Anexos III y IV con un equipo multidisciplinar (TI, cumplimiento, ingeniería, legal).
- Security by Design: Adoptar un SDL documentado alineado con IEC 62443-4-1 o ISO/IEC 27034. Integrar herramientas SCA para gestión de dependencias de código abierto.
- Gestión documental: Designar un Product Security Officer. Conservar documentación técnica mínimo 10 años (art. 31). Implementar plantillas de notificación para los plazos de 24 h / 72 h / 14 días.
- Cadena de suministro: Incorporar cláusulas de ciberseguridad en contratos con proveedores y exigir un Software Bill of Materials (SBOM) para componentes críticos.
- Divulgación responsable (CVD): Establecer canales públicos de reporte conforme al art. 13. Bosch es referencia ENISA con su modelo PSIRT y portal público de vulnerabilidades.
Buena práctica ENISA
Bosch ha implementado un programa PSIRT con plazos de notificación alineados con el art. 14 y un portal público de divulgación de vulnerabilidades, citado por ENISA en su informe Good Practices for Security of IoT (actualización 2025).