Ciberseguridad, sistemas y cumplimiento
Reglamento de Ciberresiliencia: adapta tu software y tus dispositivos
La adaptación al Reglamento de Ciberresiliencia te importa si fabricas, importas o vendes en la UE productos con elementos digitales: programas, apps o aparatos conectados.
Respuesta corta
El Reglamento de Ciberresiliencia es el Reglamento (UE) 2024/2847. Exige que los productos con elementos digitales que se venden en la Unión, desde un programa instalable hasta un dispositivo conectado, se diseñen con seguridad, tengan un proceso para gestionar vulnerabilidades y reciban actualizaciones durante su vida útil. Sus obligaciones se aplican de forma escalonada.
¿A quién le afecta?
Afecta a quien fabrica software que el cliente instala o aparatos que se conectan a una red, y también a importadores y distribuidores, que deben revisar lo que venden.
Fabricantes de software
Empresas que venden un programa o una app que el cliente instala.
Fabricantes de dispositivos
Cámaras, cerraduras, sensores o cualquier aparato que se conecte a una red.
Importadores y distribuidores
También deben comprobar lo que ponen en el mercado.
¿Qué trabajo hacemos contigo?
Contigo listamos los componentes de terceros de tu producto, montamos un proceso para corregir vulnerabilidades y publicar actualizaciones, preparamos la documentación técnica y revisamos el diseño desde el punto de vista de la seguridad.
Inventario de componentes
Lista de las librerías y piezas de terceros que lleva tu producto.
Gestión de vulnerabilidades
Un procedimiento para recibir avisos, corregir fallos y publicar actualizaciones.
Documentación técnica
Lo que el producto necesita tener documentado para su evaluación.
Revisión del diseño
Contraseñas por defecto, cifrado y actualizaciones seguras desde el principio.
Preguntas frecuentes
¿Qué pasa con los productos que ya vendí antes de que se aplique el Reglamento de Ciberresiliencia?
Como regla general, el reglamento mira a los productos que se ponen en el mercado a partir de sus fechas de aplicación, aunque hay matices. Conviene revisar tu catálogo modelo a modelo.
¿Necesito un equipo de seguridad propio para gestionar las vulnerabilidades de mi producto?
No necesariamente. Lo importante es que haya un proceso claro y un responsable; la evaluación técnica puede apoyarse en ayuda externa.
¿El Reglamento de Ciberresiliencia afecta a una empresa que solo usa software?
No como usuaria: las obligaciones recaen en fabricantes, importadores y distribuidores de productos con elementos digitales.
¿El Reglamento de Ciberresiliencia afecta al software libre?
Trata de forma distinta el software libre desarrollado sin actividad comercial; si lo monetizas, conviene revisar tu caso con detalle.
¿Desde cuándo hay que cumplir el Reglamento de Ciberresiliencia?
Se aplica por fases. Consulta las fechas de cada obligación en nuestra página de normativas y en el texto oficial.
¿Qué es una SBOM y por qué la pide el Reglamento de Ciberresiliencia?
Es la lista de materiales del software: todas las librerías y componentes de terceros que lleva tu producto, con su versión. El reglamento la exige dentro de la documentación técnica porque, cuando aparece una vulnerabilidad en una librería popular, permite saber en minutos qué productos están afectados y cuáles hay que actualizar.
¿Qué sanciones prevé el Reglamento de Ciberresiliencia?
Por incumplir los requisitos esenciales, las multas pueden llegar a 15 millones de euros o al 2,5 % del volumen de negocio mundial anual, la cifra que sea mayor. Hay importes menores para otras infracciones, y el texto pide tener en cuenta el tamaño de la empresa, con atención especial a microempresas y pymes.
¿Si solo distribuyo productos de otros fabricantes, qué me toca hacer?
Como distribuidor debes comprobar que el producto lleva el marcado CE, la documentación y las instrucciones exigidas, y no venderlo si sabes que no cumple. Si detectas una vulnerabilidad, tienes que informar al fabricante. Si lo vendes con tu propia marca, asumes las obligaciones del fabricante.
Ejemplo aplicado
Ejemplo: un fabricante de termostatos conectados con 12 personas y app propia
Imagina un pequeño fabricante de Castellón con 12 personas que diseña termostatos wifi para viviendas y los vende en España y Francia, junto con una app para controlarlos. El firmware usa varias librerías de código abierto y nadie tiene una lista de cuáles, ni de qué versión. Las actualizaciones se publican cuando se puede, sin un proceso fijo.
Se empieza por el inventario de componentes del firmware y de la app, una SBOM, para saber qué piezas de terceros llevan y cuáles tienen fallos conocidos. Después se monta un proceso de vulnerabilidades: una dirección para que cualquiera pueda avisar de un fallo, un responsable que lo evalúa y un calendario para publicar el parche. Se define cuántos años recibirá actualizaciones cada modelo y se prepara la documentación técnica para los productos nuevos.
Lo esperable es que el fabricante llegue a las fechas de aplicación del reglamento con el trabajo de base hecho. Y, además, puede usarlo como argumento comercial ante distribuidores que ya empiezan a preguntar por el soporte de seguridad.
Precio
Presupuesto cerrado antes de empezar, después de un diagnóstico gratuito en el que vemos qué necesitas de verdad.
Ver precios y packs →Plazo
Te damos las fases y las fechas por escrito en la propuesta, antes de que firmes nada.
Pedir diagnóstico gratis →Fechas clave del Reglamento (UE) 2024/2847
El Reglamento de Ciberresiliencia entró en vigor el 10 de diciembre de 2024 y se aplica en tres escalones:
- 11 de junio de 2026: disposiciones sobre los organismos que evaluarán la conformidad de los productos.
- 11 de septiembre de 2026: los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos. Esta obligación ya está en marcha.
- 11 de diciembre de 2027: se aplica todo lo demás, incluidos los requisitos de diseño seguro, la documentación técnica y el marcado CE.
La notificación tiene plazos cortos: una alerta inicial en 24 horas desde que el fabricante conoce el problema, una notificación más completa en 72 horas y un informe final posterior, a través de la plataforma única que gestiona ENISA. Si hoy vendes un producto afectado, necesitas ya un procedimiento para cumplirlo. Consulta el resto de plazos en normativas para empresas.
¿Tu producto entra en el reglamento? Ejemplos orientativos
Entra si es un producto con elementos digitales que se conecta, directa o indirectamente, a otro dispositivo o a una red, y se comercializa en la UE. Algunos casos:
| Producto | ¿Afectado? |
|---|---|
| Programa de escritorio que vendes con licencia | Sí |
| App móvil de pago o ligada a un aparato | Sí |
| Cerradura, sensor o termostato conectado | Sí, el hardware y su firmware |
| Servicio web puro sin producto asociado | En general no; puede afectarle NIS2 |
| Software a medida para un único cliente | Depende del caso; conviene revisarlo |
| Productos sanitarios y vehículos | No, tienen su propia normativa |
La plataforma en la nube que hace funcionar un aparato conectado sí cuenta como parte del producto. Si desarrollas soluciones de este tipo, mira también nuestro software especializado.
Lo que un pequeño fabricante debería tener listo antes de diciembre de 2027
Un fabricante pequeño llega a tiempo si empieza ya por la documentación y por el proceso de vulnerabilidades. La lista de trabajo:
- Una lista de componentes de software (SBOM) de cada producto, actualizada con cada versión.
- Un canal público para que cualquiera pueda informar de vulnerabilidades, con su política de divulgación.
- Un periodo de soporte definido y comunicado; como regla general, de al menos cinco años salvo que el uso previsto del producto sea más corto.
- Actualizaciones de seguridad que se puedan distribuir por separado de las de funciones nuevas.
- Configuración segura de fábrica: sin contraseñas por defecto compartidas y con cifrado de los datos sensibles.
- Evaluación de riesgos y documentación técnica conservadas al menos diez años.
Si además vendes a empresas de sectores críticos, te tocará responder cuestionarios de seguridad; lo vemos en la adaptación a NIS2 para proveedores.