Ley de Ciberresiliencia: qué es y a quién afecta

A medida que la tecnología ha avanzado, la ciberseguridad ha pasado a ser un tema crítico en la agenda de cualquier empresa. Y es que con cada innovación tecnológica, surgen nuevos riesgos y amenazas que nos exigen respuestas ágiles y seguras para proteger una compañía. De hecho, un 45% de las empresas españolas afirman que esperan una inversión en tecnología alta o muy alta, por ser un elemento crítico para la competitividad.

Ante esta situación, la Unión Europea ha introducido la Ley de Ciberresiliencia, una propuesta legislativa crucial destinada a reforzar la protección contra las amenazas cibernéticas y asegurar que los productos con componentes digitales en el mercado sean seguros. ¿Quieres saber más sobre ella? ¡Sigue leyendo!

¿Qué es la Ley de Ciberresiliencia?

La Ley de Ciberresiliencia de la Unión Europea es una ley diseñada para fortalecer la seguridad de los productos con componentes digitales en el mercado europeo. Esta ley busca abordar las brechas existentes en la legislación anterior, asegurando que todos los productos digitales, desde dispositivos pequeños hasta infraestructuras críticas, cumplan con estrictos requisitos de ciberseguridad.

Con el objetivo principal de proteger a los consumidores y las empresas que compran o utilizan productos o software con un componente digital, pretende llegar a todos los productos con elementos digitales cuyo uso previsto incluya una conexión de datos directa o indirecta – lógica o física – a un dispositivo o red. Esta definición incluye, por tanto, productos de hardware o software con conexiones por cable y/o inalámbricas.

En este sentido, se busca facilitar que los consumidores cuenten con suficiente información sobre la ciberseguridad de los productos que adquieren. A su vez, se trata de una medida que incita a los fabricantes a mejorar la seguridad de productos desde la fase de diseño y desarrollo, pero también a través de todo su ciclo de vida. 

Principales puntos y requisitos de la Ley  

• Requisitos de diseño seguro: los productos deben ser diseñados para asegurar un nivel adecuado de ciberseguridad, adaptado a los riesgos asociados con su uso previsto.
• Evaluación de conformidad: dependiendo de la categoría de riesgo del producto, se requerirán evaluaciones de conformidad, que pueden incluir autoevaluaciones o evaluaciones de terceros.
• Gestión de vulnerabilidades: los fabricantes deben implementar procesos para gestionar las vulnerabilidades de manera efectiva, incluyendo la documentación y la resolución rápida de las mismas.
• Transparencia y pruebas: se exige que los fabricantes sean transparentes sobre las vulnerabilidades y que realicen pruebas regulares y efectivas para mantener la seguridad de los productos.

¿A quién afecta?

La Ley de Ciberresiliencia (CRA) es una ley de la UE que afecta a todos los productos con elementos digitales que tengan capacidad de comunicación. La CRA cubre tanto el hardware como el software y se basa en el Nuevo Marco Legislativo (New Legislative Framework). Asimismo, establece requisitos que deben cumplirse al comercializar los productos. Una vez que los productos cumplan con estas normas, mostrarán la marca CE.

Sin embargo, esto implica que los productos no conformes ya no puedan comercializarse. Además, el proveedor también debe dejar de vender los productos existentes si no cumplen los requisitos de ciberseguridad.

Fabricantes

Los fabricantes de productos con elementos digitales deberán asegurarse de que estos productos cumplan con los requisitos esenciales de ciberseguridad desde la fase de diseño hasta la producción y comercialización.

Esto incluye la implementación de medidas de seguridad por diseño, la realización de evaluaciones de riesgos cibernéticos y la gestión continua de vulnerabilidades. Además, deberán llevar a cabo o asegurar que se realicen evaluaciones de conformidad, y documentar estos procesos en una declaración de conformidad de la UE​.

Importadores

Los importadores deberán verificar que los productos que introduzcan en el mercado de la UE cumplan con las evaluaciones de conformidad realizadas por los fabricantes. Así pues, si descubren vulnerabilidades o tienen motivos para creer que un producto puede presentar un riesgo cibernético, están obligados a informar tanto a los fabricantes como a las autoridades de vigilancia del mercado​.

Distribuidores

Al igual que los importadores, los distribuidores deben asegurarse de que los productos que comercializan cuentan con la debida evaluación de conformidad y marcas CE correspondientes antes de ser puestos en el mercado.

Asimismo, juegan un papel crucial en la vigilancia y tienen la obligación de informar de posibles riesgos cibernéticos asociados con cualquiera de los productos que distribuyen.

Artículos recomendados:

• Auditoría de ciberseguridad: La protección esencial para tu negocio en la era digital
• Las empresas españolas confían en Aitana para implantar soluciones de ciberseguridad
• Las empresas españolas confían en Aitana y en Microsoft 365 para mejorar su ciberseguridad
• Los ataques de ciberseguridad. Del ransomware a la extorsión

Consecuencias de incumplir la Ley de Ciberresiliencia

Sanciones económicas

Las multas por incumplimiento para los fabricantes pueden alcanzar hasta 15 millones de euros o el 2.5% de su facturación global anual, dependiendo de cuál sea mayor. En el caso de los importadores y distribuidores, las multas pueden llegar hasta los 10 millones de euros o el 2% de su facturación global anual.

Estas multas están diseñadas para ser disuasorias y reflejan la importancia de cumplir con los estándares de ciberseguridad en todos los productos con elementos digitales.

Medidas correctivas

Además de las multas, las autoridades de vigilancia del mercado pueden imponer medidas correctivas. Esto puede incluir la retirada del producto del mercado, la prohibición de su comercialización o la retirada de la circulación.

Y es que estas medidas no solo afectan a la operación inmediata de la empresa sino que también pueden tener un impacto duradero en la reputación de la marca y la confianza del consumidor​.

Responsabilidad legal

El incumplimiento también puede exponer a las empresas a acciones legales por parte de consumidores o terceros que se vean afectados por la falta de cumplimiento de las normas de ciberseguridad. Esto puede incluir compensaciones por daños y perjuicios en casos donde la falta en la seguridad de los productos resulte en daños personales o pérdidas económicas.

Restricciones comerciales

Las empresas que no cumplan podrían enfrentarse a restricciones para operar dentro del mercado europeo. Esto puede limitar su capacidad para expandirse o mantener operaciones en los Estados miembros de la UE, afectando directamente su alcance de mercado y potencial de ingresos.

En conclusión, la Ley de Ciberresiliencia es fundamental para promover un entorno digital más seguro y resiliente dentro de la Unión Europea. Su principal función es proteger tanto a los consumidores como a las infraestructuras críticas, impulsando así la confianza y el desarrollo sostenible en la era digital. Por ello, las empresas deben considerar este reglamento no como un requisito legal, sino como una oportunidad para mejorar sus prácticas de seguridad y fortalecer su reputación en un mercado competitivo.

¿Quieres asegurarte de que tu empresa cumple con éxito las exigencias de la Ley de Ciberresiliencia? ¡Contáctanos! Nuestro equipo de expertos está preparado para asesorarle en cada paso del proceso: desde la evaluación inicial hasta la implementación completa de las medidas de seguridad requeridas. ¡Rellena el formulario y hablemos!