El software ya tiene nuevas obligaciones de ciberseguridad. ¿Está preparada tu empresa?
El software ya no se evalúa solo por lo que hace. También por cómo gestiona sus riesgos de ciberseguridad a lo largo de toda su vida útil. El Reglamento Europeo de Ciberresiliencia (Cyber Resilience Act, CRA) introduce obligaciones para los productos con elementos digitales que se comercializan en la Unión Europea. Para muchas empresas TIC, prepararse empieza por identificar qué desarrollan, cómo lo distribuyen y qué responsabilidades asumen.
Primero, una distinción importante: ¿a qué productos afecta?
El CRA se dirige a productos con elementos digitales, tanto hardware como software, que entran en su ámbito de aplicación. Por eso puede afectar a fabricantes de dispositivos conectados, desarrolladores de determinadas soluciones de software comercializadas y otros operadores económicos de su cadena de suministro. No significa que cualquier servicio tecnológico o todo SaaS esté automáticamente sujeto a las mismas obligaciones. Los servicios SaaS prestados de forma independiente quedan, en general, fuera del alcance como tales; hay que estudiar los supuestos en los que el procesamiento remoto es necesario para que funcione un producto digital cubierto por el reglamento.
¿Qué ha empezado a aplicarse en 2026?
Desde el 11 de septiembre de 2026 resultan aplicables las obligaciones de notificación de determinadas vulnerabilidades explotadas activamente e incidentes graves que afectan a la seguridad de productos incluidos en el CRA. La norma contempla notificaciones iniciales en un plazo de 24 horas y posteriores comunicaciones, entre ellas a las 72 horas, según el supuesto. No se trata de notificar cualquier fallo ordinario: es imprescindible comprobar las definiciones legales y el proceso correspondiente.
Las obligaciones generales principales del CRA se aplicarán desde el 11 de diciembre de 2027. Es importante no confundir ambos hitos: algunas exigencias ya han comenzado, mientras que otras disponen de un periodo de preparación.
Cinco preguntas que una empresa de software debería hacerse ahora
- ¿Qué productos distribuimos en el mercado europeo? Elaborar un inventario diferenciando productos digitales, servicios independientes, componentes y soluciones que incorporan procesamiento remoto.
- ¿Qué papel asumimos? Fabricante, importador, distribuidor o proveedor de componentes no tienen necesariamente las mismas responsabilidades.
- ¿Cómo gestionamos las vulnerabilidades? Establecer un canal de comunicación, responsables, criterios de severidad y mecanismos de respuesta, corrección y notificación cuando corresponda.
- ¿Qué documentación conservamos? Revisar procesos de desarrollo seguro, gestión de dependencias, actualizaciones, pruebas y trazabilidad de decisiones técnicas.
- ¿Qué cambia en los contratos y proveedores? Revisar responsabilidades compartidas y coordinación ante fallos, sin trasladar obligaciones legales de forma automática.
Una obligación que también puede convertirse en ventaja competitiva
Para las empresas tecnológicas de Baleares, la ciberresiliencia no es solo una cuestión de cumplimiento. Afecta a la confianza de los clientes, la entrada en cadenas de suministro, la contratación de soluciones y la capacidad de ofrecer mantenimiento y soporte con garantías. Las organizaciones que incorporen seguridad desde el diseño pueden convertir ese trabajo en un elemento de diferenciación.
El primer paso no requiere una transformación completa de la empresa, sino un mapa de productos, responsabilidades y brechas. A partir de ahí se puede ordenar una hoja de ruta proporcionada al riesgo y a los plazos reales.
En GSBIT seguiremos de cerca la aplicación del CRA y sus implicaciones para las empresas desarrolladoras e integradoras de las Illes Balears.
