¿Su producto contiene software y se vende en la UE? Entonces es probable que esté sujeto al Cyber Resilience Act (CRA), el Reglamento (UE) 2024/2847. Este exige a los fabricantes que los productos con elementos digitales sean seguros durante todo su ciclo de vida – y que esto pueda demostrarse. Revisamos su producto desde el punto de vista técnico, le mostramos en qué punto se encuentra y, si lo desea, implementamos con usted las medidas necesarias.
Los plazos
- Desde el 11 de septiembre de 2026: Obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes de seguridad graves. Se aplican también a los productos que ya están en el mercado.
- A partir del 11 de diciembre de 2027: El reglamento se aplica en su totalidad, incluidos los requisitos esenciales de ciberseguridad, la evaluación de la conformidad y el marcado CE.
Los productos introducidos en el mercado antes del 11 de diciembre de 2027 solo tienen que cumplir los demás requisitos si se modifican sustancialmente después de esa fecha.
Qué revisamos para usted
1. Inventario
¿Qué productos y versiones están afectados, qué software contienen, qué interfaces y conexiones de datos existen? Aclaramos desde el punto de vista técnico si su producto entra en el ámbito de aplicación y qué clasificación resulta probable – producto estándar, producto importante o producto crítico. De ello depende si puede evaluar la conformidad usted mismo o si necesita un organismo notificado. Algunos grupos de productos, como los productos sanitarios, están excluidos porque se rigen por normas propias.
2. Lista de materiales de software (SBOM)
El CRA exige que conozca y documente los componentes de su producto, como mínimo las dependencias directas, en un formato habitual legible por máquina. Registramos las bibliotecas, los componentes de código abierto y los módulos adquiridos con sus versiones, y configuramos la generación de la SBOM, por ejemplo en formato CycloneDX o SPDX, para que se cree automáticamente en cada compilación.
3. Gestión de vulnerabilidades
Contrastamos sus componentes con bases de datos públicas de vulnerabilidades, evaluamos las coincidencias para su producto y proponemos correcciones. Esto incluye un procedimiento para gestionar las vulnerabilidades en el futuro: una dirección de contacto para notificaciones externas, una política de divulgación coordinada y revisiones periódicas.
4. Proceso de actualización
Las actualizaciones de seguridad deben llegar a sus clientes con rapidez, de forma segura y, en la medida de lo posible, separadas de las actualizaciones funcionales. Revisamos cómo se crean, firman y distribuyen hoy las actualizaciones y cómo cubre usted el periodo de soporte. Por regla general, este es de al menos cinco años, o menos si la vida útil del producto es más corta.
5. Seguridad del producto
Revisamos los requisitos esenciales del propio producto: ninguna vulnerabilidad explotable conocida en el momento de la entrega, configuración segura por defecto, protección frente a accesos no autorizados, cifrado, la menor superficie de ataque posible y registro de los eventos relevantes para la seguridad. Desde el punto de vista metodológico, nos basamos en nuestro control de calidad con revisión de código y revisión de seguridad.
6. Documentación técnica
Para la declaración de conformidad necesita una documentación técnica: descripción del producto, arquitectura, evaluación de los riesgos de ciberseguridad, procedimientos para la gestión de vulnerabilidades e información para los usuarios. Revisamos lo que ya existe y elaboramos las partes técnicas que faltan.
7. Obligaciones de notificación
Si una vulnerabilidad de su producto se explota activamente, debe enviarse una alerta temprana en un plazo de 24 horas y una notificación más detallada en un plazo de 72 horas – a través de la plataforma única de notificación de ENISA. Definimos con usted quién detecta, evalúa y notifica los indicios, y preparamos los datos técnicos para que, llegado el caso, no se pierda tiempo.
Qué recibe de nosotros
- Un informe sobre el estado de su producto en cada ámbito de requisitos, comprensible también para la dirección y la gestión de producto
- Una lista de medidas, ordenadas por urgencia y con el esfuerzo estimado
- Si lo desea, la implementación: SBOM en la compilación, corrección de vulnerabilidades, mecanismo de actualización, documentación
- Si es necesario, un acompañamiento continuo, por ejemplo mediante soporte y mantenimiento
Para quién es adecuado
Nuestra oferta está dirigida a fabricantes de máquinas y dispositivos con software de control propio, a proveedores de tecnología de laboratorio y de medición, y a empresas que comercializan software de escritorio o complementos CAD para AutoCAD, BricsCAD o Revit. Revisamos tanto el software que hemos desarrollado nosotros como el de otros fabricantes y el código heredado en C#/.NET o C++.
Nota: Nos encargamos de la revisión técnica y de la implementación, no del asesoramiento jurídico. Las cuestiones legales, como la clasificación vinculante de su producto, las coordinamos con su departamento jurídico o sus abogados.
Su siguiente paso
En una primera conversación aclaramos qué productos podrían verse afectados y por dónde le conviene empezar. Encontrará más información sobre nuestros servicios de calidad y seguridad en la vista general.
kununu