La UE planta cara a las tecnológicas: ciberataques a notificar en 24 horas o multa de 15 kilos
Se acabó el silencio. Desde este viernes 11 de septiembre, las grandes tecnológicas y cualquier empresa que venda productos digitales en la Unión Europea tienen la obligación de cantar las cuarenta cuando les hackeen. El Cyber Resilience Act (CRA) entra en su fase clave y exige notificar vulnerabilidades e incidentes graves en un máximo de 24 horas. Si no lo hacen, prepárense para rascarse el bolsillo: multas de hasta 15 millones de euros o el 2,5% de la facturación mundial anual.
Que no te engañen: esto no va de papeleo. Va de que los productos que usamos a diario, desde el móvil hasta el router de casa, dejen de ser un coladero. La Comisión Europea ha dicho basta y ha puesto sobre la mesa una normativa que obliga a los fabricantes a cuidar la seguridad de sus productos durante todo su ciclo de vida, no solo cuando salen al mercado y punto.
¿Qué cambia a partir del 11 de septiembre?
Hasta ahora, muchas empresas se enteraban de un ataque y lo escondían bajo la alfombra. Eso se acabó. Desde hoy, los fabricantes tienen que avisar a las autoridades de cualquier vulnerabilidad que esté siendo explotada y de los incidentes graves que afecten a sus productos. Y no vale con un aviso genérico: la alerta temprana tiene que llegar en 24 horas y la notificación completa, con todos los detalles, en un máximo de 72 horas.
La normativa, que ya entró en vigor en diciembre de 2024, afecta a todo tipo de dispositivos: smartphones, relojes inteligentes, monitores de bebés, cortafuegos, aplicaciones y sistemas operativos. Todos ellos tendrán que cumplir unos requisitos mínimos de ciberseguridad, adaptados al riesgo de cada producto.
Multas que duelen de verdad
La UE no se anda con tonterías. Las empresas que incumplan las obligaciones más graves del CRA se enfrentan a sanciones económicas de hasta 15 millones de euros o, en ciertos casos, al equivalente al 2,5% de su facturación anual mundial. Para que te hagas una idea, en el caso de un gigante como Apple o Google, hablamos de cantidades astronómicas.
La seguridad no es un capricho, es una obligación
El CRA no solo obliga a informar. También exige que la ciberseguridad esté presente en toda la cadena de valor. Esto significa que las empresas deben prestar atención no solo a qué tecnología compran, sino también a cómo se han gestionado sus vulnerabilidades, qué actualizaciones recibirán y qué garantías ofrece el fabricante durante todo el periodo de soporte.
La idea es que empresas y consumidores puedan identificar fácilmente qué productos cumplen con los estándares de seguridad europeos. Para ello, los productos afectados deberán llevar el símbolo 'CE', que acredita su conformidad con la legislación comunitaria.
La aplicación completa del CRA está prevista para diciembre de 2027, pero la cuenta atrás ya ha empezado. Y esta vez, las tecnológicas no podrán esconderse detrás de la letra pequeña.