El Reglamento de Ciberresiliencia 2024/2847, que entró en vigor el 10 de diciembre de 2024, aunque sus obligaciones serán de aplicación progresivamente, establece nuevos requisitos obligatorios de ciberseguridad para los productos de hardware y software con elementos digitales que se comercializan en la Unión Europea. Su objetivo es proteger a consumidores y empresas frente a las ciberamenazas y mejorar la seguridad de los productos digitales durante todo su ciclo de vida.
La normativa afecta a una amplia variedad de productos conectables, desde monitores para bebés y relojes inteligentes hasta aplicaciones y programas informáticos. El Reglamento responde al nivel inadecuado de ciberseguridad que presentan algunos productos y a la falta de actualizaciones de seguridad oportunas. Además, busca facilitar que consumidores y empresas puedan identificar qué productos cuentan con las características de ciberseguridad adecuadas y configurarlos de forma segura.
El Reglamento introduce obligaciones para los fabricantes en las distintas fases de desarrollo de los productos, desde la planificación y el diseño hasta su desarrollo y mantenimiento. Estas obligaciones también abarcan la gestión de las vulnerabilidades durante el ciclo de vida del producto y deben cumplirse en las diferentes etapas de la cadena de valor.
Los productos que cumplan los requisitos establecidos llevarán el marcado CE, mientras que las autoridades nacionales de vigilancia del mercado serán las encargadas de garantizar el cumplimiento de las normas. En el caso de determinados productos considerados especialmente importantes para la ciberseguridad, podrá ser necesaria una evaluación por parte de un organismo notificado antes de su comercialización en el mercado de la Unión Europea.
En concreto, desde el 11 de septiembre de 2026 son aplicables las obligaciones de información previstas en el artículo 14 del Reglamento de Ciberresiliencia. Estas obligaciones afectan a los fabricantes de productos con elementos digitales, que deberán notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos. La primera notificación deberá realizarse en un plazo máximo de 24 horas, seguida de una comunicación más completa en un plazo de 72 horas y de un informe final dentro de los plazos establecidos por el Reglamento. Las notificaciones se realizarán a través de la Plataforma Única de Notificación, gestionada por ENISA, y se dirigirán al CSIRT coordinador del Estado miembro en el que el fabricante tenga su establecimiento principal. Asimismo, los fabricantes deberán informar sin demora indebida a los usuarios afectados y, cuando proceda, comunicarles las medidas de mitigación o corrección disponibles.
Además, el 27 de julio de 2026, la Comisión publicó orientaciones prácticas destinadas a ayudar a fabricantes, desarrolladores y empresas de todos los tamaños a cumplir las obligaciones establecidas por el Reglamento de Ciberresiliencia.
Esta normativa se enmarca dentro de la Estrategia de Ciberseguridad de la UE de 2020 y en la Estrategia de la UE para una Unión de la Seguridad, y complementa otras normas europeas en materia de ciberseguridad, entre ellas la Directiva SRI 2.