El Cyber Resilience Act entra en una fase crucial
La Comisión Europea ha publicado nuevas directrices para ayudar a fabricantes, desarrolladores y empresas de toda la Unión Europea a prepararse para el Cyber Resilience Act. El Reglamento está en vigor desde diciembre de 2024 e introduce requisitos obligatorios de ciberseguridad que abarcan todo el ciclo de vida de los productos digitales. Una fecha especialmente importante es el 11 de septiembre de 2026, cuando comenzarán a aplicarse las obligaciones de notificación. Para las empresas que desarrollan, fabrican o comercializan productos digitales en el mercado de la UE, el cumplimiento en materia de ciberseguridad se está convirtiendo en un requisito operativo cada vez más relevant.
Qué aclaran las nuevas directrices sobre el Cyber Resilience Act
Las nuevas directrices de la Comisión se centran en las principales cuestiones que las empresas deben abordar al aplicar en la práctica el Cyber Resilience Act. El documento aclara qué productos entran dentro del ámbito de aplicación de las normas, qué puede considerarse una modificación sustancial, cómo deben interpretarse los periodos de soporte y cómo deben abordar las empresas las obligaciones de notificación y las evaluaciones de riesgos de ciberseguridad. Estas aclaraciones tienen como objetivo reducir la incertidumbre y ayudar a las empresas a comprender cómo los requisitos normativos se traducen en responsabilidades operativas.
Por qué las directrices son importantes para las pymes
La Comisión presta especial atención a las microempresas y pequeñas y medianas empresas. Las directrices incluyen ejemplos prácticos y casos de uso para ayudar a las empresas a aplicar las nuevas normas evitando cargas administrativas innecesarias. Este aspecto es especialmente relevante para las pymes que pueden disponer de menos recursos internos en materia jurídica, de compliance o de ciberseguridad. Por tanto, las directrices ofrecen un marco útil para identificar si sus productos están afectados, comprender las obligaciones aplicables y preparar los procesos internos de una manera más estructurada.
Qué deberían hacer ahora las empresas
Las empresas deberían utilizar las nuevas directrices para verificar si sus productos digitales están incluidos en el ámbito del Cyber Resilience Act e identificar qué requisitos pueden afectar a sus actividades. Se debería prestar especial atención a los procedimientos de notificación, las evaluaciones de riesgos, las modificaciones de los productos y los periodos de soporte.
El plazo más inmediato es el 11 de septiembre de 2026, cuando comenzarán a aplicarse las obligaciones de notificación, mientras que el plazo general de cumplimiento está previsto para diciembre de 2027. El mensaje principal para las empresas es claro: la preparación no debería centrarse únicamente en los aspectos técnicos de la ciberseguridad, sino también en comprender las responsabilidades a lo largo de todo el ciclo de vida de los productos digitales.
Imagen AI
Link: Commission publishes new guidance to support timely Cyber Resilience Act implementation
