- Fabricantes, importadores y distribuidores estarán obligados a garantizar la ciberseguridad de sus productos y servicios
- La norma incluye plazos generosos de adaptación e incentivos económicos para su adopción
- La nueva ley facilitará a los autónomos la elección de soluciones digitales conociendo su riesgo
Una nueva normativa europea establece una serie de requisitos de obligado cumplimiento en ciberseguridad para cualquier producto digital. Lo que, por un lado, afecta a todos aquellos negocios dedicados a su fabricación, su distribución comercial y su importación. Pero por otra, quiere garantizar que cualquier autónomo que adquiera un teléfono móvil o tableta podrá tener la seguridad de que cumplen con estándares mínimos, reduciendo el riesgo de vulnerabilidades que puedan poner en peligro sus datos o su actividad profesional.
La reciente entrada en vigor de la Ley de Ciberresiliencia de la Unión Europea ‒el pasado diciembre‒ supone un intento de poner freno al imparable aumento de los incidentes de ciberseguridad. Un fenómeno que afecta cada día a millones de consumidores y negocios en el mercado único europeo. Esta normativa, pionera en su ámbito, tiene como objetivo garantizar que todos los productos con componentes digitales sean seguros y estén protegidos frente a ciberataques durante todo su ciclo de vida.
Por ejemplo, un autónomo que gestiona una tienda online y utiliza un software de CRM se beneficiará de la obligación para el proveedor de garantizar actualizaciones de seguridad continuas. Pues el marco de esta normativa establece una serie de requisitos obligatorios de ciberseguridad para productos que contienen elementos digitales, abarcando tanto hardware como software, lo que tiene un impacto directo en los negocios que operan en estos sectores. Sin ir más lejos, la gran mayoría de las startups tecnológicas que han surgido en lo que llevamos de década.
No sólo los fabricantes o importadores, sino también los distribuidores deben garantizar la ciberseguridad de sus productos
Lo que incluye, por ejemplo, a los negocios dedicados a la fabricación de dispositivos electrónicos, software empresarial o soluciones de IoT (Internet de las Cosas), así como a distribuidores de hardware informático y mayoristas de tecnología.
En concreto, el alcance de la nueva ley busca garantizar un alto nivel de seguridad en todo el ciclo de vida de los productos tecnológicos, asegurando que sean menos vulnerables a los ciberataques. De manera que, entre las obligaciones más destacadas que deben tener los negocios de este sector, se incluyen:
Diseño seguro desde el inicio.
Los negocios que fabriquen este tipo de artículos deben incorporar medidas de ciberseguridad en su desarrollo, aplicando el principio de “seguridad desde el diseño” en las fases iniciales de creación.
Gestión de vulnerabilidades.
Será obligatorio para todos estos negocios obligatorio identificar, evaluar y mitigar las vulnerabilidades de los productos antes de su comercialización y durante todo su ciclo de vida.
Actualizaciones de seguridad.
En este sentido, los productos deben mantenerse actualizados mediante parches de seguridad periódicos que aborden todas aquellas nuevas amenazas identificadas.
Evaluaciones de riesgos.
Además, los negocios deben realizar análisis regulares de los riesgos asociados a sus productos para detectar posibles fallos y prevenir incidentes de seguridad.
Notificación de incidentes.
En caso de detección, se establece la obligación de informar a las autoridades competentes sobre cualquier vulnerabilidad o incidente de ciberseguridad relevante en un plazo máximo de 24 horas. Los vendedores están obligados a involucrarse también a la hora de atajar estos sucesos.
Documentación técnica.
Los negocios fabricantes deben garantizar que sus productos incluyan información técnica detallada sobre sus características de seguridad, para permitir su evaluación y cumplimiento normativo.
Transparencia en la información al usuario.
Es necesario proporcionar a los consumidores y usuarios información clara sobre las medidas de seguridad del producto, así como sobre los riesgos potenciales asociados a su uso.
Cumplimiento normativo.
Por su parte, los distribuidores e importadores tienen la responsabilidad de verificar que los productos que introducen en el mercado cumplan con los requisitos establecidos en la normativa y lleven la marca CE correspondiente.
Retirada de productos inseguros.
En caso de que un producto no cumpla con las normativas de ciberseguridad, los establecimientos especializados están obligados a adoptar medidas correctivas, incluida la retirada del producto del mercado si fuera necesario.
Las empresas tendrán hasta diciembre de 2026 para cumplir con las nuevas obligaciones
La Comisión Europea ya ha adelantado que el incumplimiento de estas obligaciones puede acarrear toda una serie de sanciones, incluyendo multas de hasta 15 millones de euros o del 2% de los ingresos anuales globales de la empresa. No obstante, los requisitos de la Ley de Ciberresiliencia no se aplicarán hasta dentro de dos años: el 11 de diciembre de 2026.
De hecho, consciente del gran impacto que la norma puede tener entre los pequeños negocios, la propia ley incluye plazos generosos de adaptación, incentivos económicos en forma de ayudas y subvenciones e incluso formación específica para los autónomos con negocios en este ámbito.
Los expertos recomendaron que comiencen cuanto antes a adaptar sus procesos y productos para cumplir con los nuevos requisitos. Esto incluye la revisión de sus prácticas de desarrollo, la implementación de protocolos de seguridad más robustos y la formación del personal en materia de ciberseguridad.
Aunque no todas las implicaciones de la normativa son requerimientos y multas. Para todos los autónomos y los pequeños negocios que utilizan productos digitales en sus operaciones diarias, la Ley de Ciberresiliencia supone una mejora en su seguridad. No en vano, al exigir a los fabricantes y proveedores que mejoren la seguridad de sus productos y proporcionen actualizaciones regulares, se reduce su vulnerabilidad a ciberataques.
Lo cual promete traducirse en un entorno digital más seguro, en el que los profesionales y sus negocios pueden operar con mayor confianza, minimizando los riesgos asociados a brechas de seguridad. Sin ir más lejos, en un aviso reciente, las autoridades de Alemania advirtieron sobre la detección de un malware preinstalado en más de 30.000 dispositivos Android con funciones IoT, incluyendo desde móviles hasta marcos para fotos digitales. Lo que da idea del alcance de las nuevas técnicas empleadas por los cibercriminales.
Además de reforzar la propia seguridad en software y hardware, no hay que olvidar que la nueva ley promueve una mayor transparencia, obligando a los negocios a informar a los usuarios sobre los riesgos potenciales de seguridad de sus productos. Algo que debe facilitar a los autónomos y pequeños negocios la elección de aquellas herramientas y soluciones digitales que requieran para su actividad teniendo claros los posibles riesgos, tanto sus propios datos como los de sus clientes.
