¿Qué es la Ley de Ciberresiliencia y a quién se aplica?
Es el Reglamento (UE) 2024/2847, conocido como CRA. Se aplica a los productos con elementos digitales, programas o equipos, que se comercializan en la UE y se conectan directa o indirectamente a un dispositivo o a una red (artículo 2.1). Obliga sobre todo al fabricante, y también a importadores y distribuidores.
El nombre oficial es Reglamento de Ciberresiliencia; «ley» es como se busca. Es un reglamento europeo: se aplica directamente en España, sin esperar a una ley que lo transponga, al contrario que la NIS2.
Un «producto con elementos digitales» es software o hardware, con sus soluciones de tratamiento de datos a distancia (artículo 3.1). Entra una aplicación que vendes, un programa de gestión instalable, un equipo industrial con conexión o un dispositivo para el hogar. Las funciones en la nube que el fabricante presta para que su producto funcione también entran. El software como servicio que no forma parte de un producto queda fuera, y lo cubre la NIS2 si la empresa es mediana o grande, como explica el propio reglamento en sus considerandos.
Eres fabricante si desarrollas o fabricas el producto, o te lo fabrican, y lo comercializas con tu nombre o tu marca, cobres por él o no (artículo 3.13). Un importador o un distribuidor que lo vende con su marca, o que lo modifica sustancialmente, pasa a tener las obligaciones del fabricante (artículo 21).
- Fuera por tener norma propia: productos sanitarios y de diagnóstico in vitro, vehículos de motor homologados, productos aeronáuticos certificados y equipos marinos (artículo 2, apartados 2 a 4).
- Fuera también: las piezas de recambio idénticas a la original y los productos hechos solo para seguridad nacional o defensa (artículo 2, apartados 6 y 7).
- Dentro, aunque sea gratis: la comercialización incluye el suministro gratuito en el curso de una actividad comercial (artículo 3).
¿Qué fechas de la Ley de Ciberresiliencia se aplican ya?
Dos de las tres fechas de aplicación ya han pasado (artículo 71). Desde el 11 de junio de 2026 rigen las reglas de los organismos de evaluación, y desde el 11 de septiembre de 2026, la notificación del artículo 14. Todo lo demás se aplica el 11 de diciembre de 2027.
20-11-2024
Publicación en el Diario Oficial de la UE
10-12-2024
Entrada en vigor
A los veinte días de su publicación (artículo 71.1).
11-06-2026
Se aplica el capítulo IV
Artículos 35 a 51: los organismos notificados que evalúan la conformidad.
11-09-2026
Se aplica el artículo 14
Notificación de vulnerabilidades aprovechadas activamente e incidentes graves. Ya obliga.
11-12-2027
Se aplica todo lo demás
Requisitos del anexo I, documentación técnica, declaración UE de conformidad y marcado CE.
Fuente: Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), arts. 2, 3, 13, 14, 16, 21, 64, 69 y 71 y anexo I, consultado el .
La Comisión Europea publicó el 27 de julio de 2026 una guía práctica para ayudar a fabricantes y empresas de cualquier tamaño a cumplir. Y ENISA puso en marcha la primera versión de la plataforma por la que se notifica el 11 de septiembre de 2026, el mismo día en que empezó la obligación.
¿Qué tiene que notificar un fabricante desde el 11 de septiembre de 2026?
Las vulnerabilidades aprovechadas activamente en su producto y los incidentes graves que afecten a su seguridad (artículo 14). Para cada una, alerta temprana en 24 horas y notificación en 72. El informe final llega 14 días después de la corrección, en una vulnerabilidad, o un mes después de la notificación, en un incidente.
0 h
Tienes conocimiento de la vulnerabilidad o del incidente
Todos los plazos cuentan desde aquí, no desde que ocurrió.
24 h
Alerta temprana
Con los Estados miembros donde sabes que se vende tu producto; si es un incidente, si sospechas de un acto malintencionado.
72 h
Notificación
Información general del producto, naturaleza del fallo y medidas correctoras, tuyas y de los usuarios.
14 días tras la corrección
Informe final de una vulnerabilidad
Gravedad, quién la ha aprovechado si se sabe, y la actualización de seguridad disponible.
1 mes tras la notificación
Informe final de un incidente grave
Descripción detallada, causa probable y medidas aplicadas.
Fuente: Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), arts. 2, 3, 13, 14, 16, 21, 64, 69 y 71 y anexo I, consultado el .
| Término | Qué dice el reglamento |
|---|---|
| Vulnerabilidad aprovechada activamente | Aquella de la que hay pruebas fiables de que alguien malintencionado la ha aprovechado en un sistema sin permiso de su propietario (artículo 3.42) |
| Incidente grave | El que afecta o puede afectar a la capacidad del producto de proteger datos o funciones importantes, o el que ha llevado o puede llevar a ejecutar código malicioso en el producto o en los sistemas del usuario (artículo 14.5) |
La notificación va a la vez al CSIRT coordinador del país donde tienes tu establecimiento principal y a ENISA, siempre por la plataforma única de notificación (artículos 14.7 y 16). Para España, la lista de CSIRT coordinadores de ENISA remite a INCIBE-CERT. Además, tienes que informar a los usuarios afectados y de las medidas que pueden tomar (artículo 14.8).
¿Se aplica la Ley de Ciberresiliencia a productos que ya vendías antes de 2027?
La obligación de notificar, sí: el artículo 69.3 la extiende a todos los productos del ámbito introducidos en el mercado antes del 11 de diciembre de 2027. El resto de requisitos solo alcanza a esos productos si, a partir de esa fecha, sufren una modificación sustancial (artículo 69.2).
Una modificación sustancial es un cambio, después de la puesta en el mercado, que afecta al cumplimiento de los requisitos de seguridad del anexo I o que cambia la finalidad para la que se evaluó el producto (artículo 3.30). Según los considerandos, no lo es una actualización de seguridad que reduce el riesgo sin cambiar la finalidad del producto, ni una mejora menor como nuevos idiomas en la interfaz. Sí puede serlo una actualización que cambia las funciones originales o añade características que amplían la superficie de ataque. En caso de duda, consúltalo antes de lanzarla.
| Situación | Notificación del artículo 14 | Requisitos del anexo I y marcado CE |
|---|---|---|
| En el mercado antes del 11-12-2027, sin cambios | Sí, desde el 11-09-2026 | No |
| En el mercado antes del 11-12-2027, con una modificación sustancial posterior | Sí, desde el 11-09-2026 | Sí, desde la modificación |
| Puesto en el mercado desde el 11-12-2027 | Sí | Sí, antes de venderlo |
¿Qué requisitos tendrá que cumplir tu producto en diciembre de 2027?
Los del anexo I. Tu producto tendrá que salir sin vulnerabilidades aprovechables conocidas, con configuración segura por defecto y con actualizaciones de seguridad gratuitas. Tendrás que gestionar sus vulnerabilidades durante un periodo de soporte de al menos cinco años, con una lista de sus componentes de software y un punto de contacto para avisos.
| Anexo I | Qué pide | Qué supone para una pyme |
|---|---|---|
| Parte I, 2.a | Comercializarlo sin vulnerabilidades aprovechables conocidas | Revisar los fallos conocidos antes de cada versión |
| Parte I, 2.b | Configuración segura por defecto | Por ejemplo, sin contraseñas iguales en todas las unidades ni servicios abiertos que no hagan falta |
| Parte I, 2.c | Que los fallos se puedan corregir con actualizaciones de seguridad | Un mecanismo de actualización, automático por defecto cuando proceda |
| Parte I, 2.d a 2.f | Control de acceso, confidencialidad e integridad de los datos | Autenticación y cifrado de los datos en reposo y en tránsito |
| Parte I, 2.l y 2.m | Registro de la actividad relevante y borrado seguro de datos | Que quede registro de accesos y cambios, y que el usuario pueda borrar todos sus datos |
| Parte II, 1 | Lista de componentes del software en formato legible por máquina | Saber qué componentes de terceros lleva cada versión |
| Parte II, 5 y 6 | Política de divulgación coordinada y dirección de contacto para avisos | Una página y un buzón para quien encuentre un fallo |
| Parte II, 8 | Actualizaciones de seguridad sin demora y gratuitas | Publicarlas con un aviso de qué hacer |
El artículo 13 añade lo que rodea al producto: una evaluación de riesgos documentada, un periodo de soporte de al menos cinco años (menos solo si el producto se usará menos tiempo), cada actualización de seguridad disponible durante diez años, la fecha de fin de soporte visible al comprar, un punto de contacto único, la documentación técnica guardada diez años, la declaración UE de conformidad y el marcado CE.
La «nomenclatura de materiales de los programas informáticos», como la llama el reglamento (artículo 3.39), es la lista de componentes con su procedencia: lo que en inglés se conoce como SBOM. Mantener al día las actualizaciones de seguridad de esos componentes es la mitad del trabajo.
¿Qué multas prevé la Ley de Ciberresiliencia?
Hasta 15 millones de euros o el 2,5 % de la facturación mundial anual, la cifra mayor, por incumplir los requisitos esenciales o los artículos 13 y 14. Hasta 10 millones o el 2 % por otras obligaciones, y hasta 5 millones o el 1 % por dar información incorrecta a las autoridades (artículo 64).
| Qué se incumple | Hasta | O, si es mayor |
|---|---|---|
| Requisitos esenciales del anexo I y obligaciones de los artículos 13 y 14 | 15.000.000 € | 2,5 % de la facturación anual mundial |
| Obligaciones de importadores, distribuidores, marcado CE, documentación y otras | 10.000.000 € | 2 % de la facturación anual mundial |
| Información incorrecta, incompleta o engañosa a organismos o autoridades | 5.000.000 € | 1 % de la facturación anual mundial |
Pequeña empresa, para el reglamento, es la que define la Recomendación 2003/361/CE: menos de 50 personas y una facturación o un balance de 10 millones de euros o menos. Es la misma recomendación que marca el umbral de la NIS2.
¿Qué diferencia hay entre la Ley de Ciberresiliencia y la NIS2?
La NIS2 regula a la empresa: cómo gestiona la seguridad de sus sistemas. La Ley de Ciberresiliencia regula el producto que vende: cómo se diseña, se mantiene y se notifica un fallo. Una empresa de software puede estar en las dos: en una por tamaño y sector, en la otra por lo que vende.
| Situación | Ley de Ciberresiliencia | NIS2 |
|---|---|---|
| Qué regula | El producto con elementos digitales | La gestión de la seguridad de la organización |
| A quién | Fabricantes, importadores y distribuidores, sin umbral de tamaño | Medianas y grandes empresas de los sectores de sus anexos, y algunas más |
| Tipo de norma | Reglamento: se aplica directamente | Directiva: necesita una ley española, aún pendiente |
| Qué se notifica | Vulnerabilidades aprovechadas e incidentes graves del producto | Incidentes significativos de la organización |
| Plazos | 24 h, 72 h y 14 días o un mes | 24 h, 72 h y un mes |
| Software como servicio | Solo si es una función a distancia del propio producto | Sí, como servicio de computación en nube |
Los plazos de la NIS2 están en su artículo 23.4 y su alcance en el artículo 2.1. En España la directiva aún no se ha transpuesto: el detalle, en el estado de la NIS2 en España. Si vendes software o servicios gestionados, mira también qué dice la NIS2 de las empresas de servicios informáticos.
¿Por dónde empieza una pyme que fabrica software o equipos conectados?
Por lo que ya obliga: saber qué productos tiene en el mercado de la UE y en qué países, tener un canal para recibir avisos de fallos, escribir quién notifica en 24 y 72 horas y registrarse en la plataforma de ENISA. Para 2027, la lista de componentes y el periodo de soporte.
Desde el 11 de septiembre de 2026
- Lista de tus productos con elementos digitales en el mercado de la UE y en qué países se venden
- Un canal para recibir avisos de vulnerabilidades, conocido por clientes e investigadores
- Procedimiento de 24 y 72 horas: quién valora, quién decide y quién notifica, con suplente
- Alta en la plataforma única de ENISA, hecha antes de necesitarla
- Cómo avisarás a los usuarios afectados y qué medidas les darás
Antes del 11 de diciembre de 2027
- Evaluación de riesgos documentada de cada producto
- Lista de componentes del software de cada versión
- Periodo de soporte decidido y su fecha final publicada
- Política de divulgación coordinada de vulnerabilidades
- Documentación técnica, declaración UE de conformidad y marcado CE
El procedimiento de 24 y 72 horas se parece mucho a un plan de respuesta a incidentes, con una diferencia: aquí el incidente puede estar en casa de tu cliente, no en la tuya. Si fabricas equipos, la guía de ciberseguridad en la industria cubre la parte de tu propia planta.
Lo que esta guía no cubre
- No es asesoramiento jurídico: si tu producto está dentro del ámbito, qué es una modificación sustancial o el alcance del artículo 64.10 los confirma un abogado.
- No cubre las categorías de productos importantes y críticos ni los procedimientos de evaluación de la conformidad que les corresponden.
- No cubre el régimen de los administradores de programas de código abierto.
Preguntas frecuentes
¿La Ley de Ciberresiliencia se aplica a una web o a una aplicación a medida para un cliente?
Una web que no da funcionalidad a un producto queda fuera, según los considerandos del reglamento. Un programa a medida que se entrega e instala puede ser un producto con elementos digitales; consúltalo caso por caso.
¿Tengo que notificar una vulnerabilidad que nadie ha aprovechado?
No es obligatorio: el artículo 14 obliga cuando hay pruebas fiables de que se ha aprovechado. Puedes notificarla de forma voluntaria (artículo 15), y desde 2027 el anexo I te obliga a corregirla sin demora.
¿Qué pasa si dejo de dar soporte a un producto antiguo?
Desde 2027, el periodo de soporte es de al menos cinco años y su fecha final tiene que ser visible al comprar. La obligación de notificar, en cambio, ya alcanza a todo lo que esté en el mercado.
Fuentes
- Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), arts. 2, 3, 13, 14, 16, 21, 64, 69 y 71 y anexo I, consultado el
- Recomendación 2003/361/CE de la Comisión, anexo, art. 2 (definición de microempresa, pequeña y mediana empresa), consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 2.1 y 23.4, consultado el
- ENISA, plataforma única de notificación (Single Reporting Platform) del Reglamento de Ciberresiliencia, consultado el
- ENISA, lista de CSIRT designados como coordinadores (actualizada el 10 de septiembre de 2026), consultado el
- Comisión Europea, página del Reglamento de Ciberresiliencia (Cyber Resilience Act), consultado el
Registro de cambios
- : Publicación.
