El Cyber Resilience Act se convierte en un reto para las pymes
El Cyber Resilience Act (CRA) está en vigor desde diciembre de 2024 y plantea nuevos retos a las pequeñas y medianas empresas. A partir de septiembre de 2026 se aplican las primeras obligaciones de notificación, pero el apoyo público a las pymes sigue siendo limitado. Asociaciones como TeleTrusT critican ya que la ayuda prevista se queda muy por debajo de las necesidades reales.
A diferencia de otras normativas como NIS-2, el CRA no contempla excepciones en función del tamaño. Todos los fabricantes, importadores y distribuidores de productos con elementos digitales, desde software y hardware hasta dispositivos IoT, deben aplicar amplias medidas de ciberseguridad. La dirección asume además responsabilidad personal en caso de incidente.
El apoyo público sigue siendo insuficiente
El anteproyecto actual de la ley de aplicación del CRA muestra la dimensión del problema: el Estado prevé únicamente 1,28 millones de euros anuales para el apoyo. A modo de comparación: la ley NIS2 preveía solo para la formación en la administración federal el cuádruple. Esta brecha de apoyo deja claro que las pymes deberán encargarse por sí mismas de la aplicación.
La ventana regulatoria se está cerrando: las empresas solo disponen de unos meses hasta que entren en vigor las primeras obligaciones duras. Quien no esté preparado en septiembre de 2026 se expone a consecuencias considerables.
Cinco pasos hacia la preparación para el CRA
Paso 1: aclarar la afectación
Todo producto que pueda conectarse directa o indirectamente con un dispositivo o una red entra en el ámbito del CRA. Ello vale tanto para los dispositivos IoT como para los productos puramente de software, con independencia de que la conexión se establezca realmente. No están afectadas las soluciones SaaS ni los componentes de código abierto. Las empresas deben realizar en primer lugar un inventario completo de sus productos.
Paso 2: establecer procesos de notificación
A partir del 11 de septiembre de 2026 deberán notificarse las vulnerabilidades explotadas de forma activa y los incidentes de seguridad graves. El calendario es ajustado:
- Primera notificación en un plazo de 24 horas
- Notificación de seguimiento en un plazo de 72 horas
- Informe final a más tardar 14 días después de disponer de una medida correctora
Las empresas que aún no cuentan con procesos internos de gestión de vulnerabilidades y respuesta a incidentes deben establecerlos ahora, no como un proyecto de TI, sino como un asunto operativo.
Paso 3: anclar la seguridad desde el diseño
El CRA exige que la seguridad forme parte del desarrollo del producto desde el principio. Las mayores lagunas surgen allí donde las decisiones de arquitectura sobre autenticación, control del flujo de datos y multiinquilinato se toman sin una perspectiva explícita de seguridad. Las pymes no tienen que aspirar a un proceso perfecto, pero sí desarrollar un enfoque acreditable y documentado.
Paso 4: inventariar la cadena de suministro y las dependencias de código abierto
Muchos productos se componen hoy de una combinación de desarrollo propio, bibliotecas de código abierto, servicios cloud y componentes de terceros. El CRA aborda precisamente estos riesgos: los fabricantes son responsables también de los componentes de terceros integrados. Una lista de materiales de software (SBOM), un resumen estructurado de todos los componentes de software utilizados, es la herramienta central para lograr transparencia y mantener la capacidad de acción en caso de incidente.
Paso 5: aprovechar las posibilidades de financiación
La UE pone a disposición con el programa SECURE un total de 16,5 millones de euros como apoyo financiero directo a las pymes que fabrican, desarrollan o distribuyen productos con elementos digitales. Son financiables, entre otros, los análisis de riesgos, las pruebas de penetración y las evaluaciones de seguridad. Pueden solicitarlo las empresas con menos de 250 empleados y hasta 50 millones de euros de facturación anual.
Entender la regulación como ventaja competitiva
Los requisitos del CRA abren también oportunidades estratégicas. Quien cumpla el CRA se convertirá en socio preferente en cadenas de suministro en las que los clientes deberán exigir en el futuro estándares de seguridad acreditables. A la inversa, quienes no puedan cumplirlos se arriesgan a perder encargos.
Ari Albertini, CEO de FTAPI, subraya: «Las nuevas normativas obligan a las empresas a pensar la ciberseguridad de forma estratégica. Es el momento en el que se decide quién seguirá siendo percibido en los próximos años como un socio tecnológico fiable. Las pymes que actúan ahora se compran una ventaja que las demás ya no podrán recuperar».
Perspectivas: el final de una era de ciberseguridad voluntaria
El CRA marca el final de una era en la que la ciberseguridad era exclusivamente un asunto de especialistas. El BSI ya ha asumido la dirección de la vigilancia europea del mercado AdCo CRA, tarea de la que se responsabiliza Anna Schwendicke. Las empresas que entienden la seguridad como una evidencia operativa y estratégica no solo protegen sus productos, sino que aseguran también su viabilidad de mercado a largo plazo en una Europa regulada.
El tiempo de las medidas voluntarias se agota. Las pymes deben actuar ahora para alcanzar en septiembre de 2026 la preparación necesaria ante el CRA. Quien espere se arriesga no solo a problemas de cumplimiento, sino también a perder importantes oportunidades de mercado en una economía digital cada vez más consciente de la seguridad.
