El Cyber Resilience Act obliga a quien pone en el mercado europeo cualquier producto con elementos digitales: desde una máquina conectada hasta una aplicación de software. Si tu empresa vende un aparato que se conecta a una red, una app, un programa o un dispositivo con firmware, eres fabricante a efectos de este reglamento aunque el desarrollo lo haya hecho un tercero. Es el Reglamento (UE) 2024/2847, en vigor desde el 10 de diciembre de 2024, con una primera obligación exigible el 11 de septiembre de 2026 y aplicación general el 11 de diciembre de 2027.
Suena lejano. No lo es tanto, porque lo que te exige no se arregla en el último trimestre: se construye dentro del producto.
Qué es el Cyber Resilience Act en una frase
Es el reglamento europeo que lleva la seguridad de los productos digitales al mismo terreno en el que ya están la seguridad eléctrica o la de los juguetes: si un producto no cumple, no se puede vender en la Unión Europea. De hecho, el cumplimiento se acredita con el marcado CE, el mismo sello que ya conoces de otros productos.
La lógica es sencilla. Hasta ahora, un fabricante podía vender un dispositivo conectado, no publicar nunca una actualización de seguridad y no responder de nada. El reglamento cierra esa puerta: la ciberseguridad pasa a ser un requisito del producto durante toda su vida útil, igual que que no dé calambre.
Lo publica la Comisión Europea como una pieza más del mismo paquete en el que están la NIS2 y el reglamento de inteligencia artificial, y conviene no confundirlos: la NIS2 te obliga como organización a protegerte; el Cyber Resilience Act te obliga como fabricante a que lo que vendes sea seguro.
A qué productos y a qué empresas afecta
El ámbito es «productos con elementos digitales» que puedan conectarse, directa o indirectamente, a otro dispositivo o a una red. La Comisión Europea pone como ejemplos vigilabebés, relojes inteligentes, aplicaciones y programas de ordenador. En la práctica, mira si te reconoces en alguno de estos casos:
- Vendes una app propia, de pago o gratuita, como parte de tu oferta comercial.
- Vendes una máquina o un equipo conectado: control de accesos, sensórica, maquinaria industrial, dispositivos de medición.
- Vendes software empaquetado o una plataforma que tus clientes instalan.
- Importas o distribuyes con tu marca un producto fabricado por otro: aquí asumes obligaciones de fabricante.
Esta última es la que pilla por sorpresa a más empresas españolas. Si encargas el desarrollo a una consultora o compras un dispositivo a un proveedor asiático y lo vendes con tu logotipo, el responsable frente al mercado eres tú. El reglamento reparte responsabilidad a lo largo de toda la cadena de suministro, pero quien pone el producto en el mercado con su nombre da la cara.
Quedan fuera los productos ya cubiertos por normativas sectoriales propias, como los dispositivos médicos o la automoción, que tienen su propio régimen.
Las fechas que tienes que apuntar
Según la propia Comisión Europea, el calendario es este:
| Fecha | Qué ocurre | Qué significa para ti |
|---|---|---|
| 10 de diciembre de 2024 | Entrada en vigor | El texto ya es derecho vigente; empieza el periodo de adaptación |
| 11 de septiembre de 2026 | Obligaciones de notificación | Tienes que poder detectar y notificar vulnerabilidades explotadas e incidentes graves |
| 11 de diciembre de 2027 | Aplicación general | Ningún producto nuevo puede venderse en la UE sin cumplir los requisitos esenciales |
La fecha de 2026 es la que más se subestima, porque no te pide rediseñar nada: te pide tener un procedimiento y a alguien capaz de ejecutarlo en plazos muy cortos. Si hoy no sabrías a quién llamar un viernes por la tarde cuando aparece un fallo explotado en tu producto, ahí tienes el primer trabajo.
Los productos que ya estaban en el mercado antes de diciembre de 2027 quedan al margen de las nuevas obligaciones salvo que sufran una modificación sustancial después de esa fecha. Conviene no sacar la conclusión fácil: cualquier evolución de peso de tu producto reabre el expediente.
Qué te va a exigir en la práctica
Dejando el lenguaje jurídico a un lado, el reglamento te pide cuatro cosas que puedes traducir a tareas:
- Seguridad desde el diseño. El producto se entrega configurado de forma segura, sin contraseñas por defecto, con los datos cifrados y con la superficie de ataque reducida al mínimo necesario.
- Gestión de vulnerabilidades durante la vida útil. Tienes que saber de qué está hecho tu producto, vigilar los fallos que aparezcan en esos componentes y publicar actualizaciones de seguridad, de forma gratuita y en un plazo razonable.
- Notificación. Comunicar a la autoridad las vulnerabilidades explotadas activamente y los incidentes graves, con plazos muy breves.
- Documentación y marcado CE. Documentación técnica, declaración de conformidad e información clara al usuario sobre el periodo de soporte. Para algunas categorías críticas hará falta la evaluación de un organismo notificado.
De todas ellas, la que cambia de verdad la forma de trabajar es la segunda. Mantener la seguridad de un producto durante años obliga a tener inventariados sus componentes y dependencias, y a tener contratado quién los vigila. Ya no vale el desarrollo que se entrega y se olvida.
Qué puedes hacer ya, sin esperar a 2027
Hay cuatro movimientos que puedes dar este trimestre y que no dependen de ninguna guía pendiente de publicar:
- Haz el inventario. Lista todo lo que vendes que se conecte a algo. Si la lista te sorprende, ese es ya un hallazgo útil.
- Pide a tu proveedor el inventario de componentes. Qué librerías y dependencias de terceros lleva tu software, con sus versiones. Sin esa lista no se puede vigilar nada.
- Define el periodo de soporte y ponlo por escrito. Cuántos años vas a dar actualizaciones de seguridad de cada producto. Es una decisión comercial, no técnica, y el reglamento te va a obligar a comunicarla.
- Revisa los contratos de desarrollo y mantenimiento. Que digan de quién es el código, quién parchea una vulnerabilidad crítica, en cuánto tiempo y a cargo de quién. Ese es el punto donde las empresas se quedan atrapadas.
Y una advertencia sobre el calendario comercial: si tienes previsto sacar producto nuevo en 2027, el momento de meter estos requisitos en el pliego es ahora, mientras se está definiendo. Añadirlos a un producto terminado cuesta mucho más que diseñarlos dentro.
Qué pasa si no cumples
Las dos consecuencias van en orden de importancia práctica. La primera es de mercado: un producto no conforme no puede comercializarse en la Unión Europea, y las autoridades de vigilancia pueden exigir su retirada. Para una empresa que vive de vender ese producto, eso es más grave que una multa.
La segunda son las sanciones. El reglamento contempla multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial, la cifra que sea más alta, para el incumplimiento de los requisitos esenciales. Son topes pensados para los grandes, pero marcan el nivel de seriedad del asunto.
Hay también una cara positiva que conviene no ignorar: cuando tus clientes empresariales empiecen a pedir conformidad a sus proveedores (y lo harán, porque a ellos les obliga), llegar con los deberes hechos es un argumento de venta.
Lo que conviene retener
El Cyber Resilience Act convierte la seguridad en una característica obligatoria de todo lo digital que vendas, con el marcado CE como prueba. Tienes septiembre de 2026 para poder notificar y diciembre de 2027 para cumplir del todo, y la parte difícil (saber de qué está hecho tu producto y quién lo mantiene) se decide en los contratos y en el diseño, no al final. Si vendes con tu marca algo que desarrolló otro, la responsabilidad es tuya: más vale saberlo pronto.
Si fabricas o encargas software o dispositivos conectados y no sabes por dónde empezar a ordenar esto, escríbenos y lo miramos juntos: en una conversación se aclara bastante si tu producto entra en el reglamento y qué te falta.
Artículos relacionados
Preguntas frecuentes sobre
Cómo mejorar mi negocio con la metodología Anticompetencia
En Tangram no queremos que la información pase por una cadena interminable de intermediarios donde se pierden los detalles importantes.
Contarás con un interlocutor que coordinará la comunicación y trasladará las decisiones al equipo responsable de tu proyecto.
Cuando sea necesario profundizar en cuestiones de estrategia, diseño o tecnología, podremos involucrar a los especialistas correspondientes.
Así tendrás una comunicación organizada, sin necesidad de gestionar personalmente a todos los profesionales que intervienen.
Queremos que tengas acceso al conocimiento de un equipo especializado, sin sufrir la complejidad de coordinarlo.
No tendrás que averiguar a quién escribir cada vez que tengas una duda.
En Tangram contemplamos la figura del Account Manager como interlocutor principal, encargado de acompañarte durante el proyecto, coordinar la comunicación y facilitar el seguimiento de las decisiones.
Nuestra metodología incluye reuniones de revisión, canales de comunicación y herramientas para que puedas participar en el trabajo.
La organización concreta, la frecuencia de las reuniones y los canales disponibles se establecerán según el proyecto contratado.
Lo importante es que sepas con quién hablar, en qué punto está tu proyecto y qué decisiones necesitan tu participación.
Sí, podemos valorar una colaboración con los profesionales que ya trabajan en tu empresa.
No siempre tiene sentido sustituir un equipo que conoce bien tu negocio. En muchas situaciones, lo más útil es complementar sus conocimientos con especialistas en determinadas áreas.
Podemos estudiar qué responsabilidades asumiría Tangram, cuáles mantendría tu equipo y cómo coordinar las decisiones para evitar duplicidades.
La forma concreta de colaboración dependerá de la organización, las herramientas y las necesidades del proyecto.
No se trata de reemplazar lo que ya funciona, sino de aportar el conocimiento que necesitas para llegar más lejos.
No tienes por qué cambiar de proveedor para explorar una colaboración con Tangram.
Durante nuestra trayectoria hemos trabajado con agencias y consultoras, participando en proyectos en los que cada empresa asumía una parte diferente del trabajo.
Esa experiencia nos permite comprender la importancia de definir responsabilidades y coordinar a los profesionales implicados.
Podemos valorar una colaboración para cubrir necesidades concretas que tu proveedor actual no ofrece o para reforzar determinadas áreas.
Si tienes una relación profesional que funciona, no queremos que la rompas sin motivo. Queremos encontrar dónde podemos aportar valor.
La confidencialidad es especialmente importante cuando hablamos de nuevas ideas de negocio, información económica, estrategias comerciales o desarrollos tecnológicos.
En Tangram tenemos experiencia trabajando en proyectos sujetos a acuerdos de confidencialidad, motivo por el que no podemos mostrar públicamente muchos de los trabajos en los que hemos participado.
Si tu proyecto requiere un acuerdo de confidencialidad (NDA) antes de compartir información sensible, podemos revisar sus condiciones y acordar cómo proteger esa información antes de entrar en los detalles.
Entendemos que la confianza empieza por respetar lo que todavía no quieres hacer público.