Ley de Resiliencia Cibernética (CRA)

Aplicación eficaz de los requisitos de la CRA con Versio.io

En pocas palabras Solicitar demostración Iniciar prueba gratuita

¿Qué es la Ley de Resiliencia Cibernética?

La Ley de Resiliencia Cibernética (Reglamento (UE) 2024/2847) es la primera normativa a escala de la UE que establece requisitos obligatorios de ciberseguridad para los productos con elementos digitales. Abarca prácticamente todos los productos de hardware y software que se comercializan en el mercado de la UE y que pueden conectarse directa o indirectamente a un dispositivo o a una red, desde dispositivos del Internet de las cosas (IoT) y controladores industriales hasta Firewalls, sistemas operativos y software empresarial.

Mientras que la NIS2 y la DORA regulan a los operadores de sistemas de información, la CRA se dirige a los fabricantes, importadores y distribuidores de productos. Los fabricantes deben garantizar que sus productos sean seguros desde el diseño, que las vulnerabilidades se gestionen a lo largo de todo el periodo de soporte y que se notifiquen las vulnerabilidades explotadas activamente y los incidentes graves. El cumplimiento se acredita mediante el marcado CE; las infracciones de los requisitos esenciales pueden ser sancionadas con multas de hasta 15 millones de euros o el 2,5 % de la facturación anual total a nivel mundial.

¿Qué partes de la CRA son relevantes?

La base jurídicamente vinculante es el propio reglamento. Para su aplicación técnica y organizativa, son determinantes los siguientes aspectos:

Anexo I, Parte I - Requisitos de ciberseguridad relacionados con las características del producto, por ejemplo: ausencia de vulnerabilidades explotables conocidas, configuración segura por defecto, protección de la integridad y superficies de ataque limitadas.
Anexo I, Parte II - Requisitos para la gestión de vulnerabilidades, por ejemplo: lista de componentes de software (SBOM), corrección inmediata, tests periódicos, divulgación coordinada de vulnerabilidades y distribución segura de actualizaciones.
Artículo 13 - Obligaciones de los fabricantes, entre las que se incluyen la evaluación de riesgos de ciberseguridad, la diligencia debida respecto a los componentes de terceros y de Open Source, y un periodo de asistencia técnica que, por regla general, debe ser de al menos cinco años.
Artículo 14 - Obligaciones de notificación en caso de vulnerabilidades explotadas activamente e incidentes graves: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final.
Anexo VII - Contenido de la documentación técnica, incluida la evaluación de riesgos, los procesos de gestión de vulnerabilidades, la lista de componentes de software (SBOM) y la información utilizada para determinar el periodo de soporte.

Actualmente se están elaborando normas europeas armonizadas que especifican estos requisitos con mayor detalle. Hasta que se publiquen, el texto del reglamento seguirá siendo la referencia para la tabla que figura a continuación.

Calendario de la CRA: ¿qué se aplica y cuándo?

10 de diciembre de 2024 - La CRA entró en vigor.
11 de junio de 2026 - Se aplican las disposiciones relativas a la notificación de los organismos de evaluación de la conformidad (capítulo IV).
11 de septiembre de 2026 - Las obligaciones de notificación previstas en el artículo 14 se aplican a todos los productos con elementos digitales comercializados, incluidos aquellos que se hayan comercializado antes de esa fecha.
11 de diciembre de 2027 - El resto de obligaciones siguen siendo plenamente aplicables. A partir de esta fecha, solo podrán comercializarse en el mercado de la UE aquellos productos nuevos que cumplan los requisitos de la CRA.

Tu herramienta CRA: Versio.io

La CRA exige a los fabricantes que sepan en todo momento qué componentes contiene cada versión del producto, qué vulnerabilidades les afectan y durante cuánto tiempo se les ofrece soporte técnico. Versio.io automatiza precisamente esta labor de inventario y supervisión, y proporciona pruebas válidas ante una auditoría tanto para la documentación técnica como para las autoridades de vigilancia del mercado.

En los apartados siguientes se indican los requisitos de la CRA que Versio.io cumple. Los requisitos relacionados con el diseño seguro del propio producto, como los mecanismos de cifrado o autenticación, siguen siendo responsabilidad del equipo de desarrollo de su producto.

Lista de materiales de software (SBOM) e inventario de componentes

CRA: Anexo I, parte II (1); art. 13, apartado 5; anexo VII, apartado 2, letra b), y apartado 8

Versio.io detecta automáticamente el hardware, los sistemas operativos, los productos de software y los marcos de trabajo, indicando sus versiones exactas. A partir de este inventario, puedes crear una SBOM para cada versión del producto o importar las SBOM facilitadas por tus proveedores. Esto te ofrece una visión general completa y legible por máquina de todos los componentes y dependencias de terceros, lo que constituye la base para la diligencia debida y la gestión de vulnerabilidades.

Versio.io: gestión de activos de software y SBOM

Versio.io IOS Base de datos de configuración de sistemas (CMDB)

Gestión de vulnerabilidades

CRA: Anexo I, Parte I, apartado 2, letra a); Anexo I, Parte II, apartados 2 y 3; artículo 13, apartado 6

Versio.io compara continuamente todas las versiones de los componentes detectados con una base de datos CVE actualizada. Las nuevas vulnerabilidades se notifican de inmediato, incluyendo los productos y versiones afectados, y Versio.io recomienda a qué versiones debes cambiar. Esto te ayuda a comercializar productos sin vulnerabilidades explotables conocidas y a subsanar las vulnerabilidades sin demora durante el periodo de soporte.

Gestión del ciclo de vida y las vulnerabilidades de los productos Versio.io

Período de soporte y gestión end-of-life

CRA: Art. 13, apartados 8 y 19; anexo II, apartado 7; anexo VII, apartado 4

Tu producto debe contar con actualizaciones de seguridad durante al menos cinco años. Esto solo es posible si los componentes que contiene siguen recibiendo mantenimiento. Versio.io conoce las fechas de end-of-life de miles de productos y te avisa con antelación si un componente deja de recibir soporte del fabricante antes de que finalice tu propio periodo de soporte. Esta información también sirve como prueba documentada a la hora de determinar el periodo de soporte.

Gestión del end-of-life de Versio.io

Evaluación de riesgos de ciberseguridad

CRA: Art. 13, apartados 2 a 4 y 7; anexo VII, apartado 3

La CRA exige una evaluación de riesgos documentada que se mantenga actualizada durante todo el periodo de soporte. Versio.io recopila las versiones obsoletas, las vulnerabilidades conocidas y las infracciones de configuración como riesgos, les asigna una ponderación en función de su gravedad y de los requisitos de protección, y realiza un seguimiento de todas las medidas correctivas de forma que quede todo documentado para una posible auditoría.

Gestión de riesgos de Versio.io

Configuración y refuerzo de seguridad predeterminados

CRA: Anexo I, Parte I, apartado 2, letras b) y j)

Versio.io comprueba las configuraciones según tus propias políticas y los estándares de seguridad reconocidos. Úsalo para verificar sistemas de referencia, imágenes y dispositivos antes de su entrega: los servicios innecesarios, los puertos abiertos y los ajustes predeterminados inseguros se detectan antes de que el producto llegue al cliente.

Gobernanza comparativa de Versio.io

Supervisión de la política de Versio.io

Integridad del software y las configuraciones

CRA: Anexo I, Parte I, apartado 2, letra f); Anexo I, Parte II, apartado 7

Versio.io supervisa la integridad de los archivos binarios y las configuraciones mediante sumas de comprobación. Las modificaciones no autorizadas en programas, bibliotecas o archivos de configuración —ya sea en tu entorno de compilación y lanzamiento o en las instalaciones entregadas— se detectan de inmediato.

Verificación de la integridad de archivos binarios con Versio.io

Seguimiento de los cambios y documentación técnica

CRA: Art. 13, apartados 3, 13 y 14; anexo VII, apartado 1, letra b), y apartado 2, letra c)

Cada cambio en las versiones, los componentes y las configuraciones se detecta automáticamente y se registra de forma que quede documentado para una posible auditoría. Esto te permite demostrar en cualquier momento qué versión de tu producto contenía qué componentes y qué vulnerabilidades se conocían en ese momento, incluso años después, ya que la documentación técnica debe conservarse durante al menos diez años.

Supervisión de cambios en Versio.io

Obligaciones de notificación y gestión de incidentes

CRA: art. 14, apartados 1 a 4 y 8; anexo I, parte II, punto 4

El plazo de 24 horas para una alerta temprana comienza en cuanto se tiene conocimiento de una vulnerabilidad que está siendo explotada activamente. Versio.io te avisa de inmediato, crea tickets en tu solución ITSM y muestra qué productos, versiones e instalaciones de clientes se ven afectados. Todo el historial, desde la detección hasta la actualización de seguridad, queda documentado de forma que se pueda auditar y proporciona la información necesaria para la notificación y el informe final al CSIRT y a la ENISA.

Procesamiento de eventos y alertas de Versio.io

También es relevante para los operadores

La CRA también beneficia a las empresas que utilizan productos con elementos digitales: los fabricantes deben facilitar información sobre el periodo de soporte y, en su caso, la SBOM. Versio.io importa esta información, la compara con tu parque instalado y supervisa las vulnerabilidades y las fechas de end-of-life, lo que constituye un pilar fundamental para la seguridad de la cadena de suministro, tal y como exigen la NIS2 y la DORA.