Preguntas frecuentes para fabricantes de maquinaria sobre el Reglamento de la Ciberresiliencia

El marco de aplicación del CRA, las normas armonizadas y las directrices de apoyo continúan evolucionando. Por ello, nuestro partner Secomea actualizará estas preguntas frecuentes cuando sea pertinente, a medida que se publiquen nuevas directrices y normas.

¿Qué es el CRA y a quién se aplica?

El Reglamento de Ciberresiliencia (Cyber Resilience Act, CRA) es un reglamento de la UE que establece requisitos de ciberseguridad para todos los productos con elementos digitales comercializados en el mercado de la UE. Se aplica a los fabricantes, incluidos los fabricantes de dispositivos y maquinaria, y les exige garantizar la seguridad durante todo el ciclo de vida del producto.

¿Cuándo se aplica el CRA y cuál es el calendario?

El Reglamento de Ciberresiliencia entró en vigor el 10 de diciembre de 2024. Las obligaciones de notificación del artículo 14 son aplicables desde el 11 de septiembre de 2026 y exigen a los fabricantes notificar las vulnerabilidades explotadas activamente y los incidentes graves de seguridad que afecten a sus productos. La mayoría de los demás requisitos del CRA, incluidos los relativos a la ciberseguridad de los productos, la evaluación de la conformidad y el marcado CE, serán aplicables a partir del 11 de diciembre de 2027. Por tanto, los fabricantes ya deben cumplir las obligaciones de notificación mientras se preparan para el pleno cumplimiento del CRA.

¿Qué es un «producto con elementos digitales»?

Un producto con elementos digitales es cualquier hardware o software que pueda procesar, almacenar o transmitir datos y que tenga una conexión directa o indirecta con una red o dispositivo. Esto incluye maquinaria industrial, controladores y soluciones de acceso remoto.

¿El uso de Secomea cambia la clasificación CRA de mi máquina?

No. La clasificación CRA de un producto viene determinada por su funcionalidad principal y su finalidad prevista, no por los componentes individuales integrados en él. Una solución de acceso remoto como Secomea puede influir en la forma en que se implementa la seguridad, pero no redefine la clasificación del producto.

¿Las soluciones basadas en VPN generan más obligaciones en virtud del CRA que las herramientas que no utilizan VPN?

No. El CRA no diferencia entre tecnologías VPN y no VPN. El reglamento se centra en cómo se gestionan los riesgos de ciberseguridad, incluidos la autenticación, el control de acceso y la exposición del sistema, y no en etiquetas técnicas específicas.

¿Es Secomea responsable del cumplimiento del CRA de mi máquina?

No. Secomea es responsable de garantizar que sus propios productos cumplan los requisitos aplicables del CRA. Como fabricante de maquinaria, usted sigue siendo responsable del cumplimiento del CRA de la máquina completa que comercializa, incluida la forma en que Secomea y otros componentes se integran y utilizan.

¿Cómo me ayuda Secomea a cumplir los requisitos del CRA?

Secomea ayuda a los fabricantes de maquinaria a cumplir los requisitos del CRA proporcionando acceso remoto seguro y conectividad controlada, y contribuyendo al cumplimiento de requisitos clave de ciberseguridad como el control de acceso, las comunicaciones seguras y la reducción de la exposición. Secomea también facilita la seguridad durante el ciclo de vida mediante actualizaciones seguras de firmware y proporcionando visibilidad sobre las vulnerabilidades a través de Secomea PRIME.

¿Es necesario cumplir el CRA para obtener el marcado CE?

Sí. Los requisitos del CRA están integrados en el proceso de marcado CE, lo que significa que el cumplimiento de los requisitos de ciberseguridad es una condición para comercializar productos en el mercado de la UE. Sin cumplir los requisitos del CRA, un producto no puede llevar legalmente el marcado CE ni venderse en la UE.

¿Qué ocurre si un fabricante de maquinaria no cumple el CRA?

El incumplimiento puede dar lugar a que el producto sea retirado o no pueda comercializarse en el mercado de la UE, así como a importantes sanciones económicas, incluidas multas basadas en el volumen de negocio de la empresa.

¿Se aplica el CRA a todos los componentes de una máquina?

Sí. La evaluación del CRA debe considerar la ciberseguridad del producto completo, incluidos los componentes de terceros integrados, como PLC, HMI y soluciones de acceso remoto. Debe aplicarse la diligencia debida adecuada para garantizar que estos componentes no comprometan la ciberseguridad de la máquina.

Si necesito sustituir un componente durante el periodo de soporte de la máquina, ¿debo proporcionar el recambio gratuitamente?

No necesariamente. Por lo general, las actualizaciones de seguridad durante el periodo de soporte declarado deben proporcionarse de forma gratuita, pero el CRA no establece un requisito general de proporcionar gratuitamente hardware de sustitución. No obstante, el fabricante de la máquina sigue siendo responsable de abordar los riesgos de ciberseguridad durante el periodo de soporte de la máquina y no puede eludir sus obligaciones de gestión de vulnerabilidades simplemente exigiendo al cliente que compre un componente de sustitución.

¿Qué ocurre, según el CRA, si sustituyo un PLC u otro componente de una máquina existente?

La sustitución de un componente no convierte automáticamente la máquina en un producto nuevo a efectos del CRA. Si se utiliza una pieza de repuesto idéntica fabricada conforme a las mismas especificaciones, el CRA contempla una exención específica para dicha pieza. Si se utiliza un componente diferente o más reciente, este puede estar sujeto al CRA y el fabricante de la máquina deberá evaluar si el cambio afecta a la finalidad prevista de la máquina, a su perfil de riesgo de ciberseguridad o a su conformidad. Si es así, el cambio podría constituir una modificación sustancial.

¿Deben los fabricantes de maquinaria realizar una evaluación de riesgos de ciberseguridad?

Sí. Los fabricantes de maquinaria deben realizar una evaluación de riesgos de ciberseguridad de sus productos. Esta evaluación se utiliza para identificar riesgos, determinar qué medidas de seguridad son necesarias y justificar todas las decisiones de diseño y seguridad.

¿Deben los fabricantes de maquinaria evaluar los componentes de terceros (PLC, HMI, SRA, etc.)?

Sí. Los fabricantes deben aplicar la diligencia debida al integrar componentes de terceros para garantizar que no introduzcan riesgos de ciberseguridad inaceptables.

¿Es necesario disponer de acceso remoto para cumplir el CRA?

El CRA no exige explícitamente un acceso remoto seguro. Sin embargo, para los fabricantes con máquinas instaladas en las instalaciones de sus clientes, puede resultar difícil cumplir las obligaciones relativas al ciclo de vida sin él. El acceso remoto seguro facilita la gestión de vulnerabilidades al proporcionar visibilidad sobre las máquinas afectadas y sus versiones de firmware, además de permitir planificar e implementar actualizaciones de seguridad de forma remota.

¿Qué información debo solicitar a los proveedores como parte de la diligencia debida del CRA?

Los fabricantes de maquinaria deben recopilar información suficiente para evaluar si los componentes de terceros pueden integrarse de forma segura y recibir soporte durante todo el ciclo de vida de la máquina. Esto puede incluir el periodo de soporte del proveedor, el proceso de divulgación de vulnerabilidades, los contactos de seguridad, la política de actualizaciones, las versiones de software o firmware compatibles, los avisos de seguridad y la documentación de conformidad pertinente.

¿Necesito una SBOM para mi máquina?

El CRA exige que los fabricantes identifiquen y documenten los componentes incluidos en sus productos, entre otros medios mediante una Lista de Materiales de Software (Software Bill of Materials, SBOM) que cubra al menos las dependencias de nivel superior. Por tanto, una SBOM se convierte en una parte importante para comprender qué componentes de software están presentes y determinar si las vulnerabilidades recién descubiertas afectan a la máquina. El CRA no exige que la SBOM se comparta externamente.

¿Qué información debo incluir sobre el componente Secomea en mi SBOM?

Los fabricantes de maquinaria deben identificar SiteManager como un componente de terceros integrado, incluyendo a Secomea A/S como fabricante, el modelo de SiteManager y la versión de firmware instalada. Secomea no comparte externamente la SBOM interna de sus productos, pero proporciona información sobre firmware y vulnerabilidades que permite a los fabricantes identificar las versiones de SiteManager afectadas y gestionar las vulnerabilidades asociadas durante todo el ciclo de vida de la máquina.

¿Qué se considera una «modificación sustancial» según el CRA?

Una modificación sustancial es cualquier cambio que afecte a la finalidad prevista del producto o introduzca nuevos riesgos de ciberseguridad. Cuando esto ocurre, el producto puede ser considerado un producto nuevo y debe someterse a una nueva evaluación de conformidad.

¿Las actualizaciones de software generan nuevas obligaciones en virtud del CRA?

No todas las actualizaciones lo hacen, pero aquellas que introduzcan nuevas funcionalidades o riesgos pueden considerarse modificaciones sustanciales y requerir una nueva evaluación.

¿Qué significa «seguro por defecto» en el contexto del CRA?

«Seguro por defecto» significa que los productos deben suministrarse con las funciones de seguridad habilitadas y configuradas para minimizar los riesgos sin requerir ninguna acción por parte del usuario. Esto incluye desactivar funciones innecesarias y reducir la superficie de ataque.

¿Los fabricantes de maquinaria deben publicar las vulnerabilidades?

Los fabricantes no tienen necesariamente que publicar todas las vulnerabilidades, pero deben disponer de procesos que permitan recibirlas, evaluarlas y gestionarlas. También deben notificar a las autoridades las vulnerabilidades explotadas activamente y los incidentes graves, lo que incrementa el nivel de responsabilidad y trazabilidad.

¿Necesito disponer de un medio para que los clientes y los investigadores de seguridad puedan comunicarme vulnerabilidades?

Sí. Los fabricantes de maquinaria necesitan un proceso coordinado de divulgación de vulnerabilidades y un punto de contacto claro a través del cual puedan notificarse. Esto permite evaluar, solucionar y comunicar las vulnerabilidades durante todo el periodo de soporte de la máquina.

¿Necesito saber qué máquinas y componentes están afectados por una vulnerabilidad?

Sí. Los fabricantes deben poder identificar los modelos de máquinas, los componentes y las versiones de software o firmware afectados. Cuando la exposición dependa de la configuración, también deberán poder identificarse las configuraciones de seguridad pertinentes. Esto no exige realizar un seguimiento continuo de todos los ajustes de cada cliente, pero los registros y las directrices deben ser suficientes para identificar las máquinas afectadas y comunicar las medidas correctivas necesarias.

¿Cómo debo informar a los clientes sobre vulnerabilidades y actualizaciones de seguridad?

Los fabricantes de maquinaria necesitan un proceso para comunicar las vulnerabilidades relevantes, las actualizaciones de seguridad disponibles y las medidas que deben adoptar los clientes. Esto puede incluir avisos de seguridad, portales de clientes, notificaciones por correo electrónico u otros canales apropiados, en función del producto y de la relación con el cliente.

¿Exige el CRA una gestión automatizada de vulnerabilidades?

El CRA exige procesos eficaces de gestión de vulnerabilidades, pero no obliga a una automatización completa. En los entornos industriales, las actualizaciones suelen requerir validación, pruebas y coordinación, por lo que la automatización debe equilibrarse con la seguridad operativa y la integridad del sistema.

¿Pueden gestionarse las vulnerabilidades sin adoptar medidas inmediatas (por ejemplo, aplicar parches)?

Sí. El CRA permite aplicar un enfoque basado en el riesgo. En muchos casos, las vulnerabilidades pueden mitigarse o supervisarse en lugar de parchearse inmediatamente, especialmente en entornos OT, donde la estabilidad y la seguridad son aspectos fundamentales.

¿Permite Vulnerability Hub ejecutar directamente acciones de mitigación?

Actualmente, Vulnerability Hub proporciona principalmente visibilidad sobre el estado de los dispositivos, como firmware desactualizado o situaciones de fin de vida útil. No ejecuta directamente medidas de mitigación, pero permite tomar decisiones fundamentadas, lo que constituye una parte importante del cumplimiento del CRA.

¿Se pueden realizar actualizaciones de firmware de forma centralizada?

Sí. El acceso remoto seguro de Secomea puede utilizarse para conectarse a componentes de la máquina, como PLC o HMI, y realizar de forma remota las actualizaciones de firmware específicas de sus respectivos fabricantes. Los propios dispositivos Secomea también pueden actualizarse de forma remota para mantenerlos protegidos frente a vulnerabilidades conocidas.

¿Es posible actualmente realizar actualizaciones de firmware totalmente automatizadas?

Por lo general, las actualizaciones totalmente automatizadas a la última versión del firmware no se implementan de forma predeterminada, principalmente porque los fabricantes y operadores de maquinaria necesitan validar la compatibilidad y el comportamiento del sistema antes de aplicar las actualizaciones.

¿Por qué no siempre son aconsejables las actualizaciones automáticas?

En los sistemas industriales, las actualizaciones de firmware pueden afectar al comportamiento del sistema y requerir pruebas, validación (por ejemplo, FAT) y coordinación con otros componentes. Las actualizaciones automáticas sin validación podrían introducir riesgos operativos.

¿Serían útiles las actualizaciones automáticas al «último firmware»?

Desde un punto de vista técnico, las actualizaciones automáticas podrían simplificar la gestión de vulnerabilidades. Sin embargo, muchos fabricantes de maquinaria todavía no están preparados para este enfoque debido a la necesidad de disponer de una validación controlada y de realizar pruebas a nivel de sistema.

¿Se pueden iniciar las actualizaciones de forma centralizada?

Sí. Es posible iniciar actualizaciones a una versión específica de firmware en múltiples dispositivos, pero para ello es necesario seleccionar y gestionar manualmente la versión de destino, en lugar de realizar un seguimiento automático de la «última versión disponible».

¿Aumentará el CRA la carga de trabajo de los fabricantes de maquinaria?

Sí. El CRA introduce obligaciones adicionales relacionadas con la gestión de vulnerabilidades, la documentación y el soporte durante el ciclo de vida, lo que requerirá más tiempo, recursos y procesos estructurados. El CRA exige documentación técnica que demuestre cómo se identifican y mitigan los riesgos. Esta documentación deberá mantenerse y ponerse a disposición de las autoridades si así lo solicitan.

¿Cuál es el periodo de soporte exigido por el CRA?

Los fabricantes de maquinaria deben proporcionar soporte de seguridad durante un periodo mínimo de cinco años. El periodo de soporte debe reflejar el tiempo durante el cual se espera razonablemente que la máquina permanezca en uso y, por lo general, debe ser como mínimo de cinco años. Por tanto, en el caso de maquinaria industrial con una vida útil prevista superior, el periodo de soporte podría tener que ser considerablemente superior a cinco años.

¿Cuál es el periodo de soporte de los productos Secomea?

Secomea ofrece un periodo mínimo de cinco años de soporte de seguridad para sus productos. Esto refleja la rápida evolución del panorama de amenazas que afecta a los productos de ciberseguridad y permite a Secomea proporcionar una gestión eficaz de las vulnerabilidades y actualizaciones de seguridad basadas en tecnologías, componentes y mecanismos de seguridad que puedan mantenerse durante todo ese periodo.

¿Necesito conocer los periodos de soporte de los componentes incluidos en mi máquina?

Sí. Los periodos de soporte de los componentes de terceros que proporcionan funciones esenciales son uno de los factores que un fabricante de maquinaria puede tener en cuenta al determinar el periodo de soporte de la máquina completa. Si un componente llega al final de su periodo de soporte antes que la máquina, el fabricante sigue siendo responsable de gestionar las vulnerabilidades del producto completo y puede necesitar otra forma de mitigar el riesgo.

¿Qué ocurre si un componente llega al final de su periodo de soporte mientras mi máquina continúa dentro de su periodo de soporte?

La responsabilidad del fabricante de la máquina no finaliza simplemente porque el proveedor deje de dar soporte a un componente. Si una vulnerabilidad afecta a la máquina durante su periodo de soporte, el fabricante debe seguir abordando el riesgo, por ejemplo, mediante su mitigación, la sustitución del componente u otra medida técnica adecuada.

¿Necesitan los fabricantes de maquinaria Acuerdos de Nivel de Servicio (SLA)?

La implantación de SLA adquiere una importancia cada vez mayor, ya que el soporte continuo, las actualizaciones y la gestión de vulnerabilidades requerirán responsabilidades, plazos y una planificación de recursos claramente definidos.

¿Por qué está adquiriendo tanta importancia la seguridad durante todo el ciclo de vida?

El CRA desplaza el enfoque desde la simple entrega de un producto hacia su mantenimiento seguro a lo largo del tiempo. Esto incluye supervisar las vulnerabilidades, aplicar actualizaciones y garantizar el cumplimiento continuado durante todo el ciclo de vida del producto.

Si tiene preguntas sobre la preparación de Secomea para el CRA, la integración de Secomea en sus máquinas o cómo nuestras capacidades pueden contribuir a la gestión de vulnerabilidades y a la seguridad durante todo el ciclo de vida, póngase en contacto con nosotros.

También agradecemos las preguntas que todavía no están incluidas en estas preguntas frecuentes. Nos ayudan a comprender qué aspectos necesitan una mayor aclaración por parte de los fabricantes de maquinaria y servirán de base para desarrollar nuevos materiales de apoyo y preparación para el CRA.

¿Quién en Secomea? Más información.