La Unión Europea se toma en serio la ciberseguridad de los dispositivos conectados. El Cyber Resilience Act (CRA) es la normativa más exhaustiva que se haya aprobado jamás para la seguridad de los dispositivos IoT – es decir, los aparatos cotidianos conectados a Internet. Y afecta directamente a lo que muchos de nosotros utilizamos a diario: sistemas de alarma, cámaras de videovigilancia, cerraduras inteligentes y sistemas Smart Home. «Su sistema de alarma le protege de los ladrones – pero ¿quién protege su sistema de alarma frente a los hackers?»
¿Qué es el Cyber Resilience Act de la UE?
El Cyber Resilience Act es un reglamento europeo que establece requisitos obligatorios de ciberseguridad para todos los productos con elementos digitales – es decir, para cualquier dispositivo que tenga una conexión de red. La ley fue aprobada en octubre de 2024 y entra en vigor de forma escalonada.
Las exigencias principales del CRA:
- Security by Design: la ciberseguridad debe integrarse desde el principio en el desarrollo del producto – no añadirse posteriormente.
- Actualizaciones de seguridad obligatorias: los fabricantes deben proporcionar actualizaciones de seguridad durante toda la vida útil prevista del producto.
- Obligación de notificar vulnerabilidades: las brechas de seguridad explotadas activamente deben notificarse a ENISA, la agencia europea de ciberseguridad, en un plazo de 24 horas.
- Sin contraseñas estándar: los dispositivos no podrán entregarse con contraseñas predeterminadas como «admin/admin».
- Transparencia: los fabricantes deberán llevar un inventario de software (SBOM) y publicar información de seguridad.
Calendario: ¿cuándo entra en vigor cada medida?
A partir del 11 de septiembre de 2026, todos los fabricantes deberán cumplir la obligación de notificar vulnerabilidades. A partir del 11 de diciembre de 2027, todos los productos que se vendan en la UE deberán cumplir los requisitos completos del CRA – incluidos Security by Design, la obligación de actualizar y la documentación.
¿Qué dispositivos se ven afectados?
El CRA se aplica a prácticamente todos los dispositivos conectados. Especialmente relevantes para el ámbito de la seguridad:
- Cámaras de videovigilancia (cámaras IP, videoporteros, sistemas NVR)
- Sistemas de alarma con conexión de red (WiFi, GSM, LAN)
- Cerraduras inteligentes y controles de acceso electrónicos
- Detectores de movimiento y sensores con conexión inalámbrica
- Centrales y pasarelas Smart Home
- Detectores de humo y sensores de agua con funcionalidad de red
El CRA diferencia entre productos «normales» y «críticos». Los sistemas de alarma y los controles de acceso pertenecen a la categoría superior y están sujetos a requisitos de verificación más estrictos – incluidas auditorías externas.
Qué significa para alarmas y cámaras
Para el consumidor, el CRA es una buena noticia: en el futuro podrá confiar en que los dispositivos de seguridad conectados son realmente ciberseguros. Concretamente, cambia lo siguiente:
Se acabaron los dispositivos «Plug and Pray»
Hasta ahora, los fabricantes podían vender cámaras IP baratas con contraseñas estándar y sin cifrado. Estos dispositivos son una puerta de entrada para los hackers – en el peor de los casos, desconocidos pueden utilizar su propia cámara en su contra. El CRA pone fin a esto: cada dispositivo deberá estar configurado de forma segura de fábrica.
Actualizaciones de seguridad obligatorias
¿Conoce esta situación? Una cámara instalada hace tres años que no recibe actualizaciones desde hace dos. En el futuro esto ya no será legal. Los fabricantes deberán proporcionar actualizaciones durante todo el ciclo de vida. Quien no pueda o no quiera hacerlo, no podrá vender en la UE. La importancia de las actualizaciones periódicas también en relación con la protección de datos ya la hemos tratado.
Transparencia sobre el estado de seguridad
Los fabricantes tendrán que revelar qué componentes de software incluyen sus dispositivos. Esto permitirá a los expertos en seguridad y a los consumidores evaluar el estado real de seguridad.
Cámaras baratas frente a sistemas profesionales – la diferencia crece
El CRA cambiará el mercado. Las cámaras y los sistemas de alarma baratos sin marca, procedentes de Extremo Oriente, que hasta ahora se vendían en marketplaces, lo tendrán mucho más difícil. Los requisitos del CRA generan costes – para el desarrollo, las pruebas, las auditorías y la provisión de actualizaciones a largo plazo. «Barato no es económico – y menos aún seguro.»
La consecuencia para el consumidor: quien invierta en una alarma o un sistema de cámaras debe apostar por fabricantes que demuestren cumplir los requisitos del CRA. Protexium trabaja exclusivamente con fabricantes con certificación europea que ya cumplen o superan los estándares futuros.
El CRA se aplica a los productos nuevos que se comercialicen a partir de diciembre de 2027. Los dispositivos ya instalados no se ven afectados, pero es posible que dejen de recibir actualizaciones si el fabricante abandona el mercado. Si su sistema tiene más de 5 años, merece la pena una revisión de seguridad.
Cómo Protexium ya cumple con el CRA
Para los clientes de Protexium, el CRA cambia poco – porque ya cumplimos la mayoría de los requisitos:
- Sistemas certificados: todas las instalaciones de Protexium están certificadas según EN 50131 y cumplen los más altos estándares europeos de seguridad.
- Comunicación cifrada: nuestros sistemas inalámbricos utilizan protocolos de radio cifrados – sin WiFi abierto, sin Bluetooth inseguro.
- Actualizaciones periódicas: las actualizaciones de firmware se aplican de forma centralizada a través de la central de alarmas – usted no tiene que preocuparse de nada.
- Sin contraseñas estándar: cada sistema se configura individualmente durante la instalación – con credenciales propias y autenticación de dos factores.
- Fabricantes europeos: trabajamos exclusivamente con fabricantes que producen en la UE e implementan el CRA de forma proactiva.
«La ciberseguridad no es una característica – es un requisito básico. En Protexium siempre ha sido así.»
Lista de comprobación: ¿está su tecnología de seguridad preparada para el CRA?
Revise su instalación actual con estas preguntas:
- ¿Se cambiaron las contraseñas estándar durante la instalación?
- ¿Está el firmware actualizado a la última versión?
- ¿Utiliza el sistema comunicación cifrada (sin WiFi abierto)?
- ¿Existe un fabricante identificado con soporte en la UE?
- ¿Recibe actualizaciones de seguridad periódicas?
- ¿Está la conexión con la app protegida con autenticación de dos factores?
- ¿Fue el sistema instalado y configurado profesionalmente?
Si responde «No» o «No lo sé» a más de dos preguntas, debería hacer revisar su instalación. Protexium ofrece un chequeo de seguridad gratuito – también para sistemas existentes de otros proveedores.
Conclusión: más seguridad para todos – si se apuesta por los socios adecuados
El Cyber Resilience Act de la UE es un paso importante para la seguridad de los dispositivos conectados. Obliga a los fabricantes a tomarse en serio la ciberseguridad – y protege al consumidor frente a productos baratos inseguros que representan más riesgo que protección. «Una cerradura que se puede hackear no es una cerradura – es una invitación.»
Para usted como consumidor esto significa: apueste por tecnología de seguridad de proveedores certificados que ya cumplen hoy los estándares de mañana. Y haga revisar periódicamente sus sistemas existentes – la seguridad física y la ciberseguridad van de la mano.
