La Ley de Ciberresiliencia de la Unión Europea, adoptada en 2024, establece un marco regulatorio integral diseñado para fortalecer la ciberseguridad en todo el continente. Esta legislación se implementará en fases y requiere que las organizaciones desplieguen medidas defensivas exhaustivas contra ciberataques a partir de 2026 o 2027. Sin embargo, evaluaciones recientes del sector revelan que muchas empresas aún no han alcanzado el cumplimiento adecuado de los estándares técnicos asociados con esta regulación.

Estado actual de la implementación

Según una encuesta sectorial reciente realizada por ONEKEY, empresa de ciberseguridad con sede en Düsseldorf, el panorama de implementación presenta una imagen desigual. La encuesta, que recopiló datos de 300 organizaciones respecto a sus estrategias de tecnología operacional (OT) y enfoques de Internet de las Cosas (IoT), encontró que el 38 por ciento de las empresas alemanas han iniciado medidas preliminares de cumplimiento. Un 14 por ciento adicional ya ha implementado medidas exhaustivas para cumplir con los requisitos regulatorios de la UE. Aunque estas cifras sugieren que más de la mitad de las empresas encuestadas ha tomado alguna acción, los datos también indican un margen sustancial para mejorar en todo el sector industrial.

Jan Wendenburg, consejero delegado de ONEKEY, expresó un optimismo cauteloso sobre estos desarrollos, señalando que es alentador que la mayoría de las empresas hayan comenzado a abordar las nuevas regulaciones de la UE. Sin embargo, enfatizó que el alcance de la nueva regulación de ciberseguridad se extiende significativamente más allá de los sistemas tradicionales de computación y redes. La legislación abarca tecnologías de Industria 4.0 y todo el sector IoT, incluyendo dispositivos, máquinas y sistemas que incorporan componentes digitales y conectividad a internet, pero que no son computadoras convencionales.

Estándares técnicos pasados por alto

A pesar del progreso realizado hasta la fecha, la encuesta revela brechas críticas en la adopción de estándares técnicos esenciales requeridos para el cumplimiento de la Ley de Ciberresiliencia.

Subutilización del estándar IEC 62443-4-2

El estándar IEC 62443-4-2, que establece requisitos técnicos de seguridad para componentes de sistemas de automatización y control industrial, es considerado por solo el 27 por ciento de las organizaciones encuestadas. Este estándar establecido proporciona metodologías comprobadas para cumplir con los requisitos técnicos de ciberseguridad y contribuiría significativamente al cumplimiento regulatorio futuro. El estándar especifica requisitos de seguridad en siete categorías fundamentales: identificación y autenticación, control de uso, integridad del sistema, confidencialidad de datos, flujo de datos restringido, respuesta oportuna a eventos y disponibilidad de recursos. Estos requisitos se clasifican en cuatro niveles de seguridad (SL 0-4), indicando grados de protección contra diversas categorías de amenazas, que van desde el mal uso involuntario hasta ataques intensivos. El marco tiene como objetivo definir capacidades de seguridad de componentes que permitan resistencia independiente contra ataques sin requerir contramedidas complementarias.

Estándar ETSI EN 303 645 desatendido

De manera similar, el estándar ETSI EN 303 645, que define requisitos de ciberseguridad para dispositivos IoT de consumidor y sirve como estándar armonizado para el cumplimiento de la Ley de Ciberresiliencia, recibe consideración de aproximadamente el 25 por ciento de las empresas encuestadas. Este estándar abarca 13 requisitos fundamentales, incluyendo configuraciones seguras por defecto, protección de datos personales, actualizaciones de software y comunicaciones seguras. El cumplimiento de este estándar establece una base requisita para la adhesión regulatoria futura y permite a los fabricantes obtener el marcado CE necesario para el acceso al mercado de la UE.

El cumplimiento de la Directiva de Equipos Radioeléctricos se queda atrás

La Directiva de Equipos Radioeléctricos (RED, referenciada como EN18031) presenta otro desafío de cumplimiento significativo. Actualmente, solo el 16 por ciento de las organizaciones encuestadas cumplen este requisito, a pesar de su importancia fundamental para dispositivos, sistemas y máquinas conectados en red. Con el aumento del uso de conectividad inalámbrica en maquinaria industrial, sensores, actuadores y productos digitales, los requisitos de compatibilidad electromagnética se vuelven esenciales. La directiva requiere que los fabricantes aseguren que sus productos habilitados para wireless cumplan con requisitos esenciales antes de la comercialización en el mercado de la UE.

Camino hacia adelante y mecanismos de apoyo

Jan Wendenburg caracterizó la Ley de Ciberresiliencia como un marco regulatorio particularmente exhaustivo que abarca desde estándares técnicos hasta obligaciones de divulgación de información. Reconoció que los desafíos de implementación son sustanciales para las organizaciones industriales, pero enfatizó que el cumplimiento pronto se convertirá en un requisito previo para vender, comercializar u operar dispositivos, sistemas e instalaciones conectados en toda la Unión Europea.

ONEKEY proporciona apoyo práctico a través de talleres de evaluación que guían a las organizaciones en la preparación para la Directiva de Equipos Radioeléctricos y la Ley de Ciberresiliencia. Estas sesiones educan a los participantes sobre los impactos regulatorios en sus operaciones específicas y entregan planes de evaluación individualizados. Mediante revisiones de procesos detalladas, las organizaciones analizan áreas críticas incluyendo desarrollo de software y gestión de vulnerabilidades. Los análisis de brechas posteriormente identifican deficiencias de cumplimiento existentes y recomiendan enfoques de remediación. Las empresas participantes reciben hojas de ruta personalizadas que demuestran cómo los requisitos de RED y CRA pueden implementarse sistemática y eficientemente.

El período de transición concluye en 2026-27, lo que hace que la acción inmediata sea esencial para las organizaciones industriales que buscan mantener el acceso al mercado de la UE.

Empresas alemanas se quedan atrás en estándares de ciberresiliencia de la UE mientras se acerca el plazo de 2026

Poco más de la mitad de las empresas industriales y tecnológicas alemanas han comenzado a alinearse con la nueva Ley de Ciberresiliencia de la Unión Europea, y una fracción aún menor cumple con las normas técnicas que pronto serán obligatorias, según una encuesta reciente publicada en Düsseldorf. A pesar de la implementación escalonada de la ley que comienza el próximo año, solo el 38 por ciento de las empresas han iniciado trabajos preparatorios, y apenas el 14 por ciento reporta haber completado un programa de cumplimiento completo, encontró el estudio.

Los hallazgos subrayan una brecha creciente entre la intención regulatoria y la preparación corporativa mientras Bruselas busca fortalecer la infraestructura digital europea contra amenazas cibernéticas en aumento. Adoptada en 2024, la Ley de Ciberresiliencia (CRA) requerirá que cualquier producto con componentes digitales, desde robots de piso de fábrica hasta dispositivos IoT para el hogar, cumpla con criterios de seguridad básicos antes de poder venderse en la UE. El incumplimiento después de que expire el período de gracia en 2026-27 podría excluir a las empresas de uno de los mercados únicos más grandes del mundo.

La empresa de ciberseguridad con sede en Düsseldorf ONEKEY encargó la encuesta de 300 organizaciones que operan en entornos de tecnología operacional (OT) e Internet de las Cosas (IoT). Su informe, resumido por el medio especializado B2B-Cyber-Security, ofrece una instantánea detallada de dónde se encuentra la industria alemana en el camino hacia el cumplimiento. Las cifras principales: 38 por ciento comenzando la implementación y 14 por ciento completándola, parecen alentadores a primera vista, pero también revelan que casi la mitad del mercado sigue en los bloques de salida menos de dos años antes de que entre en vigor la aplicación B2B-Cyber-Security.

Entre quienes trabajan en cumplimiento, la adopción de los estándares individuales referenciados por la CRA es desigual:

• IEC 62443-4-2, la norma de referencia para asegurar componentes de automatización industrial, es considerada por solo el 27 por ciento de las empresas encuestadas.
• ETSI EN 303 645, considerada la norma fundamental para ciberseguridad de IoT de consumo, es citada por aproximadamente uno de cada cuatro encuestados.
• La Directiva de Equipos Radioeléctricos (RED), que rige los productos habilitados para conexión inalámbrica e incluirá pronto cláusulas específicas de ciberseguridad, actualmente es cumplida por apenas el 16 por ciento de las empresas.

Todas las cifras provienen de la misma encuesta y fueron reportadas en el resumen en español de B2B-Cyber-Security sobre la implementación de la CRA aquí.

Por qué importan los estándares

IEC 62443-4-2 especifica requisitos para identificación y autenticación, control de uso, integridad del sistema, confidencialidad de datos y otros pilares de lo que el estándar denomina desarrollo «seguro por diseño» para componentes industriales. El cumplimiento a nivel de componente está destinado a garantizar que líneas de producción completas puedan resistir ataques sin parches improvisados.

ETSI EN 303 645, por el contrario, se dirige a la esfera IoT de consumo y proconsumo. Sus 13 reglas básicas, que van desde prohibir contraseñas predeterminadas hasta exigir mecanismos de actualización segura, están programadas para convertirse en el estándar «armonizado» de la CRA, proporcionando a los fabricantes una ruta clara hacia el codiciado marcado CE para ventas europeas.

RED, ya familiar para los fabricantes por sus requisitos de radiofrequencia y compatibilidad electromagnética, integrará disposiciones de ciberseguridad que cubren máquinas conectadas, sensores e incluso electrodomésticos. Cumplir con los criterios RED se convertirá por tanto en un requisito previo no solo para la gestión del espectro sino también para la ciberresiliencia.

Jan Wendenburg, consejero delegado de ONEKEY, advirtió que pasar por alto cualquiera de estas normas podría ser costoso. «El alcance de la nueva regulación de la UE se extiende mucho más allá de la infraestructura informática clásica», dijo en comentarios transmitidos por el mismo medio de la industria. «Ahora abarca cada máquina industrial, cada dispositivo de consumidor conectado, básicamente cualquier cosa con un componente digital».

Cómo se están preparando las empresas

La encuesta indica que las empresas alemanas están adoptando un enfoque escalonado. Aproximadamente cuatro de cada diez han lanzado análisis de brechas iniciales o proyectos piloto. El 14 por ciento que reporta «medidas exhaustivas» tiende a ser fabricantes más grandes que ya siguen ISO 27001 o esquemas específicos del sector y por lo tanto pueden asignar controles existentes a requisitos de la CRA.

Para acelerar el proceso, ONEKEY ofrece talleres de evaluación que diseccionan ciclos de vida de productos de las empresas, desde desarrollo de software y gestión de vulnerabilidades hasta políticas de fin de vida útil. Los participantes se van con una hoja de ruta paso a paso para satisfacer obligaciones de RED y CRA, afirmó la empresa.

A pesar de tales opciones de apoyo, las pequeñas y medianas empresas (PYMES) siguen en riesgo de quedarse atrás. Las PYMES a menudo carecen de personal de cumplimiento interno y pueden subestimar la profundidad técnica de la nueva ley, señalaron consultores de la industria. La CRA obliga a los fabricantes a mantener un programa continuo de gestión de vulnerabilidades y a proporcionar parches de seguridad durante toda la vida útil de un producto, obligaciones que van mucho más allá de una certificación única.

El reloj está corriendo

La Comisión Europea ha incorporado períodos de transición: los nuevos productos colocados en el mercado deben cumplir dentro de 36 meses a partir de la entrada en vigor de la Ley; los dispositivos existentes tendrán una ventana de gracia más corta de 21 meses una vez que se finalicen los actos delegados sobre manejo de vulnerabilidades. Para empresas que aún no han actuado, esos plazos son incómodamente ajustados, advirtió Wendenburg.

Los reguladores, por su parte, argumentan que la ley es proporcional al panorama de amenazas. La Comisión estima que el cibercrimen cuesta a las empresas de la UE hasta 5.500 millones de euros anuales y que los dispositivos conectados sirven como puntos de entrada para muchos ataques. Al exigir seguridad por diseño, los legisladores tienen como objetivo trasladar la carga de los consumidores y operadores de infraestructura crítica de vuelta a los fabricantes.

Qué viene a continuación

El gobierno alemán planea transponer medidas de apoyo, como mecanismos de vigilancia del mercado y sanciones por incumplimiento, en derecho nacional durante 2025. Las asociaciones industriales, incluyendo la Federación de Industrias Alemanas (BDI), han acogido con beneplácito la claridad pero han solicitado orientación detallada para garantizar un cumplimiento uniforme en todos los estados miembros.

Las empresas ya adelantadas en implementación de IEC 62443 o ETSI EN 303 645 pueden disfrutar de una ventaja competitiva una vez que la CRA se vuelva ejecutable, dijeron consultores. Los primeros en actuar pueden aprovechar el cumplimiento como diferenciador de mercado y evitar tarifas de último minuto para auditorías externas o rediseños.

Análisis limitado: implicaciones más allá de Alemania

Aunque la encuesta de ONEKEY se enfoca en Alemania, sus implicaciones resuenan en todo el mercado único de la UE. Las cadenas de suministro están integradas, y la falta de un marcado CE en un país puede bloquear las ventas en toda la región. La baja adopción de estándares clave sugiere que embottelamientos similares pueden existir en otros lugares, particularmente en naciones donde las PYMES dominan la manufactura.

Desde una perspectiva estratégica, la CRA podría

Fuentes

• https://b2b-cyber-security.de/es/La-implementaci%C3%B3n-de-la-Ley-de-Ciberresiliencia-a%C3%BAn-presenta-dificultades./