Explicación de la Ley de Resiliencia Cibernética: qué significa para el desarrollo de software seguro desde el diseño

La Ley de Resiliencia Cibernética se está convirtiendo rápidamente en una prioridad estratégica, no solo para las empresas con sede en la UE, sino para cualquier empresa que venda productos digitales en el mercado europeo. Aunque los plazos de cumplimiento se extienden hasta 2027, los equipos de ingeniería y seguridad ya están planteando preguntas difíciles sobre las prácticas de seguridad desde el diseño, la gestión de vulnerabilidades y la capacidad de desarrollo.

A diferencia de muchas normativas que se centran en la documentación y las auditorías, la CRA sitúa el diseño y el desarrollo de software seguro en el centro del cumplimiento normativo. Las organizaciones que inviertan pronto en capacidades de seguridad desde el diseño alcanzarán el cumplimiento normativo más rápidamente y destacarán en un mercado en el que la seguridad de los productos se está convirtiendo en un factor determinante en la decisión de compra.

Lo que exige la Ley de Resiliencia Cibernética

La Ley de Resiliencia Cibernética (CRA) introduce requisitos básicos de ciberseguridad para la mayoría de los productos con un componente digital comercializados en el mercado de la UE, incluidos el software, los sistemas operativos, los dispositivos conectados y los sistemas integrados.

Más importante aún, cambia dónde recae la responsabilidad.

La seguridad ya no es solo una preocupación operativa o relacionada con el tiempo de ejecución. Según la CRA, se convierte en una obligación de diseño y desarrollo que abarca la arquitectura, la implementación, el mantenimiento y la gestión de vulnerabilidades.

Para los responsables de ingeniería y seguridad, esto significa:

• Los productos deben fabricarse de acuerdo con los principios de seguridad desde el diseño.
• Las vulnerabilidades conocidas deben prevenirse en la medida de lo posible y gestionarse de manera eficaz.
• Las organizaciones deben demostrar que cuentan con prácticas de desarrollo seguras.

En resumen: el cumplimiento normativo es inseparable de la forma en que los desarrolladores escriben y mantienen el código.

A quién se aplica la CRA

Aunque fue introducida por la UE, la CRA se aplica a cualquier organización del mundo que comercialice productos digitales incluidos en su ámbito de aplicación en el mercado de la UE, entre los que se incluyen:

• Proveedores de software y proveedores de SaaS cuyos servicios funcionan como componentes de procesamiento remoto de datos de los productos cubiertos.
• Fabricantes de productos digitales o conectados
• Importadores, distribuidores y minoristas
• Organizaciones que incorporan componentes digitales de terceros

Para las empresas globales, la preparación para la CRA es un requisito de desarrollo transfronterizo, no un ejercicio de cumplimiento regional.

Por qué las organizaciones están empezando ahora

Hitos clave:

• Septiembre de 2026: comienzan las obligaciones de notificación de vulnerabilidades.
• Diciembre de 2027: se exige el pleno cumplimiento.

Sobre el papel, ese calendario puede parecer cómodo. En realidad, la transformación del desarrollo no se produce en trimestres, sino que se produce a lo largo de años.

La seguridad desde el diseño no es una actualización de la política. Requiere:

• Mejora de las habilidades de miles de desarrolladores en distintos lenguajes y equipos.
• Incorporar las expectativas de seguridad desde el diseño en los flujos de trabajo cotidianos.
• Pasar de la corrección reactiva de vulnerabilidades a la prevención
• Crear pruebas cuantificables de que las prácticas de desarrollo seguro se aplican de forma sistemática.

Estos cambios afectan a la contratación, la incorporación, las decisiones de arquitectura, los procesos SDLC y la cultura de ingeniería. Las organizaciones que retrasen la implementación hasta finales de 2026 se verán obligadas a adaptar sus capacidades bajo la presión de la normativa, lo que supondrá un proceso mucho más costoso y disruptivo.

La aplicación de la ley también conlleva un riesgo financiero significativo. En virtud del artículo 64 de la CRA, las sanciones pueden alcanzar los 15 millones de euros o el 2,5 % del volumen de negocios anual global por infringir los requisitos esenciales de ciberseguridad.

Esperar hasta finales de 2026 es simplemente demasiado tarde.

CRA es, en última instancia, un reto para la capacidad de los desarrolladores.

Muchas normativas se centran en políticas y documentación. La CRA va más allá al vincular el cumplimiento normativo con las prácticas reales utilizadas para diseñar y desarrollar software. Aumenta las expectativas en torno al desarrollo seguro como disciplina operativa, no solo como requisito de gobernanza.

Para los responsables de ingeniería, esto significa que el cumplimiento depende de que los equipos de desarrollo apliquen de forma sistemática prácticas seguras, entre las que se incluyen:

• Comprensión de las clases de vulnerabilidad comunes
• Aplicación de principios de diseño y arquitectura seguros
• Evitar patrones de implementación inseguros
• Manejo responsable de componentes de terceros y de código abierto

Las herramientas de seguridad desempeñan un papel importante en la detección de problemas. Sin embargo, estas herramientas solo revelan las debilidades una vez que el código ya está escrito. La seguridad desde el diseño exige que los desarrolladores eviten las vulnerabilidades desde el principio, y que lo hagan de manera coherente en todos los equipos, lenguajes y productos.

Las herramientas por sí solas no pueden lograrlo. Los resultados de la seguridad desde el diseño dependen de la capacidad humana.

Cómo Secure Code Warrior prepararse para la CRA

Secure Code Warrior itinerarios de aprendizaje alineados con CRA que combinan:

• Una búsqueda estándar CRA asignada a los requisitos técnicos de vulnerabilidad del anexo I, parte I.
• Una colección conceptual segura por diseño
• Aprendizaje práctico y específico del lenguaje sobre vulnerabilidades

Consulte nuestra guía resumida sobre todo el contenido de aprendizaje alineado con la CRA en SCW. SCW no certifica el cumplimiento. Apoyamos la preparación para la CRA mediante un aprendizaje estructurado y una mejora cuantificable de las capacidades, en consonancia con los principios de desarrollo seguro de la normativa. 

Comience a prepararse para la CRA ahora mismo

La CRA refleja hacia dónde se dirige el sector: la ingeniería segura por diseño como expectativa predeterminada. Las organizaciones que inviertan ahora en la capacidad de los desarrolladores estarán mejor posicionadas para cumplir con la normativa y para crear software más resistente y con menos riesgos a largo plazo.

Para obtener más información sobre cómo Secure Code Warrior ayudarle a cumplir con la normativa, consulte nuestra base de conocimientos: Cómo Secure Code Warrior ayudarle a cumplir con la normativa.