Explicación de la Ley de Resiliencia Cibernética: qué significa para el desarrollo de software Secure by Design

La Ley de Resiliencia Cibernética se está convirtiendo cada vez más en una prioridad estratégica, no solo para las empresas con sede en la UE, sino para todas las empresas que venden productos digitales en el mercado europeo. Los plazos para el cumplimiento de la normativa se extienden hasta 2027, pero los equipos de ingeniería y seguridad ya se enfrentan a cuestiones críticas relacionadas con los métodos de seguridad, las brechas de seguridad y la capacidad de desarrollo.

A diferencia de muchas normativas que se centran en la documentación y las auditorías, la CRA sitúa el diseño y el desarrollo de software seguro en el centro del cumplimiento normativo. Las empresas que invierten desde el principio en funciones de seguridad cumplirán las normativas más rápidamente y destacarán entre la multitud en un mercado en el que la seguridad de los productos es un factor determinante para la decisión de compra.

¿Qué exige la Ley de Ciberresiliencia?

Con la Ley de Resiliencia Cibernética (CRA) se introducen requisitos básicos de ciberseguridad para la mayoría de los productos con componentes digitales que se comercializan en el mercado de la UE, incluidos el software, los sistemas operativos, los dispositivos conectados y los sistemas integrados.

Aún más importante es que cambia dónde recae la responsabilidad.

La seguridad ya no es solo un problema operativo. La CRA incluye una obligación de diseño y desarrollo que abarca la arquitectura, la implementación, el mantenimiento y el acceso con brechas de seguridad.

Para los directivos de los ámbitos de la tecnología y la seguridad, esto significa:

• Los productos deben fabricarse siguiendo los principios de «Seguridad desde el diseño».
• Las vulnerabilidades de seguridad conocidas deben prevenirse en la medida de lo posible y tratarse de manera eficaz.
• Las empresas deben demostrar que cuentan con prácticas de desarrollo seguras.

En resumen: el cumplimiento normativo es inseparable del arte y el arte, como la escritura y gestión del código por parte de los desarrolladores.

Para cuando usted la CRA

Aunque la CRA fue introducida por la UE, se aplica a todas las organizaciones del mundo que comercializan productos digitales en el mercado de la UE, entre ellas:

• Proveedores de software y proveedores de SaaS cuyos servicios sirven como componentes de procesamiento de datos remotos de los productos cubiertos.
• Fabricante de productos digitales o conectados
• Importadores, distribuidores y minoristas
• Organizaciones, los componentes digitales de terceros proveedores

Para las empresas globales, la preparación para CRA es un proceso de desarrollo transfronterizo, no un procedimiento de cumplimiento regional.

Por qué las organizaciones deben empezar ahora

Hitos importantes:

• Septiembre de 2026: comienzan las contracciones para el mensaje de seguridad lücken beginnen.
• Diciembre de 2027: se requiere una reserva completa.

Este plan temporal se puede ver claramente en el papel. En realidad, la transformación en el desarrollo no se produce trimestralmente, sino que se lleva a cabo a lo largo de años.

Secure by Design no es una actualización de directrices. Requiere:

• Cualificación de miles de desarrolladores en diferentes lenguajes y equipos.
• Integración de las expectativas de Secure by Design en los procesos de trabajo diarios.
• Transición de la corrección reactiva de las brechas de seguridad a la prevención
• Creación de pruebas cuantificables que demuestren que se aplican de forma sistemática prácticas de desarrollo seguras.

Estos cambios afectan a la configuración, la incorporación, las decisiones arquitectónicas, los procesos SDLC y la cultura de ingeniería. Las empresas que esperen hasta finales de 2026 intentarán actualizar sus capacidades bajo presión regulatoria, lo que supondrá un proceso mucho más costoso y disruptivo.

La implementación también supone un riesgo financiero considerable. De conformidad con el artículo 64, la CRA puede imponer sanciones de hasta 15 millones de euros por infringir los requisitos básicos de ciberseguridad. EUR o el 2,5 % de la suma anual mundial están relacionados.

Esperar hasta finales de 2026 es simplemente demasiado tarde.

CRA es, en última instancia, un reto para las habilidades de los desarrolladores.

Muchas normativas se centran en directrices y documentación. La CRA va un paso más allá al vincular el cumplimiento normativo con las prácticas reales que se aplican en el desarrollo y la creación de software. Despierta expectativas en relación con el desarrollo seguro como disciplina operativa y no solo como requisito normativo.

Para los responsables técnicos, esto significa que el cumplimiento de las normas depende de que los equipos de desarrollo apliquen de forma sistemática procedimientos seguros, entre los que se incluyen:

• Comprender las clases generales de vulnerabilidades
• Aplicación de principios seguros de diseño y arquitectura
• Evitar un patrón de implementación inseguro
• Tratamiento responsable con terceros proveedores y componentes de código abierto.

Las herramientas de seguridad desempeñan un papel importante en la detección de problemas. Sin embargo, las herramientas detectan vulnerabilidades después de que se ha escrito el código. Secure by Design requiere que los desarrolladores eviten las brechas de seguridad desde el principio, de manera uniforme en todos los equipos, lenguajes y productos.

Las herramientas por sí solas no pueden lograrlo. Los resultados, que son seguros desde el principio, dependen de la capacidad humana.

Cómo Secure Code Warrior la preparación de la CRA

Secure Code Warrior itinerarios de aprendizaje orientados a CRA que combinan:

• EIN CRA Standard Quest asignado a los requisitos técnicos de seguridad del Anhang I, Parte I
• Colección conceptual EIN Secure by Design
• Aprendizaje práctico y específico del lenguaje sobre vulnerabilidad

Eche un vistazo a nuestra guía de una página con todo el contenido formativo orientado a la CRA en SCW. SCW no certifica el cumplimiento de la normativa. Apoyamos la preparación de las agencias de calificación mediante un aprendizaje estructurado y una mejora cuantificable de las habilidades, en consonancia con los principios del Reglamento sobre desarrollo prudencial.

Empieza ahora mismo a crear la disponibilidad CRA.

La CRA refleja la dirección en la que se mueve el sector: la seguridad mediante tecnología de construcción como mantenimiento estándar. Las empresas que invierten ahora en las capacidades de sus desarrolladores están en mejores condiciones de garantizar el cumplimiento de la normativa y, a largo plazo, de desarrollar software robusto y con menos riesgos.

Para obtener más información sobre cómo Secure Code Warrior puede Secure Code Warrior a cumplir con las normativas, consulte nuestra base de conocimientos: Cómo Secure Code Warrior puede ayudarle a cumplir con las normativas.