Explicación de la ley sobre ciberresiliencia: lo que significa para el desarrollo de software seguro desde el diseño.

La Ley de Ciberresiliencia se está convirtiendo rápidamente en una prioridad estratégica, no solo para las empresas con sede en la UE, sino también para todas las empresas que venden productos digitales en el mercado europeo. Aunque los plazos de cumplimiento se extienden hasta 2027, los equipos de ingeniería y seguridad ya se plantean preguntas difíciles sobre las prácticas de seguridad desde el diseño, la gestión de vulnerabilidades y las capacidades de desarrollo.

A diferencia de muchas normativas que se centran en la documentación y las auditorías, la CRA sitúa el diseño y el desarrollo de software seguro en el centro del cumplimiento normativo. Las empresas que invierten desde el principio en funciones de seguridad desde el momento del diseño alcanzarán el cumplimiento normativo más rápidamente y se diferenciarán en un mercado en el que la seguridad de los productos se está convirtiendo en un factor decisivo para la compra.

Lo que exige la ley sobre ciberresiliencia

La Ley de Ciberresiliencia (CRA) introduce requisitos básicos en materia de ciberseguridad para la mayoría de los productos con un componente digital comercializados en la UE, en particular el software, los sistemas operativos, los dispositivos conectados y los sistemas integrados.

Más importante aún, cambia dónde recae la responsabilidad.

La seguridad ya no es solo una cuestión de ejecución o explotación. En el marco de la CRA, se convierte en una obligación de diseño y desarrollo que abarca la arquitectura, la implementación, el mantenimiento y la gestión de las vulnerabilidades.

Para los responsables de ingeniería y seguridad, esto significa:

• Los productos deben fabricarse de conformidad con los principios de seguridad desde su diseño.
• Las vulnerabilidades conocidas deben evitarse en la medida de lo posible y tratarse de manera eficaz.
• Las organizaciones deben demostrar que cuentan con prácticas de desarrollo seguras.

En resumen: la conformidad es inseparable de la forma en que los desarrolladores escriben y gestionan el código.

¿A quién se dirige la CRA?

Aunque fue introducida por la UE, la CRA se aplica a cualquier organización del mundo que comercialice los productos digitales en cuestión en el mercado de la UE, en particular:

• Proveedores de software y proveedores SaaS cuyos servicios funcionan como componentes de procesamiento de datos remotos de los productos cubiertos.
• Fabricantes de productos digitales o conectados
• Importadores, distribuidores y minoristas
• Organizaciones que integran componentes digitales de terceros

Para las empresas globales, la preparación para el CRA es un requisito para el desarrollo transfronterizo, y no un ejercicio de cumplimiento regional.

¿Por qué las organizaciones empiezan ahora mismo?

Principales etapas:

• Septiembre de 2026: comienzan las obligaciones de notificación de vulnerabilidades.
• Diciembre de 2027: se requiere conformidad total.

Sobre el papel, esta cronología puede parecer cómoda. En realidad, la transformación del desarrollo no se produce en trimestres, sino a lo largo de los años.

La seguridad desde el diseño no es una actualización de la política. Requiere:

• Mejorar las habilidades de miles de desarrolladores en todos los lenguajes y en todos los equipos.
• Integrar las expectativas en materia de seguridad desde el diseño en los flujos de trabajo cotidianos.
• Pasar de la corrección reactiva de vulnerabilidades a la prevención
• Crear pruebas cuantificables de que las prácticas de desarrollo seguro se aplican de manera coherente.

Estos cambios afectan a la contratación, la integración, las decisiones relativas a la arquitectura, los procesos SDLC y la cultura de la ingeniería. Las organizaciones que aplacen la implementación hasta finales de 2026 intentarán modernizar sus capacidades bajo la presión normativa, una solución mucho más costosa y disruptiva.

La aplicación de la ley también conlleva importantes riesgos financieros. En virtud del artículo 64 de la CRA, las sanciones pueden alcanzar los 15 millones de euros, es decir, el 2,5 % de la facturación anual mundial, en caso de incumplimiento de los requisitos esenciales en materia de ciberseguridad.

Es simplemente demasiado tarde esperar hasta finales de 2026.

El CRA es, en definitiva, un reto de capacidad para los desarrolladores.

Muchas normativas se centran en las políticas y la documentación. La CRA va más allá al establecer un vínculo entre el cumplimiento normativo y las prácticas reales utilizadas para diseñar y crear software. Esto genera expectativas en cuanto al desarrollo seguro como disciplina operativa, y no solo como requisito de gobernanza.

Para los responsables de ingeniería, esto significa que el cumplimiento depende de la aplicación sistemática por parte de los equipos de desarrollo de prácticas seguras, en particular:

• Comprender las clases de vulnerabilidad habituales
• Aplicar los principios de diseño y arquitectura seguros.
• Evitar los modelos de implementación no seguros.
• Gestión responsable de componentes de terceros y de código abierto

Las herramientas de seguridad desempeñan un papel importante en la detección de problemas. Sin embargo, estas herramientas muestran sus debilidades una vez que se ha escrito el código. La seguridad desde el diseño obliga a los desarrolladores a prevenir las vulnerabilidades en primer lugar y a hacerlo de manera coherente en todos los equipos, lenguajes y productos.

Las herramientas por sí solas no pueden lograrlo. Los resultados en materia de seguridad desde el diseño dependen de la capacidad humana.

¿Cómo Secure Code Warrior a la preparación de la CRA?

Secure Code Warrior itinerarios de aprendizaje alineados con el CRA que combinan:

• UNE Una búsqueda estándar CRA asignada a los requisitos de vulnerabilidad técnica del anexo I, parte I.
• Colección UNE Conceptual Secure by Design
• Aprendizaje práctico de las vulnerabilidades específicas del idioma

Consulte nuestra guía de una hoja sobre todo el contenido de aprendizaje alineado con la CRA en SCW. SCW no certifica el cumplimiento. Apoyamos la preparación para la CRA mediante un aprendizaje estructurado y una mejora cuantificable de las capacidades, de conformidad con los principios de desarrollo seguro de la normativa.

Comience ahora mismo a prepararse para la CRA.

El CRA refleja la dirección que está tomando la industria: la seguridad mediante la ingeniería de diseño es la expectativa por defecto. Las organizaciones que inviertan ahora en las capacidades de los desarrolladores estarán en mejor posición para garantizar el cumplimiento y crear software más resistente y menos arriesgado a largo plazo.

Para obtener más información sobre cómo Secure Code Warrior ayudarle a alcanzar la conformidad, consulte nuestra base de conocimientos: Cómo Secure Code Warrior ayudarle a alcanzar la conformidad.