Explicación de la Ley de Resiliencia Cibernética: su significado para el desarrollo de software seguro desde el diseño

La Ley de Resiliencia Cibernética se está convirtiendo rápidamente en una prioridad estratégica no solo para las empresas con sede en la UE, sino también para todas aquellas que comercializan productos digitales en el mercado europeo. Aunque el plazo para el cumplimiento es 2027, los equipos de ingeniería y seguridad ya están planteando preguntas difíciles sobre las prácticas de seguridad por diseño, el tratamiento de vulnerabilidades y la capacidad de desarrollo.

A diferencia de muchas normativas que se centran en la documentación y la auditoría, la CRA establece lo siguiente: El diseño y desarrollo de software seguro es el núcleo del cumplimiento normativo. Las organizaciones que invierten en funciones de seguridad desde el diseño en una fase temprana pueden cumplir con la normativa más rápidamente y destacar en un mercado en el que la seguridad de los productos se está convirtiendo en un factor decisivo para la compra.

Lo que exige la Ley de Resiliencia Cibernética

La Ley de Resiliencia Cibernética (CRA) introduce requisitos básicos de ciberseguridad en la mayoría de los productos que contienen componentes digitales, como software, sistemas operativos, dispositivos conectados y sistemas integrados, que se comercializan en el mercado de la UE.

Lo más importante es cambiar el lugar donde recae la responsabilidad.

La seguridad ya no es solo una cuestión de ejecución y funcionamiento. Según la CRA, se trata de lo siguiente: Obligaciones de diseño y desarrollo. Abarca la arquitectura, la implementación, el mantenimiento y el tratamiento de vulnerabilidades.

Para los líderes de ingeniería y seguridad, esto significa lo siguiente:

• Los productos deben fabricarse de acuerdo con los principios del diseño seguro.
• Las vulnerabilidades conocidas deben prevenirse en la medida de lo posible y tratarse de manera eficaz.
• La organización debe demostrar que se están aplicando prácticas de desarrollo seguras.

En otras palabras, el cumplimiento normativo es inseparable de la forma en que los desarrolladores crean y gestionan el código.

¿A quién se aplica la CRA?

Aunque fue introducida por la UE, la aplicación de la CRA se extiende a todas las organizaciones del mundo. Como resultado, los productos digitales incluidos a continuación entrarán en el mercado de la UE.

• Proveedores de software y proveedores de SaaS que ofrecen servicios que funcionan como componentes de procesamiento de datos remotos para productos específicos.
• Fabricantes de productos digitales o conectados
• Importadores, distribuidores, minoristas
• Organizaciones que incorporan componentes digitales de terceros

Para las empresas globales, el cumplimiento de la CRA no es un ejercicio de cumplimiento regional, sino un requisito de desarrollo transfronterizo.

La razón por la que la organización está comenzando ahora

Principales hitos:

• Septiembre de 2026: inicio de la obligación de notificar vulnerabilidades.
• Diciembre de 2027: se requiere el cumplimiento total.

En teoría, esa línea de tiempo puede parecer cómoda. En realidad, la transformación del desarrollo no se produce por trimestres, sino a lo largo de varios años.

La seguridad por diseño no es una actualización de la política. Requiere lo siguiente:

• Mejorar las habilidades de miles de desarrolladores más allá del idioma y el equipo.
• Incorporar las expectativas de seguridad desde la fase de diseño en el flujo de trabajo diario.
• Transición de la reparación de vulnerabilidades a posteriori a la prevención
• Creación de pruebas cuantificables que demuestren la aplicación coherente de métodos de desarrollo seguros.

Estos cambios afectarán a la contratación, la incorporación, las decisiones de arquitectura, los procesos SDLC y la cultura de ingeniería. Las organizaciones que pospongan estas medidas hasta finales de 2026 se verán obligadas a mejorar sus capacidades bajo presión regulatoria, lo que resultará mucho más costoso y causará más confusión.

La ejecución también conlleva importantes riesgos financieros. El artículo 64 de la CRA establece que, en caso de incumplimiento de los requisitos esenciales de ciberseguridad, la multa puede ascender a 15 millones de euros, lo que equivale al 2,5 % de la facturación anual mundial.

Esperar hasta la segunda mitad de 2026 es demasiado tarde.

CRA es, en última instancia, un reto para la capacidad de los desarrolladores.

Muchas regulaciones se centran en las políticas y la documentación. La CRA va más allá y vincula el cumplimiento con las prácticas reales utilizadas en el diseño y la construcción de software. Esto aumenta las expectativas de un desarrollo seguro como disciplina operativa, más allá de los simples requisitos de gobernanza.

Para los líderes de ingeniería, el cumplimiento depende de que el equipo de desarrollo aplique de manera coherente las siguientes prácticas seguras.

• Comprensión de las clases de vulnerabilidades generales
• Aplicación de principios de diseño y arquitectura seguros
• Evitar patrones de implementación inseguros
• Manejo responsable de componentes de terceros y de código abierto

Las herramientas de seguridad desempeñan un papel importante en la detección de problemas. Sin embargo, las debilidades de las herramientas se hacen evidentes después de que se ha escrito el código. Para lograr la seguridad desde el diseño, los desarrolladores deben prevenir las vulnerabilidades de forma sistemática, independientemente del equipo, el lenguaje o el producto.

Las herramientas por sí solas no pueden lograrlo. Los resultados de la seguridad por diseño dependen de lo siguiente: La capacidad humana.

Cómo Secure Code Warrior ayuda a prepararse para la CRA

El camino de aprendizaje basado en CAR que ofrece Secure Code Warrior. Una combinación de:

• Mapeo de los requisitos de vulnerabilidad técnica del Apéndice I, Parte I, de la CRA Standard Quest.
• Una colección basada en el concepto «Seguridad desde el diseño».
• Aprendizaje práctico de vulnerabilidades especializado en idiomas

Consulte la guía de una página sobre todos los contenidos de aprendizaje relacionados con la CRA de SCW. SCW no certifica el cumplimiento normativo. Nuestra empresa ayuda a preparar a los CRA mediante lo siguiente: aprendizaje estructurado y mejora cuantificable de las capacidades, de acuerdo con los principios de desarrollo seguro de la normativa.

CRA: Comience ahora mismo a preparar su infraestructura.

CRA refleja la dirección que está tomando la industria. En otras palabras, por defecto se exige seguridad mediante ingeniería de diseño. Actualmente, las organizaciones que invierten en la capacidad de los desarrolladores se encuentran en una posición ventajosa no solo en cuanto al cumplimiento normativo, sino también en cuanto a la creación a largo plazo de software más resistente y con menos riesgos.

Para obtener más información sobre cómo Secure Code Warrior puede ayudarle a cumplir con la normativa, consulte la siguiente base de conocimientos. Cómo Secure Code Warrior puede ayudarle a cumplir con la normativa