Interpretación de la Ley de Resiliencia de la Red: ¿Qué significa lograr la seguridad mediante el diseño del desarrollo de software?

La Ley de Resiliencia de las Redes se está convirtiendo rápidamente en una prioridad estratégica, no solo para las empresas de la Unión Europea, sino también para cualquier empresa que comercialice productos digitales en el mercado europeo. Aunque la fecha límite para el cumplimiento se ha pospuesto hasta 2027, los equipos de ingeniería y seguridad ya están planteando cuestiones complejas sobre cómo garantizar la seguridad mediante prácticas de diseño, gestión de vulnerabilidades y capacidades de desarrollo.

A diferencia de muchas normativas que se centran en la documentación y las auditorías, la CRA sitúa el diseño y el desarrollo de software seguro en el centro del cumplimiento normativo. Las organizaciones que inviertan cuanto antes en capacidades de diseño seguro lograrán el cumplimiento más rápidamente y destacarán en un mercado en el que la seguridad de los productos se ha convertido en un factor decisivo para la compra.

¿Qué exige la Ley de Resiliencia de la Red?

La Ley de Resiliencia Cibernética (CRA) introduce requisitos básicos de ciberseguridad para la mayoría de los productos con componentes digitales (incluidos software, sistemas operativos, dispositivos conectados a Internet y sistemas integrados) comercializados en el mercado de la Unión Europea.

Más importante aún, cambiará dónde recae la responsabilidad.

La seguridad ya no es solo una cuestión de tiempo de ejecución u operaciones. En el marco de la CRA, se ha convertido en una obligación de diseño y desarrollo que abarca la arquitectura, la implementación, el mantenimiento y la gestión de vulnerabilidades.

Para los líderes de ingeniería y seguridad, esto significa:

• Los productos deben fabricarse de acuerdo con los principios de «diseño seguro».
• Se deben prevenir y tratar de manera eficaz, en la medida de lo posible, las vulnerabilidades conocidas.
• La organización debe demostrar que se han implementado prácticas de desarrollo seguro.

En resumen: la conformidad es inseparable de la forma en que los desarrolladores escriben y mantienen el código.

¿A quién se aplica la CRA?

Aunque fue introducida por la Unión Europea, la CRA se aplica a cualquier organización del mundo que comercialice productos digitales en el mercado de la Unión Europea, incluyendo:

• Su servicio actúa como proveedor de software y proveedor de SaaS para los componentes de procesamiento de datos remotos de los productos cubiertos.
• Fabricantes de productos digitales o conectados a Internet
• Importadores, distribuidores y minoristas
• Organización que integra componentes digitales de terceros

Para las empresas globales, la preparación para CRA es un requisito de desarrollo transfronterizo, no una actividad de cumplimiento regional.

¿Por qué la organización ha comenzado ahora?

Hitos clave:

• Septiembre de 2026: comienza la obligación de informar sobre vulnerabilidades.
• Diciembre de 2027: se requiere el cumplimiento total.

A primera vista, este calendario puede parecer cómodo. En realidad, la transformación del desarrollo no se produce por trimestres, sino que se prolonga durante años.

El diseño de seguridad no es una actualización de políticas. Requiere:

• Mejorar las habilidades de desarrollo de miles de personas en diferentes idiomas y equipos.
• Incorporar las expectativas de diseño de seguridad en los flujos de trabajo diarios.
• De la reparación pasiva de vulnerabilidades a la prevención
• Crear pruebas cuantificables que demuestren la aplicación coherente de las prácticas de desarrollo seguro.

Estos cambios afectarán a la contratación, la incorporación, las decisiones sobre la estructura, los procesos SDLC y la cultura de ingeniería. Las organizaciones que pospongan estas medidas hasta finales de 2026 se verán obligadas a transformar sus capacidades bajo la presión de las regulaciones, lo que supondrá un camino mucho más costoso y disruptivo.

La aplicación de la ley también conlleva importantes riesgos financieros. De conformidad con el artículo 64 del CRA, las infracciones de los requisitos básicos de ciberseguridad pueden acarrear multas de hasta 15 millones de euros o el 2,5 % de la facturación anual global.

Esperar hasta finales de 2026 será demasiado tarde.

CRA es, en definitiva, un reto para la capacidad de los desarrolladores.

Muchas normativas se centran en políticas y documentos. La CRA va más allá y vincula el cumplimiento normativo con las prácticas reales utilizadas para diseñar y desarrollar software. Aumenta las expectativas sobre el desarrollo seguro como disciplina operativa, y no solo como requisito de gobernanza.

Para los responsables de proyectos, esto significa que el cumplimiento normativo depende de que el equipo de desarrollo aplique de forma sistemática prácticas de seguridad, entre las que se incluyen:

• Comprender las categorías de vulnerabilidades comunes
• Aplicar principios de diseño y arquitectura de seguridad
• Evitar los modelos de implementación inseguros.
• Manejar de manera responsable los componentes de terceros y de código abierto.

Las herramientas de seguridad desempeñan un papel importante en la detección de problemas. Sin embargo, una vez escrito el código, las herramientas muestran sus debilidades. El diseño orientado a la seguridad exige a los desarrolladores que se centren en la prevención de vulnerabilidades y que lo hagan de forma coherente en todos los equipos, lenguajes y productos.

Las herramientas por sí solas no pueden lograrlo. El resultado del diseño de seguridad depende de la capacidad humana.

¿Cómo apoya el guerrero del código de seguridad a CRA Ready?

Los guerreros del código de seguridad ofrecen una vía de aprendizaje coherente con la CRA. Combinan:

• Una tarea estándar CRA cumple con los requisitos de vulnerabilidad técnica de la Parte I del Anexo I.
• Un conjunto de conceptos de seguridad garantizados mediante el diseño.
• Aprendizaje práctico, aprendizaje de vulnerabilidades de lenguajes específicos.

Consulte nuestra guía de una página para conocer todos los contenidos de aprendizaje de SCW que cumplen con la CRA. SCW no certifica el cumplimiento. Apoyamos la preparación para la CRA mediante el aprendizaje estructurado y la mejora cuantificable de las capacidades, de conformidad con los principios de desarrollo seguro que cumplen con la normativa.

Comience a prepararse para la CRA ahora mismo.

CRA refleja la dirección en la que se mueve el sector: garantizar la seguridad mediante el diseño de ingeniería como expectativa predeterminada. Las organizaciones que inviertan ahora en la capacitación de los desarrolladores estarán en mejores condiciones de cumplir con la normativa y podrán crear software más resistente y con menos riesgos a largo plazo.

Para obtener más información sobre Secure Code Warrior cumplir con la normativa, consulte nuestra base de conocimientos: Secure Code Warrior la normativa.