Ocultar un hackeo acaba de volverse ilegal en Europa — los fabricantes tienen 24 horas para notificarlo

Vender un dispositivo conectado en Europa conlleva ahora una obligación que no existía la semana pasada: si se descubre un hackeo o un incidente grave de seguridad, las autoridades deben ser notificadas en un plazo de 24 horas. La Ley de Resiliencia Cibernética de la UE ha superado esta semana su primer gran umbral de aplicación, y el calendario es concreto: una notificación más completa debe realizarse en un plazo de 72 horas, con un informe final que debe entregarse 14 días después de que esté disponible una solución, o en el plazo de un mes para incidentes de mayor alcance.

La obligación abarca lo que la ley denomina «productos con elementos digitales», una categoría lo suficientemente amplia como para incluir teléfonos inteligentes, termostatos inteligentes, routers conectados, aplicaciones de fitness y plataformas en la nube. De forma crítica, se aplica a los productos que ya están en el mercado de la UE, no solo a los nuevos lanzamientos. Un dispositivo comercializado hace dos años y que todavía se utiliza entra dentro del ámbito si tiene funcionalidad conectada. El software gratuito distribuido comercialmente queda sujeto a las mismas reglas.

Antes del 11 de septiembre, la relación entre un fabricante y un incidente de seguridad se regía en gran medida por la política interna. Las empresas revelaban los hackeos cuando querían, a menudo tras semanas de revisión interna, consultas legales y evaluación del riesgo para la marca. Algunas nunca los revelaban. Esa discrecionalidad ha desaparecido en Europa. Los informes se envían al equipo de respuesta a incidentes de seguridad informática (CSIRT) nacional del Estado miembro de la UE donde el fabricante tiene su establecimiento principal, con copia a la Agencia de la UE para la Ciberseguridad, ENISA, a través de la plataforma dedicada Single Reporting Platform.

La cuestión de la preparación es grave. Cuando se finalizaron las obligaciones de notificación, los fabricantes tenían aproximadamente tres meses para construir la infraestructura interna: un inventario de los productos afectados, protocolos de escalado claros e integración técnica con la Single Reporting Platform. Los asesores legales que trabajan con fabricantes advierten de que los plazos apenas dejan tiempo para construir el proceso una vez que el incidente ha comenzado. Una empresa que descubre una brecha a medianoche de un viernes debe presentar su informe inicial antes de la medianoche del sábado, independientemente de que sea fin de semana o festivo.

El beneficio para el consumidor es real pero indirecto. Los fabricantes también deben notificar a los usuarios afectados sobre los incidentes de seguridad y las mitigaciones disponibles. Si una empresa no notifica a los usuarios en un plazo razonable, las autoridades nacionales de ciberseguridad pueden intervenir y emitir ellas mismas la alerta. No se trata de un régimen de notificación que el usuario medio vea en su teléfono —opera a través de canales regulatorios—, pero crea una obligación exigible de que los hackeos no puedan ser simplemente absorbidos en silencio por un equipo jurídico.

El 11 de septiembre es la parte más acotada de la obligación. El cuerpo más amplio de la Ley de Resiliencia Cibernética —que exige que los productos conectados se diseñen con seguridad incorporada, que se impongan procesos de gestión de vulnerabilidades y que se realicen evaluaciones de conformidad para las categorías de producto de mayor riesgo— no se aplica hasta el 11 de diciembre de 2027. Ese plazo requiere cambios de diseño, protocolos de prueba y procesos de certificación que simplemente no pueden añadirse a las líneas de producto existentes en unos meses. La industria tiene más de un año, pero el trabajo técnico ya está en marcha en los principales fabricantes.

El enfoque de la UE convierte a Europa en el primer gran bloque regulador en imponer plazos vinculantes de revelación de vulnerabilidades en todo el mercado de tecnología de consumo, no solo en infraestructuras críticas. La rapidez con la que los CSIRT nacionales desarrollen la capacidad de procesar estos informes —y si se aplican sanciones por incumplimiento de la notificación en los primeros meses— determinará si el 11 de septiembre marca un cambio real o un plazo sobre el papel.

Etiquetas: ciberseguridad, brecha de datos, Comisión Europea, Cyber Resilience Act, dispositivos conectados, ENISA