El de 11 de septiembre será una fecha crucial para el ecosistema tecnológico y de seguridad europeo: ese día entrarán en vigor las obligaciones de notificación de vulnerabilidades previstas en la Ley de Ciberresiliencia (CRA). Esta nueva normativa de la Unión Europea, concebida para elevar el nivel de ciberseguridad de todos los productos de hardware y software conectados a la red, introduce requisitos estrictos y establece normas a gran escala para fabricantes, importadores y distribuidores, complementando otras normativas existentes de vital importancia, como la NIS2.

El objetivo principal de la CRA es proteger a los consumidores y a las empresas de los riesgos derivados de dispositivos con una ciberseguridad inadecuada y garantizar que cualquier producto con componentes digitales respete el principio «Secure by Design». En el sector de la videovigilancia, esto significa no solo proteger el hardware conectado frente a posibles intrusiones, sino también salvaguardar los datos sensibles que registra.

En este contexto, Axis Communications, empresa especializada en soluciones de videovigilancia en red, destaca la importancia de que toda la cadena de suministro se prepare para los nuevos requisitos mediante un enfoque estructurado de la ciberseguridad. En concreto, hay cuatro ámbitos en los que el sector debe centrarse.

Nuevas obligaciones de notificación y gestión oportuna de los incidentes

A partir del 11 de septiembre entrarán en vigor las nuevas obligaciones relativas a la notificación de vulnerabilidades e incidentes graves de seguridad. La normativa impone plazos extremadamente estrictos para proteger a los usuarios: se deberá enviar un aviso inicial a las autoridades competentes en un plazo de 24 horas desde el descubrimiento, seguido de una notificación completa en un plazo de 72 horas. Por último, deberá presentarse un informe final en un plazo de 14 días a partir de la adopción de una medida correctiva (o en el plazo de un mes en el caso de los incidentes más graves). Las sanciones por incumplimiento están concebidas para actuar como un fuerte elemento disuasorio, con multas que pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación anual global de la empresa.

“Security by Design” y evaluación continua del riesgo

Los dispositivos conectados deberán diseñarse y desarrollarse con la ciberseguridad integrada desde el principio, de acuerdo con los principios de “Security by Design” y “by Default”. El CRA exige que cada producto se someta a una rigurosa evaluación del riesgo informático, que deberá documentarse y actualizarse a lo largo de todo el ciclo de vida del dispositivo. La UE aspira a que los productos que lleguen al mercado sean seguros desde el momento de su compra y no requieran configuraciones complejas por parte del usuario. El CRA prevé, además, que cada producto se someta a una rigurosa evaluación del riesgo informático, que deberá documentarse y actualizarse a lo largo de todo su ciclo de vida. Una verdadera arquitectura “Secure by Design” se basa en una sólida raíz de confianza de hardware (Hardware Root of Trust, HRoT), como el uso de elementos seguros para el almacenamiento de claves criptográficas, sobre los que se sustenta el sistema operativo del dispositivo.

Actualizaciones garantizadas durante todo el ciclo de vida

Al igual que ocurre con los ordenadores o los smartphones, los componentes digitales de cualquier dispositivo conectado, incluidas las cámaras IP, deberán poder recibir actualizaciones de seguridad de forma sencilla y por defecto. La normativa exige que estas actualizaciones estén disponibles durante toda la vida útil del producto, estableciendo un periodo mínimo obligatorio de soporte de al menos cinco años (con algunas excepciones). Por ello el fabricante deberá comunicar con claridad cuál es la fecha límite de soporte de actualizaciones para ese producto. Además, los fabricantes deberán proporcionar documentación técnica transparente e instrucciones claras para ayudar al usuario final en la instalación de las actualizaciones.

Responsabilidad compartida a lo largo de toda la cadena de suministro

El alcance de la Ley de Ciberresiliencia es extremadamente amplio y define un ecosistema basado en la responsabilidad compartida. Aunque los fabricantes deben garantizar que todos los componentes relevantes de sus dispositivos (incluidos los sistemas operativos y las bibliotecas de terceros) cumplan las normas de ciberseguridad, los importadores y distribuidores también deben exigir las mismas garantías a los propios fabricantes. Este enfoque refuerza la necesidad de una estrecha colaboración a lo largo de toda la cadena de valor, desde los proveedores de componentes hasta los integradores de sistemas, para que el cumplimiento normativo se convierta en un mecanismo de protección mutua y en un factor de confianza para el cliente final.

El enfoque de Axis en materia de ciberseguridad

Axis ha adoptado un enfoque estructurado de la ciberseguridad que abarca todo el ciclo de vida de los productos. El Modelo de Desarrollo de Seguridad (SDM) integra la seguridad en las distintas fases de desarrollo, mientras que la gestión continua de las vulnerabilidades, su función como autoridad de numeración CVE y la adopción de funciones de seguridad de hardware contribuyen a reforzar la resiliencia de los dispositivos a lo largo del tiempo.

“La Ley de Ciberresiliencia supone un paso significativo en la evolución de los requisitos de ciberseguridad para los productos conectados”, afirma Bruno Azula, Sales Manager para Iberia de Axis Communications. “La normativa consolida un principio que consideramos fundamental: la seguridad debe ser una prioridad desde las primeras fases de diseño y acompañar al producto a lo largo de todo su ciclo de vida. Para el sector de la videovigilancia, esto implica una atención constante a la gestión de vulnerabilidades, a las actualizaciones y a la seguridad de toda la infraestructura, además de una colaboración cada vez mayor entre los distintos actores de la cadena de suministro”.