Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Europa se ha convertido en el núcleo de la creación de políticas de ciberseguridad. Con un ataque de ransomware ocurriendo cada 11 segundos, según datos de la Comisión Europea (CE), esta entidad se ha visto en la necesidad de crear regulaciones que obliguen a los fabricantes a crear productos y ofrecer servicios más seguros.
Por eso, en septiembre del 2022 presentaron un proyecto de ley de ciberresiliencia. A continuación, te explicamos cómo esta ley puede afectar a tu empresa y cómo puedes darle cumplimiento.
¿Qué es la Ley de Ciberresiliencia de la Unión Europea?
La Ley de Ciberresiliencia de la Unión Europea (CRA, por sus siglas en inglés) establece requisitos de ciberseguridad para productos digitales a lo largo de su ciclo de vida. Es la primera legislación de esta escala en la UE, y está basada en la Estrategia de Ciberseguridad de la UE de 2020 y la Estrategia de la UE para una Unión de la Seguridad, también de 2020. Su principal objetivo es garantizar que los productos digitales, ya sean hardware o software, sean diseñados y mantenidos con altos estándares de seguridad para proteger a los consumidores y las empresas.
Actualización 2024: ¿Qué establece la Ley de Ciberresiliencia de la UE?
Desde su aprobación, la Ley de Ciberresiliencia impone obligaciones claras a los fabricantes de productos digitales. Estas son algunas de las principales especificaciones actualizadas:
- Requisitos de ciberseguridad obligatorios: Todos los productos digitales deben cumplir con normas de seguridad en diseño, desarrollo y mantenimiento. Esto incluye la eliminación proactiva de vulnerabilidades y la implementación de actualizaciones periódicas.
- Actualizaciones continuas: Las empresas están obligadas a proporcionar soporte y actualizaciones de seguridad a lo largo de la vida útil del producto, asegurando que las vulnerabilidades se corrijan a medida que se descubren.
- Notificación obligatoria de vulnerabilidades: Los fabricantes deben notificar a las autoridades competentes sobre cualquier vulnerabilidad descubierta dentro de las 24 horas posteriores a su detección. Esto incluye brechas que puedan tener un impacto significativo en la seguridad.
- Supervisión del mercado: La ley exige que se establezcan mecanismos para supervisar los productos vendidos en el mercado europeo, garantizando que cumplan con los estándares de ciberseguridad.
- Transparencia para los consumidores: Los fabricantes deben proporcionar información clara y actualizada a los consumidores sobre las características de seguridad de sus productos.
Esta ley busca dar solución a dos situaciones, principalmente. En primer lugar, muchas empresas fabrican productos digitales con un bajo nivel de ciberseguridad, y no ofrecen actualizaciones para solucionar las vulnerabilidades. Y, en segundo lugar, la incapacidad de los consumidores de elegir productos más seguros por no poseer información veraz sobre los mismos.
Tomando estas situaciones como base, la nueva ley establece que los fabricantes de productos digitales deben eliminar las vulnerabilidades y facilitar a los consumidores servicios de ayuda técnica, e información actualizada y fidedigna sobre las especificaciones de sus productos. Esto abarca tanto hardware como software de productos cableados e inalámbricos.
Algunas de las principales especificaciones de la ley de ciberresiliencia se basan en el nuevo marco para la legislación de productos de la UE.
¿A quiénes afecta?
La Ley de Ciberresiliencia se aplica a todos los fabricantes de productos digitales, independientemente de si están basados en la UE o fuera de ella, siempre que ofrezcan productos en el mercado europeo. Esto afecta a desarrolladores de software, fabricantes de hardware, distribuidores e importadores. Están excluidos los sectores regulados por normativas específicas de ciberseguridad, como el automotriz y el de dispositivos médicos.
En caso de incumplimiento, las sanciones pueden ser graves. Las multas por violaciones de la ley pueden alcanzar hasta el 2% de los ingresos anuales globales de la empresa o 15 millones de euros, lo que sea mayor. Además, las autoridades pueden exigir la retirada de productos inseguros del mercado.
¿Cuándo entrará en vigencia la ley de ciberresilencia?
La nueva ley de ciberresiliencia entrará plenamente en vigor a partir de 2025.
Una excepción es la obligación de notificar cualquier incidente o vulnerabilidad a las autoridades de seguridad, la cual debe ser cumplida después del primer año de su entrada en vigencia, pues requiere menos ajustes organizacionales para ser adoptada.
Adicionalmente, los fabricantes de productos digitales deberán pasar un proceso de evaluación, ya sea interna o mediante un tercero, para garantizar la conformidad con los requisitos. Si estos son cumplidos, la empresa fabricante obtendrá una declaración de conformidad de la UE que les permitirá colocar una marca de aprobación de la Comisión Europea en sus productos, que les permitirá comercializarlos libremente.
Descarga la ley de ciberresiliencia
Puedes descargar la nueva propuesta de ley aquí.
Si te quedan dudas sobre el contenido de la nueva ley, puedes revisar la página oficial de preguntas y respuestas de la Comisión Europea.
El alcance de la ciberdelincuencia
La economía mundial cada vez es más dependiente del entorno digital, y los ciberataques a organizaciones e infraestructuras, que son indispensables para su funcionamiento, son cada vez más frecuentes. Según datos de la Comisión Europea (CE), el costo que generan los intentos de perturbar el tráfico en Internet, y las violaciones de seguridad de los datos, suman en total 75 mil millones de euros al año.
Por otro lado, el aumento de los ciberataques en los últimos años, especialmente durante la pandemia de COVID-19, han hecho evidente la importancia de proteger la infraestructura cibernética de hospitales, centros de investigación, productores de energía e instituciones gubernamentales, entre otras.
Como respuesta, muchas empresas privadas deciden funcionar bajo un modelo de ciberseguridad «confianza cero» (zero trust en inglés). Este modelo implica la realización de verificaciones periódicas de seguridad, pues asume que los productos y servicios digitales no son fiables.
A esto se suma la guerra entre Rusia y Ucrania que, según el Washington Post, se ha relacionado con múltiples ciberataques (principalmente ataques de denegación distribuida de servicios, ransomware y phishing) que han impulsado a la Comisión Europea a ajustar sus políticas de ciberseguridad.
¿Cómo dar cumplimiento a la nueva Ley de Ciberresiliencia de la UE?
La mejor forma de dar cumplimiento a esta nueva ley, y a otras legislaciones en materia de ciberseguridad, es contactando a expertos en la materia que ayuden a tu empresa a trazar estrategias costo-eficientes y realistas que le permitan mantener un ritmo de trabajo adecuado, a la vez que se cumplen las nuevas exigencias.
El equipo de Delta Protect está formado por especialistas en distintas áreas que trabajan en conjunto para entender las necesidades de múltiples tipos de negocios y ofrecerles soluciones personalizadas a cada uno. Estamos en constante actualización para ofrecer a nuestros clientes asesoramiento y soporte que les permita adaptarse a los nuevos requisitos de sus clientes y proveedores europeos.
Con más de 25 años de experiencia en ciberseguridad y certificaciones de la industria, uno de nuestros complementos de Apolo: CISO as a Service, es ideal para ayudar a pymes y startups a dar cumplimiento a estas nuevas normativas y evitar sanciones que pueden incrementar sus costos de producción.
En Delta Protect simplificamos la ciberseguridad y el cumplimiento de tu empresa. Si quieres saber más sobre cómo afectará esta nueva ley a tu empresa y cómo puedes darle cumplimiento, agenda una demo de Apolo con nuestros expertos.
Santiago Fuentes es cofundador de Delta Protect y del Mexico & Israel Tech Hub. En 2021 fue seleccionado como Mentor de ciberseguridad en Endeavor México. Ha tenido la oportunidad de vivir y entender mercados de tecnología emergentes como Shanghai, Tel Aviv, y Corea del Sur, donde desarrolló conocimientos sobre Ciencia de Datos y Finanzas Corporativas.
