En un contexto de hiperconectividad creciente, donde cada vez más productos digitales se integran en nuestra vida cotidiana (desde electrodomésticos inteligentes hasta sistemas de gestión energética, cámaras de vigilancia, wearables y asistentes virtuales), la ciberseguridad se ha convertido en una condición estructural para la confianza digital, la protección de los derechos fundamentales y la resiliencia económica europea.

La Unión Europea ha reconocido este desafío mediante una serie de iniciativas legislativas estratégicas que conforman el nuevo marco jurídico de la ciberseguridad. Entre las más destacadas se encuentran:

• La Ley Europea de Inteligencia Artificial (AI Act)
• La Ley de Mercados Digitales (DMA)
• La Ley de Servicios Digitales (DSA)
• El nuevo Acuerdo de Protección de Datos UE-EE. UU.
• La Directiva NIS 2 sobre seguridad de redes y sistemas de información
• La Propuesta de Reglamento sobre ciberseguridad para productos con elementos digitales (Cyber Resilience Act)

 

Una propuesta clave: Reglamento sobre productos con elementos digitales

Aprobada por la Comisión Europea en septiembre de 2022, la Propuesta de Reglamento de ciberseguridad para productos con elementos digitales busca corregir un vacío normativo esencial: la ausencia de requisitos uniformes y obligatorios de ciberseguridad en el diseño, fabricación y mantenimiento de productos conectados a internet.

Este reglamento modifica el Reglamento (UE) 2019/1020 y propone un marco horizontal aplicable a todo tipo de productos digitales, desde software hasta dispositivos físicos, para garantizar su seguridad durante todo su ciclo de vida.

 

Objetivos estructurales del Reglamento

El texto se articula en torno a varios pilares fundamentales:

1. Integración de la ciberseguridad desde el diseño («security by design»): los fabricantes deberán garantizar que sus productos tengan en cuenta los riesgos cibernéticos desde la fase de concepción y desarrollo.
2. Actualizaciones durante todo el ciclo de vida: se exige a los fabricantes la obligación de corregir vulnerabilidades detectadas incluso después de la comercialización, mediante actualizaciones seguras y trazables.
3. Transparencia sobre las características de seguridad: tanto empresas como consumidores tendrán derecho a información clara sobre el nivel de seguridad de los productos digitales.
4. Marco armonizado de cumplimiento: se busca evitar el fraccionamiento legal entre países, estableciendo un sistema coherente de obligaciones que favorezca la innovación y el comercio intraeuropeo sin comprometer la seguridad.

 

Impacto regulatorio: un equilibrio entre protección y competitividad

Uno de los principales logros de esta propuesta es que introduce requisitos legales vinculantes, superando los marcos voluntarios o sectoriales anteriores, y al mismo tiempo tiene en cuenta las particularidades de las pymes, a las que se les facilitará el cumplimiento mediante guías técnicas y procedimientos simplificados.

Este enfoque pretende reducir la exposición económica derivada de los ciberataques (que en Europa generan pérdidas millonarias cada año) y minimizar los obstáculos jurídicos creados por normativas nacionales divergentes. Además, se espera que la armonización normativa impulse la competitividad global de las empresas europeas, al establecer un estándar internacional de referencia en materia de seguridad digital.

 

Retos en la implementación: burocracia, costes y capacidades institucionales

A pesar de su ambición, el reglamento no está exento de críticas. El Comité Económico y Social Europeo (CESE), en su dictamen 2023/C 100/15, ha subrayado que la normativa debe ser un instrumento de armonización y no un obstáculo burocrático que limite la innovación o imponga cargas excesivas a los fabricantes.

En particular, se alerta del riesgo de que los requisitos de certificación y verificación generen cuellos de botella, sobre todo en sectores con alta rotación tecnológica. La complejidad de cubrir el amplio espectro de productos digitales puede implicar una sobrecarga para las autoridades nacionales de certificación, que necesitarán refuerzos técnicos y presupuestarios para cumplir sus funciones.

 

Interoperabilidad normativa: integración con el RGPD y principios de protección de datos

Una de las fortalezas del reglamento es su alineación con el Reglamento General de Protección de Datos (RGPD). En efecto, el artículo 32 del RGPD ya exige a los responsables del tratamiento aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado. Este nuevo reglamento profundiza en esa línea, trasladando el principio de seguridad al plano físico y lógico de los dispositivos.

El Supervisor Europeo de Protección de Datos (SEPD) ha manifestado su apoyo a la propuesta, subrayando que una ciberseguridad robusta es esencial para salvaguardar los derechos fundamentales en la era digital, especialmente la privacidad y la integridad de los datos personales.

Según la propuesta, un producto se considerará seguro si cumple las siguientes condiciones mínimas:

• No presenta vulnerabilidades conocidas en el momento de su comercialización.
• Incluye configuraciones seguras por defecto.
• Protege los datos personales frente a accesos no autorizados.
• Limita la recopilación de datos a lo estrictamente necesario para su funcionamiento.
• Permite actualizaciones automáticas sin comprometer el control del usuario.

 

Conclusión: hacia una cultura de ciberseguridad en Europa

La Propuesta de Reglamento de ciberseguridad para productos con elementos digitales representa un avance sustancial en la estrategia digital de la UE, al trasladar la responsabilidad de la seguridad informática directamente a los fabricantes, desarrolladores y operadores económicos. Refuerza la confianza del mercado, protege a los consumidores y establece un marco jurídico robusto frente a las amenazas crecientes del entorno digital.

Sin embargo, su éxito dependerá de la capacidad de implementación efectiva, del diálogo entre legisladores, industria y sociedad civil, y de una adecuada inversión en capacidades institucionales para supervisar y certificar el cumplimiento.

En un mundo donde cada dispositivo es una puerta de entrada potencial al ciberespacio, garantizar la seguridad por diseño ya no es un valor añadido: es una obligación ética, legal y estratégica.