Cada año aumenta el número de dispositivos conectados a una red. El teletrabajo se ha consolidado, sectores tradicionalmente analógicos han acelerado su digitalización y los equipos intercambian cada vez más información entre sí. Este avance aporta eficiencia y nuevas posibilidades, pero también amplía lo que en seguridad denominamos superficie de ataque. Y es que cuantas más puertas conectamos, más puntos de entrada debemos proteger.
El diagnóstico de Europa es claro. Muchos productos todavía llegan al mercado con un grado insuficiente de ciberseguridad, mantienen vulnerabilidades conocidas y no reciben las actualizaciones necesarias para corregirlas. Al mismo tiempo, quienes los compran no siempre disponen de información suficiente para distinguir un producto seguro de otro que no lo es.
La respuesta: la Ley de Ciberresiliencia
De ahí nace el Reglamento de Ciberresiliencia, conocido por sus siglas en inglés como CRA. Entró en vigor el 10 de diciembre de 2024 y es la primera norma europea que obliga a que los productos conectados sean seguros durante toda su vida útil, desde que se diseñan hasta que dejan de mantenerse.
La clave está en qué entiende por producto conectado, porque la definición es muy amplia: cualquier equipo enlazado directa o indirectamente a otro dispositivo o red. Traducido a un catálogo de seguridad electrónica, entran de lleno las controladoras de acceso, los lectores, las cámaras IP, los grabadores, los paneles y los sensores.
Y ahí está el fondo del asunto. Una cámara, un panel de control o un sensor son, técnicamente, dispositivos IoT, y en instalaciones industriales conviven con equipos OT (tecnología operativa). El Reglamento señala expresamente la necesidad de proteger esos ecosistemas, y es justo donde más aprieta. Un equipo de campo puede pasar años instalado, casi sin mantenimiento y en redes que nadie pensó para dejarlas expuestas, así que lo que venga mal de origen se queda dentro.
Por eso, elegir producto deja de ser una decisión solo comercial. Y no afecta únicamente al fabricante. La norma obliga también a importadores y distribuidores, que debemos asegurar que lo que vendemos cumple.
Qué exige en concreto y cuándo
Lo que el Reglamento pide al fabricante es amplio, pero hay tres puntos que cambian el día a día de quien compra e instala. El primero es la marca CE, el sello que estos productos deberán llevar para demostrar que cumplen. No todos pasan el mismo filtro. Los productos no clasificados se someten a autoevaluaciones periódicas; mientras que los importantes, de clase I y II, y los críticos deben cumplir estándares más estrictos según su nivel de riesgo.
El segundo es el soporte. El fabricante tendrá que corregir las vulnerabilidades durante todo el ciclo de vida del producto, al menos durante cinco años, y la norma busca además dar transparencia a ese periodo.
El tercero es la notificación. Los fabricantes deberán comunicar a las autoridades competentes las vulnerabilidades detectadas en sus productos.
El calendario ya está en marcha. Los fabricantes tienen 36 meses desde la entrada en vigor para adaptarse, así que la aplicación general no llega hasta el 11 de diciembre de 2027. Pero hay dos plazos anteriores: junio de 2026 para la notificación de los organismos de evaluación de la conformidad y septiembre de 2026 para las obligaciones de información.
Traducido a un proyecto: cuatro criterios
Marca CE, soporte y notificación son la base. En cuanto a la solución que se debe proponer, deben tenerse en cuenta estos atributos:
- S – Segura por diseño: La ciberseguridad forma parte de la arquitectura.
- A – Auditable: Permite saber qué ocurrió, cuándo y quién intervino.
- F – Fiable: Funciona de manera predecible, incluso ante fallos.
- E – Ética: Utiliza únicamente los datos necesarios y respeta los derechos de las personas.
No basta con que funcione. Tiene que ser SAFE.
El cumplimiento se decide antes de instalar
El CRA no llega solo. El propio Reglamento dice que busca encajar con normas ya vigentes y cita el Reglamento General de Protección de Datos, que acaba de reforzar la misma idea desde los tribunales.
El Tribunal Supremo ha resuelto que hay tratamiento de datos desde que se piden, aunque nadie llegue a entregarlos. Las obligaciones no empiezan al recibir el dato, sino al decidir qué se pide y para qué. En una instalación de seguridad eso significa que, cuando se decide dónde apunta una cámara o qué registra un lector, el tratamiento ya ha empezado. No vale corregirlo después.
La Agencia Española de Protección de Datos apunta a lo mismo desde otro lado. En 2025, las autoridades europeas impusieron más de 1.145 millones en multas; y en España, los expedientes con sanción pasaron de 281 a 326. Pero su conclusión no va de dinero. Cada vez pesan más las advertencias y las órdenes de corregir. El control se vuelve preventivo, no solo sancionador.
Las dos normas empujan hacia el mismo sitio. La seguridad y la privacidad se resuelven al decidir cómo será el sistema, no cuando ya funciona.
La IA somete esos criterios a más presión
Hasta aquí, el producto. Pero casi todos los proyectos llevan ya una capa de inteligencia artificial, y ahí los cuatro criterios se ponen a prueba.
En CCTV, la analítica reconoce en tiempo real si lo que cruza un perímetro es una persona, vehículo o animal, y después permite buscar por color, tamaño o dirección. Se reducen las falsas alarmas y se tratan menos datos que revisando la grabación. Con un dron, esa misma inteligencia deja de estar atada a un punto fijo y permite comprobar una alarma sin desplazar a nadie.
El desarrollo más reciente es la analítica definida por prompt. El operador escribe en lenguaje normal lo que quiere vigilar y el sistema lo aplica en tiempo real. La seguridad pasa de pasiva a activa. Eso sí, cada prompt crea una finalidad nueva, y debe encajar con la que justificó la instalación.
Esa flexibilidad devuelve al primer plano dos de los cuatro criterios: la auditabilidad y la ética. Si el sistema decide en tiempo real, hay que poder explicar con qué criterios lo hace. Ahí aporta algo un certificado de ética en el uso de la IA, porque acredita cómo analiza y qué límites se ha impuesto.
Qué preguntar antes de comprar
Todo lo anterior conduce al mismo punto: el momento de comprobar si un sistema cumplirá con lo esperado es antes de instalarlo, cuando se seleccionan los equipos y se redacta el pliego.
En Casmar resumimos esta evaluación mediante el criterio SAFE: una solución debe ser Segura por diseño, Auditable, Fiable y Ética. Cada uno de estos principios puede comprobarse con una pregunta concreta. ¿El equipo llega protegido de fábrica o mantiene contraseñas y configuraciones por defecto? ¿Qué registro conserva sobre quién accede, qué consulta y qué modifica? ¿Qué periodo de soporte declara el fabricante y dónde lo publica? ¿Qué datos necesita realmente y puede explicar la analítica en qué basa sus alertas?
Son las preguntas que en Casmar trasladamos a nuestros fabricantes y las mismas que cualquier integrador debería poder plantearnos. Conviene hacerlas antes de comprar, porque aquello que no se haya previsto en el producto y en su arquitectura difícilmente podrá resolverse durante la instalación.
SAFE no es solo una forma de evaluar tecnología; es una manera de comprar mejor, reducir riesgos y poder defender cada decisión ante el cliente.
La entrada Ciberseguridad desde fábrica: qué exige Europa a los sistemas de seguridad se publicó primero en Red Seguridad.
