Ley de Ciberresiliencia: qué deben saber los MSP sobre la nueva guía europea
La Comisión Europea ha publicado su primera guía oficial para ayudar a las empresas a aplicar la Ley de Ciberresiliencia (CRA), el reglamento de la UE que establece requisitos de ciberseguridad para los productos con elementos digitales.
El calendario es clave: las obligaciones de notificación de vulnerabilidades explotadas activamente y de incidentes graves entran en vigor el 11 de septiembre de 2026, mientras que los requisitos principales de la CRA serán obligatorios a partir del 11 de diciembre de 2027.
Para los MSP, la CRA no es solo una cuestión de cumplimiento normativo. Afecta directamente a la tecnología y a las soluciones de ciberseguridad en las que confían para proteger a sus clientes.
La nueva guía ayuda a aclarar aspectos prácticos del reglamento, como qué productos están incluidos, cómo realizar las evaluaciones de riesgos, qué se considera una modificación sustancial, cuánto tiempo debe mantenerse el soporte y qué medidas deben adoptarse cuando se descubre una vulnerabilidad o se produce un incidente.
Detrás de todos estos requisitos hay un principio fundamental: la seguridad debe integrarse en los productos a lo largo de todo su ciclo de vida, desde la fase de diseño hasta el fin del soporte.
La seguridad empieza antes del lanzamiento
La CRA exige a los proveedores tecnológicos integrar la ciberseguridad en los productos desde las fases de diseño y desarrollo. Esto implica identificar y evaluar los riesgos, aplicar controles de seguridad adecuados y comprobar que esas medidas funcionan correctamente antes de lanzar un producto al mercado.
En materia de ciberseguridad, la idea es clara: la seguridad de un producto no termina cuando se publica una nueva versión.
El software evoluciona, surgen nuevas amenazas y aparecen vulnerabilidades que antes no se conocían. Por ello, las evaluaciones de riesgos y los controles de seguridad deben evolucionar al mismo tiempo que el propio producto.
En la práctica, esto supone integrar la seguridad en los procesos de desarrollo, realizar pruebas y validaciones, documentar los resultados y mantener mecanismos que permitan identificar y corregir problemas durante todo el ciclo de vida.
Es un enfoque que WatchGuard denomina Secure by Design - integrar la seguridad directamente en el proceso de desarrollo, en lugar de tratarla como un último punto de una lista de comprobación.
La gestión de vulnerabilidades requiere un proceso, no una reacción
Uno de los ámbitos en los que la CRA introduce requisitos más concretos es la gestión de vulnerabilidades.
Cuando se identifica una posible vulnerabilidad, los proveedores tecnológicos deben ser capaces de responder con rapidez a varias preguntas clave:
- ¿Cuál es la causa raíz del problema?
- ¿Qué productos y versiones están afectados?
- ¿Qué nivel de riesgo supone para los usuarios?
- ¿La vulnerabilidad está siendo explotada activamente?
- ¿Qué corrección o parche es necesario?
- ¿Cómo se distribuirá la actualización?
- ¿Qué información necesitan los partners y los clientes?
Responder con rapidez a estas cuestiones requiere procesos bien definidos y una asignación clara de responsabilidades.
En WatchGuard, nuestro Product Security Incident Response Team (PSIRT) centraliza la gestión de los avisos de seguridad relacionados con nuestros productos. El equipo coordina las investigaciones con las áreas correspondientes, determina el alcance de las vulnerabilidades identificadas y supervisa las acciones de remediación necesarias.
Cuando procede, WatchGuard publica avisos de seguridad en los que detalla los productos y versiones afectados, las acciones recomendadas para los clientes y las correcciones o actualizaciones disponibles.
Este ciclo de identificación, investigación, remediación y divulgación resulta fundamental en un contexto en el que la nueva regulación europea eleva el nivel de exigencia en la gestión de vulnerabilidades.
El soporte también forma parte de la seguridad
La CRA también pone especial énfasis en la duración del soporte de seguridad de los productos. Como norma general, el reglamento establece un periodo mínimo de soporte de cinco años, salvo que la vida útil prevista del producto sea inferior.
Tanto para los proveedores tecnológicos como para los clientes, esto hace que el ciclo de vida del producto cobre aún más importancia.
Un producto no debe considerarse seguro simplemente porque no presente vulnerabilidades conocidas en el momento de su lanzamiento. La seguridad debe mantenerse durante todo el periodo en el que los clientes dependan de él.
Para ello, deben existir procesos que permitan:
- Identificar nuevas vulnerabilidades
- Evaluar su impacto
- Desarrollar y probar correcciones
- Distribuir las actualizaciones de forma segura
- Comunicar los riesgos y las acciones necesarias
- Mantener información clara sobre los periodos de soporte de los productos y los calendarios de fin de vida útil (EOL)
Para los MSP, esta información es igualmente importante a la hora de planificar el ciclo de vida de las TI de sus clientes y garantizar que no continúen utilizando soluciones que ya no cuentan con soporte.
Del cumplimiento a una seguridad demostrable
En WatchGuard, muchos de estos procesos ya forman parte de la forma en que desarrollamos y mantenemos nuestros productos.
Nuestro enfoque combina los principios de Secure by Design, las pruebas de seguridad durante todo el proceso de desarrollo, la gestión de vulnerabilidades, la respuesta coordinada ante incidentes, las actualizaciones de seguridad y una comunicación activa con partners y clientes.
Esto permite abordar la CRA mediante procesos concretos y verificables, en lugar de tratar el cumplimiento como un requisito independiente del desarrollo y mantenimiento de los productos.
Para los MSP, esta diferencia es importante.
Cuando un cliente pregunta de qué manera una solución de ciberseguridad contribuye a sus objetivos de cumplimiento, la respuesta no debería limitarse a una certificación o una declaración de conformidad. Los MSP también deberían poder explicar cómo se desarrolla el producto, cómo se identifican y gestionan las vulnerabilidades, cómo se distribuyen las correcciones y durante cuánto tiempo se mantiene el soporte de seguridad.
Son estos elementos los que ayudan a convertir el cumplimiento en algo tangible.
La CRA es solo el principio
La Ley de Ciberresiliencia forma parte de un entorno regulatorio europeo cada vez más exigente. Normativas y estándares como NIS2, DORA y otras iniciativas de ciberseguridad de la UE están elevando las expectativas sobre cómo deben gestionar las organizaciones el riesgo tecnológico y cómo deben desarrollar y mantener sus productos los proveedores.
Para los proveedores tecnológicos, esto significa que la seguridad de los productos —y la capacidad de demostrarla— será cada vez más importante.
Para los MSP, implica que las preguntas de sus clientes seguirán evolucionando.
Por eso, más allá de cumplir una normativa concreta, el objetivo debería ser trabajar con proveedores capaces de demostrar que la seguridad está integrada en todo el ciclo de vida de sus productos y que cuentan con procesos claros para responder cuando surgen nuevos riesgos.
En WatchGuard seguimos evolucionando nuestros procesos y soluciones para ayudar a nuestros partners y a sus clientes a desenvolverse en un entorno regulatorio y de amenazas en constante cambio.
Recursos para MSP
Para los MSP, comprender cómo gestiona un proveedor tecnológico la seguridad de sus productos es tan importante como mantenerse al día de las nuevas normativas. Los siguientes recursos de WatchGuard permiten profundizar en los procesos y prácticas que sustentan la seguridad de nuestros productos:
- WatchGuard Trust Center: centraliza información sobre nuestras prácticas de seguridad, fiabilidad y cumplimiento, así como sobre el estado de nuestros productos y servicios. También proporciona acceso a la información publicada por el Product Security Incident Response Team (PSIRT).
- Avisos de seguridad: permite consultar los avisos de seguridad de WatchGuard, incluidas las vulnerabilidades identificadas, los productos afectados, los niveles de gravedad, los identificadores CVE, el estado y las fechas de publicación.
- Seguridad de red: información sobre las soluciones de seguridad de red de WatchGuard y las capacidades disponibles para proteger los entornos de los clientes.
Estos recursos ofrecen información práctica que los MSP pueden utilizar para evaluar soluciones, planificar actualizaciones y mostrar a sus clientes cómo los procesos de seguridad de los proveedores tecnológicos contribuyen a sus objetivos de cumplimiento.