Los fabricantes de productos conectados deberán comunicar las vulnerabilidades activamente explotadas y los incidentes graves que afecten a sus productos, una obligación que cambia la gestión empresarial de los proveedores de videovigilancia, control de accesos y otros sistemas de seguridad física. La Ley de Ciberresiliencia de la Unión Europea convierte así la respuesta ante fallos, la transparencia y la duración del soporte en criterios relevantes para adquirir y operar tecnología conectada.
Las obligaciones europeas de notificación comienzan el 11 de septiembre de 2026. Ante una vulnerabilidad explotada de forma activa o un incidente grave, el fabricante deberá emitir un aviso inicial en un plazo de 24 horas y completar la notificación en 72 horas. Este calendario exige disponer de procesos capaces de detectar, analizar y escalar problemas con rapidez, además de mantener una comunicación estructurada con clientes e integradores.
La entrada en vigor de esta parte de la norma no significa que todo el régimen de la CRA sea ya aplicable. Los requisitos generales de ciberseguridad comenzarán a exigirse el 11 de diciembre de 2027. La obligación inmediata se concentra en la notificación, pero anticipa el modelo de responsabilidad durante el ciclo de vida que deberán asumir los fabricantes de productos con elementos digitales comercializados en la UE.
El soporte entra en la evaluación del proveedor
Genetec, especializada en software de seguridad física, ha elaborado una guía para que los responsables del área revisen cómo sus proveedores diseñan, mantienen y respaldan los productos conectados. Su enfoque desplaza la evaluación más allá de las prestaciones iniciales: propone comprobar durante cuánto tiempo habrá actualizaciones, cómo se corregirán las vulnerabilidades y qué asistencia se ofrecerá cuando el producto llegue al final de su vida útil.
Estas cuestiones resultan especialmente relevantes en instalaciones donde cámaras, lectores, servidores y componentes de red permanecen operativos durante años. La capacidad de actualizar un equipo y conocer su horizonte de soporte puede condicionar tanto la continuidad del servicio como la exposición de toda la infraestructura. Un dispositivo funcional, pero sin correcciones disponibles, introduce una dependencia que el comprador tendrá que gestionar mediante sustituciones, segmentación u otras medidas operativas.
El Reglamento europeo vincula el soporte a la vida útil prevista del producto. Como regla general, establece un mínimo de cinco años, aunque permite un plazo inferior cuando el producto vaya a utilizarse durante menos tiempo y contempla periodos más largos para equipos destinados a permanecer operativos durante más años. Por tanto, el horizonte concreto no puede darse por supuesto: debe quedar definido para cada solución.
Para compradores e integradores, esta exigencia afecta a la planificación presupuestaria y contractual. La duración de las actualizaciones, las condiciones para recibirlas y el tratamiento del fin de soporte pasan a formar parte del coste y del riesgo de una implantación. También cobran valor los inventarios de activos y versiones, porque una organización necesita identificar qué equipos siguen cubiertos y cuáles requieren migración antes de perder mantenimiento de seguridad.
Desarrollo seguro y gestión de vulnerabilidades
La segunda dimensión señalada por Genetec es la incorporación de la ciberseguridad desde el diseño. La empresa recomienda pedir evidencias sobre su presencia en el desarrollo, las pruebas y el mantenimiento del producto, en lugar de limitar la revisión a una función añadida al final del proceso. En sistemas físicos conectados, este análisis abarca mecanismos como el cifrado, la gestión de identidades y accesos o la distribución protegida de actualizaciones.
La guía también plantea revisar el programa de gestión de vulnerabilidades del proveedor. Entre los indicios que considera relevantes figuran las pruebas periódicas de seguridad, una política coordinada de divulgación, la priorización de correcciones según el riesgo, la ausencia de demoras indebidas y la publicación de avisos claros sobre los fallos subsanados. Son elementos que permiten valorar la capacidad de respuesta más allá de una declaración general sobre seguridad.
La notificación regulatoria añade una referencia verificable a esa relación. El fabricante necesitará canales internos para recibir y evaluar alertas, mientras clientes e integradores deberán saber dónde consultar los avisos y cómo aplicar las medidas disponibles. En una infraestructura con equipos de distintos fabricantes, la velocidad de respuesta dependerá también de que el operador mantenga responsabilidades claras y procedimientos de actualización compatibles con la continuidad del servicio.
Genetec sitúa la transparencia como otro criterio de evaluación. El proveedor debería explicar cómo prueba sus productos, comunica las vulnerabilidades, distribuye las correcciones y orienta una implantación segura. La existencia de documentación técnica y de canales definidos ayuda al comprador a contrastar las prácticas durante la selección y reduce la dependencia de respuestas improvisadas cuando aparece un fallo.
Una responsabilidad que alcanza a toda la cadena
Aunque la CRA dirige sus principales obligaciones a los fabricantes, sus efectos alcanzan a distribuidores, integradores, compradores y operadores. Quien instala o gestiona un sistema necesita trasladar las alertas, aplicar actualizaciones y conservar una configuración segura. En consecuencia, la selección del fabricante influye en la capacidad posterior del integrador para mantener la instalación y en los recursos que el cliente deberá dedicar a su explotación.
La compañía afirma que aplica prácticas de desarrollo ciberseguro a su tecnología y que incorpora cifrado, control de identidades, supervisión y gestión de vulnerabilidades. Estas características describen su planteamiento, pero la utilidad de la guía para una organización reside en convertir cuestiones similares en requisitos comparables entre proveedores, con respuestas documentadas sobre plazos, procedimientos y responsabilidades.
La consecuencia operativa es incorporar el soporte y la gestión de fallos a los pliegos, contratos e inventarios de seguridad física. Antes de desplegar un producto conectado, compradores e integradores tendrán que fijar quién recibe los avisos, quién instala las correcciones, cuánto durará el mantenimiento y qué plan de sustitución se activará cuando termine.
