Durante veinte años, la ciberseguridad de un dispositivo de seguridad industrial fue problema de otro — del equipo de red, del departamento de TI, del integrador de sistemas. El Reglamento de Ciberresiliencia de la UE cambia eso. Impone obligaciones de seguridad al propio producto y las hace cumplir a través del mismo marcado CE que ya lleva la seguridad funcional. Si introduce máquinas o componentes de seguridad en el mercado de la UE, el CRA forma ahora parte de su panorama de conformidad.
La buena noticia es que el hardware de seguridad más sencillo apenas se ve afectado. La complicación está en el terreno intermedio — los sensores inteligentes, los escáneres configurables y los dispositivos IO-Link a los que la industria ha dedicado una década añadiéndoles inteligencia. Esta es una guía para averiguar dónde se sitúa un dispositivo dado, escrita para el ingeniero que tiene que tomar la decisión, no para el abogado que la firma.
Las fechas que importan
El Reglamento de Ciberresiliencia es el Reglamento (UE) 2024/2847. Entró en vigor en 2024 y, como la mayoría de los reglamentos de productos de la UE, no se activa de golpe. Las obligaciones llegan por fases. Las obligaciones de notificación — el deber de notificar a las autoridades las vulnerabilidades explotadas activamente y los incidentes de seguridad graves — empiezan a aplicarse desde el 11 de septiembre de 2026. El cuerpo principal de obligaciones, incluidos los requisitos esenciales de ciberseguridad y el marcado CE que cubre la ciberseguridad, se aplica desde el 11 de diciembre de 2027.
Trate diciembre de 2027 como la fecha límite firme para la conformidad del producto, y aproveche el plazo previo igual que haría para cualquier transición CE: evalúe el ámbito, hable con sus proveedores y cree los procesos sobre los que será auditado. La maquinaria de notificación llega un poco antes, lo cual conviene conocer si es usted el fabricante del componente y no solo un integrador de este.
Qué significa «productos con elementos digitales»
El CRA no enumera los productos por su nombre. Define una clase: productos con elementos digitales. La definición abreviada es un producto de hardware o software cuyo uso previsto incluye una conexión de datos lógica o física, directa o indirecta, a un dispositivo o a una red. Esa definición es deliberadamente amplia, y es la bisagra sobre la que gira el ámbito para los sensores de seguridad.
Léala con atención y se desprenden dos cosas. Primera, el detonante es la conexión de datos y el contenido digital — firmware, parámetros configurables, una interfaz de comunicación — no la función de seguridad como tal. Segunda, el ámbito es una propiedad del modelo concreto, no de la categoría «cortina de luz» o «escáner láser». Dos dispositivos que realizan el mismo trabajo de protección pueden caer a lados opuestos de la línea si uno es una unidad sellada y cableada y el otro lleva firmware actualizable y un puerto Ethernet.
Dónde es probable que caigan los dispositivos de seguridad habituales
Con esa definición en la mano, puede clasificar una lista de materiales de seguridad típica en niveles aproximados. Esto es juicio de ingeniería para orientar una evaluación formal — no es una clasificación jurídica, y el texto oficial es el que prevalece.
- Extremo de menor riesgo: dispositivos OSSD sencillos y cableados. Una cortina de luz de Type 2 o Type 4 que solo conmuta salidas de seguridad OSSD dobles, sin interfaz de red y sin firmware actualizable expuesto al exterior, tiene poco de la superficie digital a la que apunta el CRA. Un sensor de proximidad básico o un relé de seguridad cableado como el DA31 de DAIDISIKE, conectado a un circuito de seguridad, está en el mismo grupo.
- Terreno intermedio: dispositivos configurables e IO-Link. Una cortina de luz de seguridad o un interruptor de seguridad con una interfaz de parametrización, una herramienta de configuración de muting o blanking, o comunicación IO-Link / IO-Link Safety tiene elementos digitales y una conexión de datos. Son los dispositivos que con más probabilidad necesitarán una evaluación CRA.
- Lo más probable dentro del ámbito: sensores inteligentes conectados en red. Un escáner láser de seguridad / LiDAR como una unidad de la serie DLD de DAIDISIKE, con configuración de campos, firmware embebido que puede actualizarse y una interfaz de comunicación, lleva la mayor superficie digital, y es la categoría que conviene evaluar primero.
- A menudo es el controlador, no el sensor, el que lleva la red. En nuestros dispositivos, la integración de bus de campo o de protocolo la gestiona un controlador de seguridad externo en lugar de pilas de protocolo nativas dentro del sensor. Eso importa para el ámbito: el controlador es con frecuencia el producto con los elementos digitales más ricos, y merece su propia evaluación junto a los sensores que lee.
Los requisitos esenciales de ciberseguridad, en términos sencillos
Cuando un dispositivo está dentro del ámbito, el CRA espera que sea seguro por diseño. Los requisitos detallados se encuentran en los anexos del reglamento, y debería elaborar un expediente de conformidad a partir de ese texto oficial y no de un resumen — pero a nivel conceptual las expectativas resultan reconocibles para cualquiera que haya hecho trabajo de seguridad industrial:
- introducido en el mercado sin vulnerabilidades explotables conocidas;
- una configuración segura por defecto, con la opción de restablecer ese estado por defecto;
- protección de la confidencialidad y la integridad de los datos y comandos almacenados y transmitidos — en un dispositivo de seguridad, la integridad de la configuración y de la ruta de comandos de seguridad es la parte que más importa;
- una superficie de ataque reducida y protección contra el acceso no autorizado;
- la capacidad de entregar actualizaciones de seguridad, cuando el producto está diseñado para recibirlas.
Nada de esto entra en conflicto con la seguridad funcional; corre en paralelo con ella. El requisito de integridad, en particular, es el punto de encuentro natural — una configuración corrupta que debilita silenciosamente una función de protección es a la vez un fallo de seguridad informática y un fallo de seguridad funcional.
Gestión de vulnerabilidades y divulgación coordinada
Una gran parte del CRA no trata del producto tal como se entrega, sino de lo que el fabricante hace después. A lo largo del periodo de soporte, se espera que el fabricante identifique y documente las vulnerabilidades, proporcione actualizaciones que las aborden y opere un proceso de divulgación coordinada de vulnerabilidades para que un investigador que encuentre un fallo tenga una vía definida para notificarlo. Las obligaciones de notificación separadas — notificar a las autoridades las vulnerabilidades explotadas activamente y los incidentes graves — se suman a eso, y son la parte que comienza desde septiembre de 2026.
Para un comprador, esto se convierte en una cuestión de aprovisionamiento más que de diseño. No está auditando el código fuente del proveedor; está preguntando si el proceso existe: ¿hay un contacto de seguridad, un periodo de soporte definido, un mecanismo de actualización y una política de divulgación? Un proveedor que pueda responder a eso con claridad es un proveedor cuyos componentes no se convertirán en su brecha de cumplimiento en 2027.
CRA, IEC 62443 y el Reglamento de Máquinas: tres capas
Es fácil confundir estos tres porque todos tocan la seguridad informática y la seguridad funcional. Se sitúan en niveles diferentes, y ver la distinción simplifica el cumplimiento, no lo complica.
- El Reglamento de Ciberresiliencia es la ley para el producto. Establece requisitos obligatorios de acceso al mercado para los productos con elementos digitales y los hace cumplir a través del marcado CE. No puede excluirse de él para un producto dentro del ámbito vendido en la UE.
- La IEC 62443 es el conjunto de herramientas de ingeniería. Es una serie de normas internacionales voluntarias para la seguridad de los sistemas de automatización y control industrial — niveles de seguridad, zonas y conductos, prácticas de desarrollo seguro. No es la ley, pero es el método en el que puede apoyarse para demostrar que ha cumplido un objetivo legal.
- El Reglamento de Máquinas es el dueño de la función de seguridad. El Reglamento (UE) 2023/1230 rige la seguridad de las máquinas y aborda la ciberseguridad en la medida en que un ataque pudiera anular una función de seguridad. Su preocupación es la máquina y sus funciones de protección; la preocupación del CRA es la seguridad propia del producto digital.
En un proyecto real los tres se apilan en lugar de chocar: el Reglamento de Máquinas pregunta si la función de seguridad puede ser anulada, el CRA pregunta si el producto digital puede ser comprometido, y la IEC 62443 le da el vocabulario y los métodos para responder a ambas. Para una cobertura más profunda de ese solapamiento, vea nuestro artículo complementario sobre la IEC 62443 encontrándose con la ISO 13849.
Una lista de verificación del comprador para el abastecimiento de componentes de seguridad
Si es usted un OEM o integrador que pone máquinas en el mercado de la UE, el CRA le alcanza sobre todo a través de los componentes que compra. Para cada dispositivo de seguridad inteligente o conectado en red, plantee estas preguntas al proveedor:
- ¿Este modelo concreto está evaluado como un producto con elementos digitales según el CRA?
- ¿Llevará marcado CE que cubra la ciberseguridad para cuando yo introduzca mi máquina en el mercado?
- ¿Cómo se entregan las actualizaciones de seguridad, y durante cuánto tiempo — cuál es el periodo de soporte?
- ¿Existe un proceso de divulgación coordinada de vulnerabilidades y un contacto de seguridad?
- ¿Podría un dispositivo OSSD sencillo y cableado hacer este trabajo en su lugar, manteniendo la conectividad — y el ámbito de ciberseguridad — fuera del diseño allí donde no aporta valor?
Ese último punto es la lección de diseño silenciosa del CRA. La conectividad ya no es gratis; conlleva un coste de cumplimiento. Cuando una función de seguridad se beneficia realmente de la configuración o de la conexión en red, ese coste vale la pena. Cuando no, un dispositivo OSSD sencillo y cableado mantiene tanto su expediente de seguridad como su expediente de ciberseguridad más reducidos y más fáciles de defender.