Las nuevas normas de la UE para asegurar los productos TI entran en vigor hoy sin que las empresas estén preparadas

Una nueva encuesta concluye que demasiadas empresas todavía desconocen el Reglamento de Ciberresiliencia (Cyber Resilience Act, CRA) de la Unión Europea de 2024, cuyos primeros elementos entran hoy en vigor.

Dos tercios de los encuestados en el estudio realizado por la Open Source Security Foundation afirman no estar familiarizados con el CRA, que busca reforzar la seguridad del hardware y el software comercializados en la UE.

Además de las exigencias del CRA para los proveedores, también tiene implicaciones para los usuarios de software de código abierto, de ahí el interés de la Fundación en el tema. Entre otras medidas, el CRA crea la figura del responsable (steward) de código abierto dentro de la empresa, encargado de garantizar que existe una política de seguridad para cualquier software utilizado en la organización.

La primera parte del CRA que hoy entra en vigor se refiere a la designación por parte de los Estados miembros de los organismos de evaluación de la conformidad. A partir del 11 de septiembre, los fabricantes deberán comenzar a notificar vulnerabilidades en sus productos a las autoridades competentes. El resto de las obligaciones del Reglamento, que incluyen importantes sanciones económicas, se aplicará a partir del 11 de diciembre de 2027.

Las sanciones previstas no parecen preocupar a las empresas: el 56% de los encuestados en el estudio de OpenSSF desconoce que las multas por incumplimiento pueden alcanzar los 15 millones de euros o el 2,5% de la facturación anual global.

La falta de conocimiento sobre las implicaciones del Reglamento ha sorprendido a Christopher Robinson, CTO de OpenSSF. En su opinión, “llevamos tiempo hablando de este tema y nos sorprende que más empresas no sean conscientes de sus implicaciones”.

Preocupación global

Robinson ha sugerido que algunas empresas no creen que las regulaciones europeas sobre seguridad de hardware y software les afecten, pero estas preocupaciones tendrán pronto un alcance global. Es más, ha indicado que “otros países, como Japón, están considerando leyes similares”.

Un área de malentendido podría ser que el CRA se aplica a los proveedores, lo que lleva a algunos clientes a pensar que los requisitos no les afectan. Según Robinson, se trata de un enfoque equivocado, especialmente teniendo en cuenta la aplicación del CRA al software de código abierto.

“Hay unos 700 millones de proyectos en GitHub. Si trabajas en una organización como un banco, tienes poca visibilidad sobre cuáles de esos proyectos se están utilizando”, ha afirmado.

En virtud del Reglamento, las empresas de software deberán proporcionar una lista de materiales de software (software bill of materials, SBOM por sus siglas en inglés) que haya sido verificada como segura.

Las empresas que suministran a organismos del Gobierno federal de EE. UU. ya se enfrentan a este requisito. “Si vendes al Gobierno de EE. UU. —que es el mayor cliente del planeta—, deberías estar proporcionando una SBOM”, ha añadido Robinson.

El consultor de ciberseguridad Hans Study ha señalado que, al abordar el problema de la cadena de suministro, el CRA supone un paso en la dirección correcta. “Casi todas las aplicaciones tienen dependencias, ya sea software libre y de código abierto, paquetes comerciales o una combinación de ambos. El problema siempre ha sido la responsabilidad y el reparto de culpas asociado. Lo que hace el CRA es dificultar que las empresas eludan esa responsabilidad cuando desarrollan, venden o comercializan productos con elementos digitales”, ha explicado.

Desconocimiento sobre la IA

Según Michael Callahan, vicepresidente de estrategia de ciberseguridad en Salt Security, uno de los problemas que podría generar dificultades en el futuro es el creciente uso de la IA en el desarrollo de software. “El Reglamento de Ciberresiliencia parte de la premisa de que las empresas saben qué contiene su software. Esa premisa deja de cumplirse cuando los asistentes de programación basados en IA generan una parte significativa del código. Un asistente de IA nunca ha leído las políticas de seguridad de tu organización, tus obligaciones de licencias o tus estándares de gobernanza del código abierto. El código que produce puede contener dependencias, patrones o vulnerabilidades que el equipo de seguridad no puede rastrear fácilmente hasta una decisión concreta o un desarrollador específico”, ha dicho.

A las empresas se les acaba rápidamente el tiempo para corregir estos problemas y muchas son pesimistas sobre sus posibilidades. Según la encuesta de OpenSSF, solo el 41% de los fabricantes espera cumplir plenamente con el Reglamento en diciembre de 2027, mientras que el 39% no sabe cuándo lo logrará.

Puede que las sanciones previstas ayuden a centrar la atención. Robinson ha señalado que podría suceder algo similar al RGPD, donde algunas multas elevadas impulsaron a las empresas a prestar atención a la normativa. El límite máximo de las sanciones se aplica por infracción, no por empresa: “Algo así podría acabar con una pyme y afectar seriamente a grandes corporaciones”, ha añadido. La legislación debería ser un asunto del que todas las empresas fueran conscientes, pero aún queda un largo camino por recorrer.