11 de septiembre de 2026. Esta fecha marca un cambio práctico en la conversación europea sobre productos conectados. Desde ese día, los fabricantes de productos con elementos digitales deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos conforme al artículo 14 del Cyber Resilience Act (CRA). La notificación se canaliza a través de la plataforma única de ENISA, la Agencia de la Unión Europea para la Ciberseguridad.

Para el sector de la seguridad física, no es una cuestión remota ni reservada a los grandes fabricantes de software. Una cámara IP, un grabador de vídeo, una alarma conectada, una cerradura inteligente, un panel de control de accesos, una aplicación de supervisión o un dispositivo con conectividad móvil combinan una función física con componentes digitales. Y esa combinación obliga a ampliar la pregunta de compra: además de comprobar imagen, cobertura, autonomía o conectividad, habrá que preguntarse si el producto podrá mantenerse seguro durante su vida útil.

El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act, entró en vigor el 10 de diciembre de 2024. Su aplicación principal llegará el 11 de diciembre de 2027, pero el calendario ya no es abstracto: las obligaciones de reporte están activas desde septiembre de 2026 y las disposiciones relativas a los organismos notificados son aplicables desde el 11 de junio de 2026. La señal regulatoria es clara: la seguridad de un producto conectado no termina cuando sale de fábrica ni cuando se completa la instalación.

De la ficha técnica al ciclo de vida del equipo

Durante años, muchas decisiones de compra en seguridad electrónica se han concentrado en especificaciones visibles: resolución, visión nocturna, ángulo de cobertura, capacidad de almacenamiento, detección de movimiento, compatibilidad con tarjeta SIM o acceso desde una app. Es lógico: son las prestaciones que determinan si una solución responde a una necesidad concreta.

Pero el CRA desplaza parte de la atención hacia lo que sucede después. Una función de acceso remoto puede ser útil para supervisar una instalación; también abre una superficie que debe protegerse. Una actualización de firmware puede corregir un fallo; una actualización inexistente o mal gestionada puede prolongar el riesgo. Y una contraseña predeterminada, un servicio en la nube sin un proceso transparente o un componente de software vulnerable pueden comprometer la propia finalidad de un sistema diseñado para proteger.

Por eso, en proyectos de videovigilancia, alarmas o control de acceso, la confianza deja de ser solo una cuestión de prestaciones declaradas. Empieza a depender también de la trazabilidad del fabricante, de la disponibilidad de actualizaciones, de la documentación de uso seguro y de la capacidad de responder ante una vulnerabilidad. No se trata de exigir que cualquier dispositivo sea invulnerable —un estándar imposible—, sino de exigir que exista un proceso creíble para prevenir, corregir y comunicar los problemas.

La novedad operativa: reportar antes y con una secuencia definida

La Comisión Europea explica que las obligaciones de notificación del CRA se centran en dos supuestos concretos: vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto con elementos digitales. Es importante el matiz: no todo fallo técnico, actualización fallida o incidencia de soporte activa automáticamente una obligación regulatoria de notificación.

Cuando se cumplen las condiciones previstas, el fabricante debe seguir una secuencia temporal exigente: una alerta temprana en un plazo de 24 horas, una notificación más completa en 72 horas y, posteriormente, un informe final. Los plazos y el contenido exacto del informe final varían según se trate de una vulnerabilidad explotada activamente o de un incidente grave.

ENISA lanzó el 11 de septiembre de 2026 la CRA Single Reporting Platform (SRP), concebida como un punto único de reporte. Su propósito es evitar que un fabricante tenga que presentar la misma comunicación ante varias autoridades nacionales por separado. Según ENISA, en esta primera fase la plataforma admite las notificaciones obligatorias; las notificaciones voluntarias se incorporarán más adelante. La agencia también indica que la herramienta estaba inicialmente disponible en inglés.

Esta infraestructura no convierte a ENISA en un servicio de soporte para el usuario final, ni sustituye el contacto habitual con un proveedor o instalador. Sí introduce un nivel de disciplina regulatoria relevante para el mercado: los fabricantes afectados necesitan disponer de mecanismos internos para detectar, analizar, documentar y escalar incidentes que cumplan los criterios del Reglamento.

Qué cambia para una cámara, una alarma o un dispositivo de localización

La regulación no debe leerse como una etiqueta automática que resuelva por sí sola la seguridad de cada instalación. Tampoco significa que todos los productos conectados dejen de poder comercializarse de inmediato. Lo que cambia es el marco de responsabilidad a lo largo del ciclo de vida del producto.

Una cámara conectada es también un sistema digital

Una cámara que se administra por red, utiliza una app o transmite imágenes a distancia no es únicamente un sensor óptico. Incluye firmware, credenciales, interfaces de red y, en algunos casos, servicios externos. Esto afecta tanto a una instalación profesional de perímetro como a una cámara espía Wi-Fi usada de manera legítima en un espacio propio. La calidad de imagen sigue siendo importante; sin embargo, el responsable del proyecto debe saber también quién publica actualizaciones, cómo se aplican y cuál es el periodo durante el que el producto recibirá soporte de seguridad.

La Comisión Europea señala que el fabricante debe determinar un periodo de soporte durante el cual gestione las vulnerabilidades y que el final de ese periodo debe comunicarse claramente en el momento de la compra. Para un comprador profesional, esta información puede acabar pesando tanto como los megapíxeles o la capacidad de grabación. Un dispositivo que funciona hoy, pero cuyo soporte termina pronto o no está claramente identificado, merece una evaluación distinta en un proyecto de varios años.

La conectividad móvil tampoco es un detalle secundario

En un localizador GPS con conectividad celular, en una cámara 4G o en una alarma conectada, intervienen aplicación, red, cuenta de usuario, credenciales y, con frecuencia, una plataforma de gestión. La ciberseguridad no reemplaza la necesidad de comprobar cobertura o consumo de datos, pero se añade a esas comprobaciones: ¿se pueden cambiar las credenciales? ¿se registra el acceso? ¿existe un canal de seguridad publicado por el fabricante? ¿se explica cómo actualizar el producto?

La misma lógica se aplica a una alarma anti-intrusión. Un sistema cuya misión es avisar de una intrusión no puede evaluarse únicamente por el número de sensores o la potencia de su sirena. La administración remota, las cuentas con permisos, las notificaciones y las pasarelas de red forman parte de su perfil real de riesgo.

La responsabilidad se reparte, pero no desaparece en la cadena

Una de las aportaciones menos visibles del CRA es que obliga a mirar más allá de la marca que aparece en la carcasa. El Reglamento atribuye funciones diferenciadas a fabricantes, importadores y distribuidores. La Comisión recuerda que importadores y distribuidores deben verificar determinados elementos de conformidad y cooperar con las autoridades de vigilancia del mercado cuando existen riesgos.

Para instaladores, responsables de seguridad y compradores públicos o privados, este reparto no implica trasladarles una obligación técnica que corresponde al fabricante. Sí aconseja revisar mejor la cadena de suministro. Trabajar con un interlocutor identificable, documentación accesible y canales de soporte claros ofrece más garantías que elegir un equipo cuyo origen, actualización o responsable de seguridad resulten difíciles de determinar.

Este criterio importa especialmente cuando el producto se integra en una red con activos sensibles: grabadores, servidores, sistemas de apertura, puestos de control o soluciones de equipos de contraespionaje. En esos entornos, una configuración insegura no afecta solo al dispositivo aislado: puede convertirse en un punto de acceso a otros recursos de la organización.

2026 y 2027: un periodo de transición que conviene leer con precisión

La entrada en vigor del CRA en diciembre de 2024, la activación de sus primeros mecanismos en 2026 y la aplicación principal en diciembre de 2027 pueden generar titulares confusos. Conviene evitar dos errores opuestos.

El primero sería minimizar el cambio porque la plena aplicación aún no se ha alcanzado. La obligación de comunicar determinados incidentes y vulnerabilidades explotadas activamente ya está en marcha desde el 11 de septiembre de 2026. El segundo sería afirmar que cualquier equipo conectado ya debe cumplir de manera completa y automática todas las obligaciones que serán aplicables en 2027. El calendario regulatorio es gradual y debe analizarse en función del producto, del operador económico y de la obligación concreta.

También existe una transición relevante con la Directiva sobre equipos radioeléctricos (RED). Los requisitos de ciberseguridad, privacidad y protección contra el fraude aplicables a determinadas categorías de equipos radioeléctricos están vigentes desde agosto de 2025. La Comisión publicó el Reglamento Delegado (UE) 2026/339 el 29 de abril de 2026 para derogar esos requisitos a partir del 11 de diciembre de 2027 y evitar solapamientos con el CRA.

La conclusión no es que haya que interpretar una etiqueta CE como garantía absoluta. El marcado CE expresa conformidad con los requisitos aplicables, pero no sustituye la evaluación de un proyecto, la configuración segura, la segmentación de red, el control de accesos ni el mantenimiento posterior. En seguridad conectada, el cumplimiento y la operación segura deben caminar juntos.

La pregunta útil para el mercado: ¿qué ocurrirá después de instalarlo?

El CRA lleva al sector a una conversación más madura. Ya no basta con preguntar qué hace un producto el día de su instalación. También importa qué ocurrirá cuando aparezca una vulnerabilidad, quién informará, cuánto tiempo habrá actualizaciones y cómo se aplicarán sin interrumpir una operación crítica.

Para Europe-Connection, como observador y especialista del ecosistema de seguridad conectada, esta evolución regulatoria refuerza un principio sencillo: la tecnología de vigilancia debe elegirse según su uso legítimo, pero también según su capacidad de mantenerse bajo control. Eso abarca desde la configuración inicial y la protección de contraseñas hasta la revisión del soporte anunciado por el fabricante.

En la práctica, resulta razonable incorporar algunas preguntas al diálogo con el proveedor: periodo de soporte declarado, procedimiento de actualización, canal para comunicar vulnerabilidades, historial de firmware, instrucciones de configuración segura y responsable identificado dentro de la cadena comercial. No son una lista mágica ni reemplazan una auditoría cuando el entorno es crítico. Son, sin embargo, señales útiles de que la ciberseguridad se está tratando como parte del producto y no como un añadido publicitario.

La regulación europea no elimina el riesgo técnico. Lo que hace es elevar el nivel de exigencia sobre cómo se diseña, mantiene y comunica ese riesgo. Para cámaras, alarmas, sistemas de acceso y dispositivos móviles, esa es probablemente la noticia de fondo: la seguridad física conectada se compra una vez, pero se debe proteger durante todo su ciclo de vida.

Fuentes

• Comisión Europea, Cyber Resilience Act.
• Comisión Europea, resumen legislativo y calendario del CRA.
• Comisión Europea, obligaciones de notificación del CRA.
• ENISA, preguntas frecuentes sobre la CRA Single Reporting Platform.
• Comisión Europea, Radio Equipment Directive y transición hacia el CRA.