Reglamento de Ciberresiliencia (CRA)
El reglamento europeo que convierte la ciberseguridad en un requisito de producto, como la seguridad eléctrica: sin cumplirlo no hay marcado CE.
El Reglamento (UE) 2024/2847 se aprobó en otoño de 2024 y abarca todos los «productos con elementos digitales», de las bombillas inteligentes a los programas de escritorio. El fabricante debe gestionar las vulnerabilidades durante toda la vida del producto, publicar actualizaciones de seguridad e incluir una SBOM en la documentación técnica. Desde septiembre de 2026, las vulnerabilidades explotadas activamente deben notificarse a ENISA en 24 horas; el resto de obligaciones se aplica a partir de diciembre de 2027.
El borrador de 2022 habría convertido en fabricante a cualquiera que subiera código a GitHub, y la Python Software Foundation, Eclipse y otros protestaron con fuerza. El texto final excluye el código abierto no comercial y crea una figura más ligera, el «administrador de software libre», para fundaciones que respaldan proyectos sobre los que otros construyen productos. La responsabilidad recae donde está el dinero: en quien vende el cacharro IoT, no en quien escribió gratis la biblioteca.