El Cyber Resilience Act (CRA), reglamento europeo (UE) 2024/2847 entró en vigor el 10 de diciembre de 2024. Sus primeras obligaciones vinculantes se aplican desde el 11 de septiembre de 2026, con una aplicación completa prevista para diciembre de 2027.
Por primera vez, la Unión Europea impone requisitos de ciberseguridad obligatorios a todos los productos con elementos digitales, materiales y de software, comercializados en el mercado europeo.
Un reglamento centrado en los productos digitales
A diferencia de la directiva NIS2, que trata de la seguridad de las organizaciones, el CRA se aplica a los propios productos. Su alcance es amplio: aplicaciones, objetos conectados, software, componentes materiales; todo producto que integre elementos digitales está afectado, con excepción de los servicios de nube puros (cubiertos por NIS2), los dispositivos médicos y los vehículos, ya regulados por normativas específicas.
El Cyber Resilience Act (CRA) clasifica los productos en tres niveles de criticidad, que determinan el procedimiento de evaluación de conformidad aplicable: los productos «por defecto» (autoevaluación), los productos «importantes» de clase I y II (evaluación más estricta, que puede requerir un tercero) y los productos «críticos» (certificación europea obligatoria).
Los fabricantes, editores de software, desarrolladores de aplicaciones y fabricantes de hardware asumen la mayor parte de las obligaciones. Los importadores y distribuidores también están afectados, con obligaciones de verificación de conformidad antes de la comercialización.
Las sanciones están alineadas con las del RGPD: hasta 15 millones de euros o el 2,5 % de la facturación anual mundial por el incumplimiento de los requisitos esenciales de ciberseguridad. Las autoridades de vigilancia pueden ordenar además la retirada de productos no conformes del mercado europeo.
Los requisitos clave y cómo responde Yagaan
El anexo I del Cyber Resilience Act define los requisitos que deben cumplir los productos. En particular, deben comercializarse sin vulnerabilidades explotables conocidas y con una configuración segura por defecto. Varios de estos requisitos afectan directamente a la seguridad de las aplicaciones, la actividad principal de Yagaan, powered by Pradeo.
Seguridad desde el diseño (Security by Design)
El CRA exige que la ciberseguridad se integre desde la fase de diseño. Un producto debe comercializarse sin vulnerabilidades explotables conocidas, con una configuración segura por defecto, mecanismos de autenticación robustos y una superficie de ataque minimizada. La seguridad ya no es un añadido al final del ciclo: se convierte en una obligación legal desde el inicio del desarrollo.
Yagaan responde a este requisito con su solución Static Application Security Testing (SAST) que se integra directamente en las pipelines CI/CD para analizar el código fuente en cada iteración, identificando los fallos antes del paso a producción. La herramienta utiliza el aprendizaje automático para priorizar las vulnerabilidades según su criticidad real y aportar una ayuda contextual a la corrección.
Gestión de vulnerabilidades y notificación en 24 horas
El CRA impone un proceso estructurado de detección, corrección y comunicación de las vulnerabilidades durante toda la vida del producto, o como mínimo cinco años tras su comercialización. Desde el 11 de septiembre de 2026, los fabricantes deberán notificar a ENISA cualquier vulnerabilidad explotada activamente en las 24 horas siguientes a su descubrimiento, facilitar un informe completo en 72 horas y un informe final en 14 días.
La In-App Protection de Yagaan responde directamente a este requisito detectando en tiempo real los intentos de explotación en la aplicación desplegada, lo que permite identificar y neutralizar los ataques en producción.
Antes de eso, la integración de Yagaan Static Application Security Testing (SAST) en el ciclo de desarrollo permite detectar las vulnerabilidades en el código fuente, en línea con esta obligación de mantenimiento en condiciones de seguridad. Al identificar y corregir los fallos a lo largo del desarrollo en lugar de a posteriori, los editores reducen el riesgo de tener que notificar vulnerabilidades explotables después de la comercialización.
Trazabilidad de los componentes de software
El CRA impone la elaboración de un SBOM (Software Bill of Materials), un inventario exhaustivo de todos los componentes de software integrados en el producto, incluidas las bibliotecas de terceros y las dependencias de código abierto. Este SBOM debe estar disponible para las autoridades de vigilancia a petición.
Para las aplicaciones móviles, que son productos digitales en el sentido del CRA, Yagaan Mobile Application Security Testing (MAST) permite auditar su seguridad a partir de su código binario (Android e iOS), identificando los componentes de terceros integrados y sus vulnerabilidades. Esto cubre tanto las aplicaciones desarrolladas internamente como las procedentes de proveedores, y contribuye a la trazabilidad que exige el reglamento.
Protección frente a la alteración y a los ataques en producción
El CRA exige que los productos digitales minimicen su superficie de ataque y estén protegidos frente a accesos no autorizados.
Yagaan contribuye a estos requisitos con dos soluciones complementarias. El Shielding protege el código de la aplicación frente a la ingeniería inversa, la clonación y la alteración, reduciendo de forma concreta la superficie de ataque explotable. La In-App Protection garantiza la protección de la aplicación en tiempo real durante su ejecución, detectando y neutralizando los ataques directamente en el terminal.
El momento de prepararse
El primer plazo vinculante del Cyber Resilience Act llega en unos meses. Para quienes desarrollan aplicaciones, la puesta en conformidad pasa por integrar la seguridad en el ciclo de desarrollo y gestionar de forma estructurada las vulnerabilidades de sus aplicaciones.
Yagaan, powered by Pradeo, acompaña a las organizaciones en este proceso facilitando una suite completa de seguridad de aplicaciones, del desarrollo a la ejecución.
