La UE exige alertas en 24 horas

Desde el 11 de septiembre, toda empresa que venda en la UE un dispositivo conectado o un programa informático comercial bajo su propia marca dispone de 24 horas para avisar a las autoridades cuando sepa que unos atacantes están aprovechando una vulnerabilidad. La obligación también abarca los productos que ya están en el mercado, incluso las unidades vendidas hace años (Reglamento, Comisión Europea). A partir de ahora, las autoridades de ciberseguridad de toda la UE pueden conocer en un día lo que una empresa sabe sobre un ataque. Notificarlo, sin embargo, no instala por sí solo un parche en ningún dispositivo.

La obligación de notificar es la primera parte de la Ley de Ciberresiliencia de la UE, que regula la seguridad de los productos, en entrar en vigor. Las normas sobre cómo deben diseñarse esos productos no se aplicarán hasta el 11 de diciembre de 2027 (ENISA).

Qué pone en marcha el plazo

Hay dos tipos de sucesos que obligan a presentar una notificación. El primero es la explotación activa de una vulnerabilidad, es decir, que existan indicios fiables de que alguien ha aprovechado una falla de forma maliciosa y sin autorización. El segundo es un incidente grave que afecte a la seguridad del producto, aunque no se haya demostrado que exista una vulnerabilidad. Según las directrices del centro nacional neerlandés de ciberseguridad, que un investigador comunique en privado un fallo sin indicios de ataque no activa la obligación (NCSC neerlandés).

El plazo empieza cuando el fabricante tiene conocimiento del problema. No cuenta desde el primer ataque ni queda en suspenso hasta que haya un parche. La alerta inicial debe enviarse en 24 horas y la notificación completa, en 72 horas; ambos plazos se cuentan desde el mismo momento, no desde la primera comunicación (preguntas frecuentes de ENISA).

Más adelante debe presentarse un informe final. El plazo depende de si la obligación se activó por una vulnerabilidad explotada o por un incidente. El fabricante también debe explicar a los usuarios afectados cómo protegerse (Reglamento).

A dónde llega la alerta

Todas las notificaciones se presentan a través de la Plataforma Única de Notificación, gestionada por ENISA, la agencia de ciberseguridad de la UE. El fabricante dirige el informe al CSIRT del país donde tiene su sede principal en la UE. Un CSIRT es el equipo nacional que recibe las alertas de emergencia cibernética. Después, ese equipo comparte el informe con sus homólogos de todos los países donde se vende el producto (ENISA).

Los informes no se hacen públicos. Algunos describirán vulnerabilidades para las que aún no hay solución. En casos excepcionales, el equipo coordinador puede retrasar su difusión a otros países, aunque los plazos del fabricante siguen vigentes (Reglamento). El motivo es claro: los detalles de una vulnerabilidad sin parche se vuelven más peligrosos cuanto más circulan.

Quién debe estar preparado

Se considera «fabricante» a quien vende el producto bajo su propio nombre. Da igual dónde tenga la sede o cuál sea el tamaño de la empresa. La definición incluye tanto al fabricante alemán de maquinaria que comercializa un controlador para el mantenimiento a distancia como a una empresa irlandesa que vende una aplicación comercial, aunque se descargue gratis (Silicon Republic).

La mayor parte de la carga es operativa. Alguien con autoridad para presentar la notificación debe poder detectar un ataque, valorar su gravedad y enviar el informe un domingo por la noche. El 11 de septiembre, la asociación alemana de ingeniería eléctrica VDE pidió a los fabricantes que establecieran procedimientos para detectar y escalar estos casos (VDE).

Un reportaje publicado en Francia justo antes de la entrada en vigor señaló que las notificaciones debían presentarse manualmente y que no había una interfaz para automatizar el envío (ZDNet France). Por tanto, cada informe depende de que haya alguien disponible cuando empiece a correr el plazo.

Las empresas que incumplan los plazos responderán ante las autoridades nacionales de vigilancia del mercado, que pueden investigar si los productos cumplen las normas y sancionar a quienes no lo hagan. Las multas pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación mundial (Reglamento). Los anuncios de puesta en marcha explican el procedimiento, pero no indican cuántas notificaciones se han recibido (ENISA, Comisión Europea).

Europa dispone ahora de un canal único para que los fabricantes comuniquen que conocen un ataque. La información llega a los equipos nacionales de ciberseguridad de todos los países donde se vende el producto, incluidos aquellos en los que aún se usan modelos antiguos. El canal acelera lo que saben las autoridades; los usuarios solo quedan protegidos cuando reciben un parche que funciona.

ENISA y la Comisión podrán comprobar si las alertas más rápidas conducen a soluciones más rápidas. Para ello, tendrían que publicar dos cifras: cuántas notificaciones reciben y cuánto esperan los usuarios hasta que el parche llega a sus dispositivos.