Cyber Resilience Act: período de soporte en compras de TI

Estrategia de TI · 4 min

El Cyber Resilience Act introduce reglas para el soporte de seguridad de los productos digitales. Descubra cómo evaluar plazos, actualizaciones y riesgos de fin de soporte antes de comprar.

Cyber Resilience Act: período de soporte en compras de TI

TL;DR

El Cyber Resilience Act exige que los fabricantes definan y comuniquen un período de soporte de seguridad para los productos incluidos en su ámbito.
La regla general prevé un mínimo de cinco años, salvo que la utilización esperada del producto sea inferior; los productos de vida útil más larga pueden requerir un soporte superior.
El período de soporte debe tenerse en cuenta en las compras, junto con el precio, la seguridad, la compatibilidad y la vida útil prevista.
Registrar las fechas de fin de soporte en el inventario permite anticipar renovaciones, identificar riesgos y preparar presupuestos.
Las nuevas obligaciones no se aplican automáticamente a todos los equipos existentes; los productos antiguos requieren una evaluación específica.

Una nueva información llega al proceso de compra

El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA), establece requisitos de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea, incluidos equipos de red, dispositivos conectados y software comprendido en su ámbito de aplicación. La aplicación general está prevista para el 11 de diciembre de 2027, aunque las obligaciones de notificación de vulnerabilidades explotadas activamente y de determinados incidentes graves ya se aplican desde el 11 de septiembre de 2026. Uno de los cambios más relevantes para quienes compran tecnología es la obligación de los fabricantes de definir y comunicar el período durante el cual garantizan el tratamiento de vulnerabilidades. Para un responsable de TI, esta información permite evaluar no solo el precio y las funcionalidades, sino también durante cuánto tiempo podrá seguir utilizándose el producto con un soporte de seguridad adecuado. El período de soporte pasa, así, a ser un elemento importante en la decisión de compra y en la planificación del ciclo de vida tecnológico.

El período de soporte tiene reglas mínimas

El artículo 13, apartado 8, del CRA establece que el fabricante debe determinar un período de soporte que refleje el tiempo durante el cual se espera que el producto sea utilizado. Por regla general, ese período no puede ser inferior a cinco años. Cuando la utilización esperada sea inferior, el soporte debe corresponderse con esa duración; cuando sea superior, el fabricante debe considerar un período más largo. Esta distinción es especialmente relevante para equipos de red, sistemas industriales y otros productos que permanecen en funcionamiento durante muchos años. Durante el período declarado, el fabricante debe cumplir las obligaciones aplicables de tratamiento de vulnerabilidades, incluida la puesta a disposición de actualizaciones de seguridad. Conviene, no obstante, distinguir el soporte de seguridad de la garantía comercial o del mantenimiento funcional: el CRA no asegura que todos los fallos se corrijan ni que el producto reciba nuevas funcionalidades indefinidamente.

El desfase entre soporte y utilización real genera riesgo

Muchas organizaciones mantienen switches, controladores Wi-Fi, sistemas de videovigilancia y equipos industriales en producción durante períodos superiores a los inicialmente previstos. Cuando el soporte de seguridad termina antes de la sustitución, la organización puede dejar de recibir correcciones para nuevas vulnerabilidades, lo que aumenta la exposición al riesgo. En esos casos, la gestión de parches basada en el riesgo deja de ser suficiente, porque ya no existen necesariamente actualizaciones proporcionadas por el fabricante. Pueden ser necesarias medidas temporales, como el aislamiento de red, restricciones de acceso, monitorización reforzada o sustitución anticipada. Por ello, antes de adquirir un producto, conviene comparar el período de soporte anunciado con la vida útil esperada, sobre todo cuando la instalación exige una inversión significativa, integración con otros sistemas o interrupciones planificadas para la sustitución.

Criterios que incluir en los pliegos de condiciones

El período de soporte debe tenerse en cuenta desde la definición de los requisitos de adquisición. En los pliegos de condiciones, el equipo de compras puede solicitar la fecha de fin de soporte de seguridad, la política de actualizaciones, los canales de comunicación de vulnerabilidades y las condiciones de puesta a disposición de correcciones. Cuando sea relevante, también puede pedir información sobre los componentes de software, incluida una lista de materiales de software (SBOM), y sobre la dependencia de servicios externos. Estos elementos deben evaluarse junto con el coste total de propiedad, la criticidad del equipo y la duración prevista de su utilización. Un producto con un precio inicial inferior puede requerir una sustitución anticipada si el soporte termina demasiado pronto. Por otro lado, los requisitos deben ser proporcionales: un dispositivo periférico de bajo impacto no exige necesariamente el mismo nivel de evaluación que un firewall o un equipo central de red. El objetivo es comprar tecnología con una perspectiva realista de su ciclo de vida.

Del inventario al presupuesto plurianual

La información sobre el fin del soporte solo genera valor cuando se integra en la gestión de los activos. Registrar en la CMDB el fabricante, el modelo, la versión, la fecha de fin de soporte y los servicios dependientes permite identificar los equipos que requieren atención antes de que se conviertan en un problema. Esta información puede alimentar alertas, planes de renovación y presupuestos plurianuales, y se articula con la gestión de infraestructura de TI. Para los equipos ya instalados, conviene distinguir la fecha de fin de soporte contractual de las obligaciones introducidas por el CRA. Los productos comercializados antes del 11 de diciembre de 2027 no quedan automáticamente sujetos a todos los nuevos requisitos, ya que existen reglas transitorias y excepciones específicas. En esos casos, puede ser necesario solicitar aclaraciones al fabricante, consultar las políticas de ciclo de vida publicadas y evaluar medidas de mitigación o sustitución.

Un criterio de decisión que exige método

El Cyber Resilience Act dirige sus principales obligaciones a los fabricantes y a otros operadores económicos que participan en la comercialización de productos con elementos digitales en el mercado europeo. Para las organizaciones que compran tecnología para uso propio, el reglamento crea una oportunidad para mejorar los criterios de adquisición, la gestión de activos y la planificación de renovaciones. El período de soporte no debe analizarse de forma aislada: conviene relacionarlo con la criticidad del equipo, la exposición a amenazas, las dependencias tecnológicas y el coste de sustitución. Las entidades sujetas a NIS2 o a regulación sectorial deben evaluar además cómo se articulan estos criterios con sus respectivas obligaciones de gestión de riesgos y de seguridad de la cadena de suministro. Comprar tecnología con un soporte adecuado a la utilización prevista es una decisión de seguridad, pero también de continuidad operativa y de sostenibilidad de la inversión.