Los creadores de billeteras criptográficas ahora tienen solo 24 horas para alertar a los reguladores cuando se explotan fallas

Los fabricantes comerciales cuyos billeteros de hardware conectados o software de billetera cumplan con la prueba de producto de la Unión Europea deben ahora advertir a las autoridades cibernéticas dentro de las 24 horas posteriores al descubrimiento de una vulnerabilidad explotada activamente o un incidente de seguridad grave.

El requisito entró en vigor el 11 de septiembre de 2026, bajo la Ley de Ciberresiliencia de la UE, o CRA. La guía de informes de la Comisión Europea indica que el reloj se aplica a los fabricantes de productos con elementos digitales.

La CRA es una ley de productos horizontal. Las preguntas frecuentes sobre la implementación de la Comisión dicen que se aplica a hardware y software disponibles en el mercado de la UE. La prueba legal también requiere que el uso previsto o razonablemente previsible del producto incluya una conexión de datos directa o indirecta a un dispositivo o red.

Un billetero de hardware conectado suministrado comercialmente o una aplicación de billetera descargable puede cumplir con esa prueba. Sin embargo, la guía de la UE no nombra marcas de billeteras ni declara que cada servicio o proyecto de billetera esté cubierto. La cobertura depende del producto específico, de cómo se suministra y de cualquier exclusión aplicable.

Lo que los fabricantes deben informar

La primera presentación es una advertencia temprana que debe hacerse sin demora indebida y no más tarde de 24 horas después de que un fabricante se entere de la vulnerabilidad o incidente. Debe indicar, cuando sea aplicable, los estados miembros donde se sabe que el producto ha estado disponible. Para un incidente grave, la advertencia también debe indicar si se sospechan actos ilegales o maliciosos.

Una notificación más completa debe presentarse dentro de las 72 horas, a menos que la información relevante ya se haya proporcionado. Para una vulnerabilidad explotada activamente, esa presentación agrega información general sobre el producto, la explotación y la vulnerabilidad, además de medidas correctivas o de mitigación. Para un incidente grave, se agrega la naturaleza del incidente, una evaluación inicial y la información de mitigación disponible.

La fecha límite final varía según el evento. Un informe de vulnerabilidad debe presentarse a más tardar 14 días después de que se disponga de una medida correctiva o de mitigación. La CRA establece la fecha límite del informe final de incidente grave en un mes después de la notificación de 72 horas, como se detalla en la regulación.

Los fabricantes presentan una vez a través de la Plataforma de Informe Único lanzada por ENISA, la agencia de ciberseguridad de la UE. El portal envía la notificación al Equipo de Respuesta a Incidentes de Seguridad Informática designado y hace que la información esté disponible para ENISA, luego apoya la distribución a otros equipos nacionales relevantes. Los fabricantes también deben informar a los usuarios afectados y, cuando sea apropiado, a todos los usuarios cuando se necesiten acciones, incluidas las medidas que pueden tomar.

La regla de informes se aplica a los productos en el ámbito que se coloquen en el mercado antes del 11 de diciembre de 2027. Esto hace que el nuevo reloj sea relevante para las líneas de productos existentes, no solo para las billeteras que se vendieron por primera vez después de que la ley más amplia entre en vigor.

La licencia de código abierto no crea una exención general. La guía de código abierto de la Comisión dice que los productos de código abierto y gratuitos suministrados comercialmente pueden enfrentar obligaciones para los fabricantes. El software no monetizado suministrado por su fabricante no debe contarse como actividad comercial, mientras que los contribuyentes individuales no son tratados como fabricantes para el software fuera de su responsabilidad.

Los administradores de software de código abierto son una categoría legal separada, y sus deberes de informes comienzan el 11 de diciembre de 2027. Ese también es el momento en que entran en vigor los principales requisitos de seguridad del producto de la CRA. El cambio del 11 de septiembre inicia el régimen de informes rápidos, no el marco más amplio de diseño seguro y ciclo de vida del producto de la ley.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.