Desde el 11 de septiembre de 2026, una nueva fase de la Ley de Resiliencia Cibernética (Cyber Resilience Act, CRA) de la Unión Europea ha comenzado a aplicarse, imponiendo a determinados fabricantes de productos digitales la obligación de notificar rápidamente las vulnerabilidades explotadas activamente y determinados incidentes graves. El cambio refuerza las exigencias de ciberseguridad para los programas de wallets de criptomonedas comercializados en el mercado europeo.

El cambio es especialmente relevante para el ecosistema de los activos digitales. Los fabricantes afectados ya no pueden esperar a publicar una actualización de seguridad para informar a las autoridades cuando una vulnerabilidad está siendo explotada activamente.

El reglamento europeo establece una primera notificación en un plazo máximo de 24 horas desde que el fabricante tiene conocimiento de la vulnerabilidad. Esta alerta temprana permite a las autoridades competentes evaluar rápidamente la amenaza y, cuando sea necesario, coordinar las primeras medidas de respuesta.

Posteriormente, debe presentarse una notificación más completa en un plazo de 72 horas. Esta comunicación debe precisar la naturaleza de la vulnerabilidad, sus posibles consecuencias y los elementos necesarios para evaluar el nivel de riesgo.

En el caso de una vulnerabilidad explotada activamente, deberá presentarse un informe final, como máximo, 14 días después de que esté disponible una medida correctiva o de mitigación. El sistema europeo establece así un proceso progresivo: alerta rápida, análisis detallado y seguimiento final una vez aplicada la respuesta técnica.

La nueva obligación afecta a los productos que incorporan elementos digitales y que se comercializan en el mercado de la Unión Europea. Los programas y equipos incluidos en el ámbito del CRA deberán diseñarse, desarrollarse, mantenerse y contar con mecanismos adecuados de gestión de vulnerabilidades durante todo su período de soporte.

Las wallets de criptomonedas adquieren especial relevancia cuando se comercializan como programas incluidos en el ámbito de aplicación del reglamento. Estas aplicaciones constituyen un componente esencial del ecosistema cripto, ya que permiten a los usuarios gestionar sus claves privadas e interactuar con sus activos digitales.

Una vulnerabilidad explotada en una wallet puede tener consecuencias especialmente graves: compromiso de datos, robo de claves privadas, acceso no autorizado a cuentas o pérdidas financieras. La rapidez de reacción se convierte, por tanto, en un elemento central de la seguridad.

El CRA modifica fundamentalmente la distribución de responsabilidades. Hasta ahora, la seguridad de una wallet se percibía en gran medida como una cuestión dependiente del usuario: elección del software, protección de las claves, actualización de la aplicación y adopción de buenas prácticas de ciberseguridad.

Con el nuevo marco europeo, el fabricante ocupa un lugar central. Debe garantizar una gestión eficaz de las vulnerabilidades durante el período de soporte y cumplir las obligaciones de notificación cuando se detecte una amenaza que esté siendo explotada activamente.

Las notificaciones se realizan a través de la plataforma única de información del CRA, gestionada por la Agencia de la Unión Europea para la Ciberseguridad, ENISA. La información se comunica al CSIRT competente y, salvo circunstancias excepcionales, también queda a disposición de ENISA.

El reglamento contempla, no obstante, determinadas particularidades para los programas libres y de código abierto. Las obligaciones específicas aplicables a los responsables de software open source bajo el CRA entrarán en vigor el 11 de diciembre de 2027. El marco europeo diferencia así los proyectos de código abierto desarrollados sin finalidad comercial de los productos de software comercializados en el mercado europeo.

El calendario de aplicación del CRA es progresivo. El reglamento entró en vigor el 10 de diciembre de 2024, mientras que sus principales obligaciones serán aplicables a partir del 11 de diciembre de 2027. Las obligaciones de notificación constituyen una de las primeras disposiciones relevantes en comenzar a aplicarse efectivamente, desde el 11 de septiembre de 2026.

Para las empresas de la economía cripto, este cambio representa al mismo tiempo una exigencia regulatoria y un desafío de credibilidad. La capacidad para detectar rápidamente una vulnerabilidad, informar a las autoridades y desplegar una solución correctiva se convierte en un elemento esencial de la confianza en un producto.

Para los usuarios europeos, la evolución también es significativa. La seguridad de los activos digitales deja de depender exclusivamente de la vigilancia individual y pasa a convertirse progresivamente en una responsabilidad compartida entre usuarios, desarrolladores, fabricantes y autoridades de ciberseguridad.

Con el CRA, la Unión Europea pretende establecer una nueva cultura de seguridad digital basada en la anticipación, la detección temprana, la notificación inmediata y la gestión de las vulnerabilidades durante todo el ciclo de vida del producto.

Para los fabricantes de wallets de criptomonedas, el tiempo de reacción deja así de ser únicamente una cuestión técnica: se convierte también en una exigencia regulatoria y en un factor determinante de confianza para el mercado europeo.