El Cyber Resilience Act (CRA) entra en una fase especialmente relevante en septiembre de 2026. Desde el 11 de septiembre comienzan a aplicarse obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves para fabricantes de productos con elementos digitales. Aunque la aplicación general del reglamento será completa en diciembre de 2027, el calendario ya afecta a fabricantes y proveedores de dispositivos conectados.
Para el sector de la seguridad física, esto importa porque muchas cerraduras inteligentes, lectores, controladoras y sistemas de control de accesos conectados dependen de software, conectividad, aplicaciones móviles o servicios remotos. El CRA no convierte cualquier cerradura mecánica en un producto regulado, pero sí eleva el nivel de ciberseguridad exigible a numerosos dispositivos digitales que forman parte de un sistema de acceso.
Qué es el Cyber Resilience Act
El Reglamento (UE) 2024/2847 establece requisitos horizontales de ciberseguridad para productos con elementos digitales comercializados en la Unión Europea. Su objetivo es que la seguridad se integre desde el diseño y durante el ciclo de vida del producto, que se gestionen las vulnerabilidades y que el usuario reciba información suficiente para utilizar el dispositivo de forma segura.
La Comisión Europea resume su alcance sobre hardware y software conectados, incluidos sus componentes y determinados servicios remotos asociados. La norma obliga a pensar en la seguridad no solo en el momento de la venta, sino también durante el mantenimiento, las actualizaciones y la respuesta ante vulnerabilidades.
Por qué afecta a cerraduras inteligentes y control de accesos
Una cerradura electrónica conectada puede incorporar Bluetooth, Wi-Fi, NFC, UWB, una aplicación móvil o una plataforma cloud. El acceso ya no depende únicamente del cilindro o del mecanismo físico: también intervienen credenciales digitales, firmware, comunicaciones y gestión de usuarios.
Por eso, al valorar un sistema moderno de control de accesos, conviene revisar tanto la resistencia física como la arquitectura digital. Una solución segura debe evitar que una debilidad de software convierta una puerta robusta en un punto vulnerable.
Qué cambia desde septiembre de 2026
Notificación de vulnerabilidades explotadas
Desde el 11 de septiembre de 2026, los fabricantes afectados deben notificar vulnerabilidades explotadas activamente e incidentes graves relacionados con la seguridad de sus productos. La Comisión Europea establece un aviso inicial en 24 horas y una notificación más completa en 72 horas en los supuestos previstos.
Para el comprador profesional, esto supone una mejora de fondo: el fabricante debe contar con procesos internos para detectar, analizar y gestionar incidentes, en lugar de tratar la ciberseguridad como un elemento secundario.
Gestión de vulnerabilidades durante el ciclo de vida
El CRA exige que la seguridad se contemple durante el desarrollo y el mantenimiento. En la práctica, una cerradura o controladora conectada debe tener una política razonable de actualizaciones, corrección de fallos y soporte.
Esto refuerza una recomendación que ya era válida antes del CRA: evitar productos sin fabricante identificable, sin soporte, sin actualizaciones o con aplicaciones abandonadas.
Más información para el usuario
El reglamento también busca que compradores y usuarios puedan tomar decisiones mejor informadas. En sistemas de acceso empresarial o comunitario, esta transparencia es especialmente importante porque el ciclo de vida suele ser largo y el sistema puede gestionar credenciales de decenas o cientos de personas.
Qué debería revisar una empresa antes de instalar un sistema conectado
1. Fabricante y soporte
Comprueba quién fabrica el equipo, dónde publica actualizaciones y durante cuánto tiempo ofrece soporte. Una marca con documentación clara y política de vulnerabilidades transmite más confianza que un dispositivo genérico cuya aplicación puede desaparecer en pocos meses.
2. Actualizaciones de firmware
Pregunta cómo se distribuyen las actualizaciones, si son automáticas o administradas y qué ocurre cuando el fabricante detecta una vulnerabilidad. En una instalación crítica, actualizar sin control también puede generar problemas, por lo que conviene conocer el procedimiento.
3. Gestión de credenciales
Un sistema profesional debe permitir altas, bajas y revocación de permisos. Si un empleado cambia de puesto, una tarjeta se pierde o un móvil deja de estar autorizado, el administrador debería poder retirar ese acceso sin sustituir todo el hardware.
4. Dependencia de la nube
No todos los sistemas funcionan igual. Algunos dependen de servicios remotos para tareas esenciales y otros mantienen funciones locales aunque se pierda Internet. Conviene entender qué ocurre ante una caída de red, un fallo del proveedor o una interrupción del servicio.
5. Registro y trazabilidad
En empresas, oficinas o comunidades puede ser útil disponer de registros de apertura, siempre dentro del marco legal aplicable. La trazabilidad ayuda a administrar accesos y detectar anomalías.
¿Significa el CRA que las cerraduras actuales dejarán de servir?
No. El reglamento no convierte automáticamente en inseguro un sistema instalado antes de su aplicación. Tampoco obliga al usuario final a sustituir de inmediato una cerradura conectada. Lo relevante es comprender qué obligaciones recaen sobre fabricantes e importadores y cómo estas obligaciones mejoran progresivamente el mercado.
Para una instalación nueva, sí tiene sentido preguntar por la adaptación del fabricante al CRA, la política de soporte y la estrategia de actualizaciones. En sistemas antiguos, puede ser conveniente revisar si el producto sigue recibiendo mantenimiento y si existen versiones actuales del firmware.
CRA y seguridad física: dos capas que deben trabajar juntas
La ciberseguridad no sustituye a la protección mecánica. Una puerta sigue necesitando herrajes, cilindros y elementos de cierre adecuados al riesgo. Del mismo modo, un cilindro resistente no compensa una gestión digital deficiente si el acceso depende también de una aplicación o una credencial electrónica.
La estrategia correcta es combinar seguridad física, electrónica y operativa. Para profundizar en las tecnologías de credenciales actuales, puedes consultar nuestra guía sobre llaves digitales NFC, UWB y Matter.
Preguntas frecuentes
¿El Cyber Resilience Act afecta a todas las cerraduras?
No. Su foco son los productos con elementos digitales. Una cerradura puramente mecánica no tiene el mismo encaje que una cerradura conectada con firmware, aplicación o comunicaciones digitales.
¿Desde cuándo se aplica?
El CRA entró en vigor en diciembre de 2024. Algunas obligaciones se aplican antes que el resto: las obligaciones de notificación comienzan el 11 de septiembre de 2026 y la aplicación general está prevista para el 11 de diciembre de 2027.
¿Qué debería pedir a un proveedor?
Información sobre fabricante, soporte, actualizaciones, política de vulnerabilidades, funcionamiento sin conexión, gestión de credenciales y mantenimiento.
Conclusión
El Cyber Resilience Act marca un cambio relevante para el mercado de dispositivos conectados. En cerraduras inteligentes y control de accesos, la seguridad ya no puede evaluarse únicamente por la resistencia física: también importan el software, las actualizaciones, la gestión de vulnerabilidades y el soporte del fabricante. Si vas a renovar accesos en una empresa, comunidad o vivienda, conviene integrar estos criterios desde la fase de diseño.
Fuentes oficiales consultadas
- Comisión Europea — Cyber Resilience Act, información general y calendario: consultar fuente oficial.
- Comisión Europea — CRA Reporting Obligations: consultar fuente oficial.
- EUR-Lex — Reglamento (UE) 2024/2847: consultar texto oficial.