Los fabricantes de monederos de criptomonedas ahora tienen solo 24 horas para alertar a los reguladores europeos cuando una vulnerabilidad en uno de sus productos sea explotada activamente. La obligación proviene del Artículo 14 de la Ley de Ciberresiliencia (CRA) de la Unión Europea, la norma de ciberseguridad insignia del bloque para hardware y software conectados, cuyas disposiciones de notificación de incidentes entraron en vigor el 11, de septiembre de 2026 más de un año antes de que los requisitos de seguridad más amplios de la regulación sean aplicables en diciembre de 2027.
Qué exige el plazo de 24 horas
El Artículo 14 de la Ley de Ciberresiliencia cubre a los fabricantes de “productos con elementos digitales”, una categoría que incluye monederos de hardware y software de monedero comercial porque dichos productos se conectan a dispositivos y redes. Cuando un fabricante se entera de que una vulnerabilidad está siendo explotada activamente, debe presentar una notificación de alerta temprana a la agencia de ciberseguridad de la UE, ENISA, y al equipo de respuesta a incidentes de seguridad informática (CSIRT) designado a través de una plataforma única de notificación en un plazo de 24 horas. Una notificación de vulnerabilidad más completa sigue en un plazo de 72 horas, y un informe final debe presentarse en un plazo de 14 días desde que una medida correctiva o de mitigación esté disponible. Las mismas reglas de vía rápida se aplican a incidentes graves que afecten a la seguridad del producto.
Por qué el momento importa para las criptomonedas
El plazo llega en medio de una serie de fallos de seguridad de monederos de alto perfil. El fabricante de monederos de hardware Coldcard ha pasado las últimas semanas respondiendo a ataques que drenaron Bitcoin de sus dispositivos, y su explotador de la tercera ola ha movido desde entonces fondos a través de CoinJoin. Trezor, por su parte, reveló una violación de datos de ShipMonk que afecta a miles de clientes estadounidenses. Bajo el nuevo régimen de la UE, un fabricante que descubre que su firmware ha sido explotado ahora debe alertar a los reguladores en un día en lugar de controlar el calendario de divulgación por sí mismo. Para una industria que históricamente ha anunciado correcciones según su propio calendario, el requisito convierte la divulgación de una elección discrecional en un deber legal.
Calendario de cumplimiento y la letra pequeña
La fecha del 11 de septiembre se aplica solo a las obligaciones de notificación de vulnerabilidades e incidentes de la CRA. Los deberes más amplios de la regulación —seguridad desde el diseño, evaluación de la conformidad y marcado CE— no se aplican hasta el 11, de diciembre de 2027. El régimen también incorpora alivio para las empresas más pequeñas: las multas administrativas no se aplican a las microempresas y pequeñas empresas que incumplan el plazo de alerta temprana de 24 horas, aunque la obligación de notificación en sí sigue en pie. Una vez que el marco más amplio esté en vigor, el incumplimiento puede dar lugar a medidas de ejecución por parte de las autoridades nacionales de vigilancia del mercado.
Lectura relacionada: S&P Global adquirirá OpenZeppelin en su apuesta por la seguridad onchain.
