La Unión Europea endurece drásticamente sus exigencias en materia de seguridad digital con la entrada en vigor progresiva del Cyber Resilience Act. Este marco legislativo impone ahora a los fabricantes de monederos de criptomonedas, ya sean físicos o digitales, una obligación de mayor transparencia. En cuanto se detecta una vulnerabilidad explotada activamente o un incidente crítico, la empresa afectada dispone de un plazo estricto de 24 horas para informar a la ENISA y a las autoridades nacionales de ciberseguridad competentes, como el CERT-FR en Francia.
El calendario de notificación es especialmente riguroso: tras esta alerta inicial, se debe transmitir una notificación completa en un plazo de 72 horas, seguida de un informe final que detalle los parches o medidas de mitigación aplicados, en un periodo de 14 días a un mes, dependiendo de la naturaleza del incidente. Este procedimiento, centralizado en una plataforma específica, busca garantizar una capacidad de respuesta inmediata ante las ciberamenazas manteniendo al mismo tiempo un nivel inicial de confidencialidad. El objetivo es permitir que las autoridades gestionen los riesgos de forma coordinada sin exponer prematuramente a los usuarios a riesgos adicionales.
El ámbito de aplicación de esta normativa abarca todos los productos digitales comercializados con fines lucrativos dentro del espacio europeo, lo que afecta directamente a los líderes del mercado de wallets hardware, así como a las soluciones de software que generan ingresos mediante comisiones o suscripciones. Aunque los proyectos de código abierto sin ánimo de lucro quedan exentos, la línea es muy fina: en cuanto un código abierto sirve de base para una actividad comercial, el desarrollador queda sujeto a estas obligaciones. Esta medida también obliga a las empresas extranjeras a designar un representante legal en Europa, garantizando así una responsabilidad jurídica efectiva.
En caso de incumplimiento, las sanciones económicas previstas son disuasorias, alcanzando hasta 15 millones de euros o el 2,5 % de la facturación anual mundial. Más allá de la simple notificación, el reglamento sienta las bases para unas normas de seguridad estructural más amplias de cara a diciembre de 2027. A largo plazo, estos fabricantes deberán garantizar actualizaciones periódicas durante al menos cinco años y obtener el marcado CE, equiparando así los dispositivos de almacenamiento de criptomonedas con los equipos conectados estándar, sujetos a un estricto control de conformidad y resiliencia.