Los fabricantes comerciales de monederos de criptomonedas conectados deberán avisar a las autoridades europeas de ciberseguridad en un plazo máximo de 24 horas si detectan una vulnerabilidad explotada activamente o un incidente grave de seguridad. La obligación entró en vigor el 11 de septiembre de 2026 dentro de la Ley de Resiliencia Cibernética de la Unión Europea (CRA, por sus siglas en inglés).
La norma afecta a los productos con elementos digitales que se comercializan en la UE y cuya utilización prevista o razonablemente previsible implique una conexión directa o indirecta con otro dispositivo o red. En ese marco pueden encajar tanto un monedero físico conectado vendido comercialmente como una aplicación de monedero descargable.
El alcance, sin embargo, no se aplica automáticamente a todas las marcas, servicios o proyectos relacionados con monederos. La Comisión Europea no ha identificado productos concretos ni ha declarado que cualquier servicio de almacenamiento de criptoactivos esté cubierto. La aplicación depende de las características del producto, de la forma en que se ofrece al mercado y de las posibles exclusiones previstas en la regulación.
Un primer aviso en 24 horas y más información en 72
El primer trámite consiste en una alerta inicial que debe presentarse «sin demora indebida» y, en todo caso, no más tarde de 24 horas después de que el fabricante tenga conocimiento de la vulnerabilidad o del incidente. Cuando corresponda, la comunicación debe señalar en qué Estados miembros se sabe que el producto ha estado disponible.
En los incidentes graves, el aviso también debe indicar si se sospecha de una actuación ilegal o maliciosa. Después, el fabricante dispone de un plazo de 72 horas para remitir una notificación más completa, salvo que la información exigida ya se hubiera facilitado en la alerta inicial.
En el caso de una vulnerabilidad explotada, esa segunda comunicación debe incluir información general sobre el producto, el fallo y la forma en que se está explotando, además de las medidas correctivas o de mitigación disponibles. Para los incidentes graves, debe recoger la naturaleza del suceso, una evaluación inicial y la información disponible sobre las medidas para limitar sus efectos.
Plazos finales y comunicación a los usuarios
La fecha del informe definitivo depende del tipo de problema. Cuando se trata de una vulnerabilidad, debe presentarse como máximo 14 días después de que esté disponible una medida correctiva o de mitigación. En los incidentes graves, el informe final debe llegar un mes después de la notificación realizada dentro del plazo de 72 horas.
Los fabricantes realizarán la comunicación una sola vez a través de la plataforma de notificación habilitada por ENISA, la agencia de ciberseguridad de la UE. El sistema remite el aviso al equipo de respuesta a incidentes de seguridad informática (CSIRT) coordinador y pone la información a disposición de ENISA, que puede facilitar su distribución a otros equipos nacionales competentes.
La obligación no termina con el aviso a las autoridades. Los fabricantes también deben informar a los usuarios afectados y, cuando sea necesario, al conjunto de sus usuarios. Esa comunicación debe incluir las medidas que pueden adoptar para protegerse o reducir el impacto del incidente.
La norma también alcanza a productos ya comercializados
El régimen de notificación se aplica a productos incluidos en su ámbito aunque se hubieran puesto en el mercado antes del 11 de diciembre de 2027. Por tanto, el plazo de 24 horas puede afectar a líneas de producto existentes y no solo a los monederos que se vendan después de esa fecha.
La publicación del código como software libre tampoco supone una exención general. Según la guía de la Comisión, los productos libres y de código abierto ofrecidos comercialmente pueden generar obligaciones para el fabricante. En cambio, el software no monetizado suministrado por su fabricante no debería considerarse una actividad comercial, y los colaboradores individuales no se tratan como fabricantes respecto al software que queda fuera de su responsabilidad.
Los responsables de proyectos de código abierto constituyen una categoría jurídica separada. Sus obligaciones de notificación comenzarán el 11 de diciembre de 2027, la misma fecha prevista para la entrada en vigor de los principales requisitos de seguridad relacionados con el diseño y el ciclo de vida de los productos. El cambio de septiembre activa, por ahora, el régimen de alertas rápidas.
