Bajo la Ley de Ciberresiliencia de la UE, los fabricantes comerciales de billeteras criptográficas ahora tienen 24 horas para informar sobre una vulnerabilidad explotada activamente o un incidente de seguridad grave a las autoridades cibernéticas nacionales. El régimen de divulgación acelerada entró en vigor el 11 de septiembre de 2026 y se aplica a cualquier 'producto con elementos digitales' que tenga una conexión de datos directa o indirecta, incluyendo billeteras de hardware conectadas suministradas comercialmente y aplicaciones de billetera descargables. Las presentaciones se dirigen a través de la Plataforma de Reporte Única de ENISA al CSIRT nacional coordinador, con una notificación más completa debiendo presentarse dentro de las 72 horas y un informe de vulnerabilidad dentro de los 14 días posteriores a una medida correctiva.
Por qué es importante
La CRA reconfigura la seguridad de las billeteras de una práctica recomendada de la industria a una función de responsabilidad de producto regulada. Los fabricantes de billeteras ahora operan bajo un reloj que se enfrenta a los reguladores, que refleja las normas de divulgación de productos de electrónica de consumo. Los proyectos de código abierto no reciben una exención general: los productos comerciales gratuitos y de código abierto aún pueden enfrentar obligaciones por parte del fabricante, mientras que los contribuyentes no remunerados y el software del fabricante no monetizado quedan fuera. Los administradores de código abierto forman una categoría legal separada cuyas obligaciones de reporte solo comienzan el 11 de diciembre de 2027. La regla también se aplica a las líneas de productos existentes: cualquier cosa colocada en el mercado de la UE antes del 11 de diciembre de 2027 opera bajo el mismo reloj de 24 horas.
Impacto en el mercado
Para los proveedores de billeteras de hardware, la ventana ajusta el cálculo de costos en torno a la corrección silenciosa. Los operadores más pequeños con bancos de respuesta a incidentes limitados ahora enfrentan el mismo reloj de advertencia temprana que los fabricantes de dispositivos multinacionales, y los proveedores de billeteras probablemente necesitarán personal dedicado para el cumplimiento o relaciones con CSIRT de terceros. El portal de ENISA centraliza la visibilidad para cada regulador europeo, por lo que un solo evento de divulgación pasa de ser un problema privado de confianza del cliente a un evento regulatorio multijurisdiccional en un día. Optimista para las marcas de billeteras con un historial de seguridad limpio y políticas públicas de divulgación de vulnerabilidades; pesimista para los proveedores que históricamente han confiado en la corrección silenciosa. Los aseguradores cibernéticos que redactan cobertura para billeteras distribuidas en la UE probablemente volverán a fijar el precio de la ventana de 24 horas en los términos de la póliza.
Preguntas frecuentes
-
¿Qué requiere realmente la regla de divulgación de 24 horas de la UE para las billeteras criptográficas?
Bajo la Ley de Ciberresiliencia, los fabricantes de billeteras comerciales deben presentar una advertencia temprana a las autoridades cibernéticas nacionales dentro de las 24 horas de descubrir una vulnerabilidad explotada activamente o un incidente de seguridad grave, seguido de una notificación más completa dentro…
-
¿Qué billeteras criptográficas cubre la CRA?
La CRA cubre las billeteras de hardware conectadas suministradas comercialmente y las aplicaciones de billetera descargables que cumplen con la prueba de 'producto con elementos digitales', es decir, productos con una conexión de datos directa o indirecta. La guía de la UE no nombra marcas específicas; la cobertura…
-
¿Las billeteras criptográficas de código abierto están exentas del reloj de 24 horas?
No. La guía de código abierto de la Comisión trata los productos comerciales gratuitos y de código abierto como dentro del alcance, aunque los contribuyentes no remunerados y el software del fabricante no monetizado quedan fuera de la definición. Los administradores de código abierto forman una categoría separada…
-
¿Dónde presentan los fabricantes la divulgación de 24 horas?
Las presentaciones se realizan a través de la Plataforma de Reporte Única de ENISA, que dirige la notificación al equipo designado de respuesta a incidentes de seguridad informática nacional coordinador y la distribuye a otros equipos nacionales relevantes y a ENISA misma.
-
¿Se aplica el reloj de 24 horas a las billeteras ya en el mercado?
Sí. La regla de reporte se aplica a los productos colocados en el mercado de la UE antes del 11 de diciembre de 2027, incorporando las líneas de productos existentes en el nuevo régimen en lugar de solo capturar las billeteras que se vendan por primera vez después de que entren en vigor los requisitos principales de…
WatcherGuru
WuBlockchain
TheBlock
CoinTelegraph
Crypto Rank News