Los fabricantes comerciales cubiertos de billeteras cripto deben presentar una alerta temprana dentro de las 24 horas posteriores a tener conocimiento de que una vulnerabilidad de su producto está siendo explotada activamente en virtud de la Ley de Ciberresiliencia de la Unión Europea. El requisito es una obligación de reporte, no un mandato de reparar la falla en un día, y solo se aplica a las billeteras comprendidas en el alcance comercial de la ley.

La medida forma parte de la Ley de Ciberresiliencia de la UE, formalmente el Reglamento (UE) 2024/2847. El reglamento establece requisitos de ciberseguridad para productos con elementos digitales que se conectan a dispositivos o redes. La Comisión Europea ofrece más información en sus directrices de reporte de la Ley de Ciberresiliencia y resumen de la CRA.

Para los fabricantes de billeteras cripto, el cambio más inmediato es el breve plazo para reportar, que comienza cuando el fabricante se entera de que hay un ataque en curso.

¿Qué inicia el plazo de reporte de 24 horas?

El plazo comienza cuando un fabricante tiene conocimiento de una vulnerabilidad explotada activamente o de un incidente grave que afecta a su producto. A partir de ese momento, el fabricante tiene 24 horas para presentar una alerta temprana.

El desencadenante es específico. Se refiere a vulnerabilidades que los atacantes están explotando realmente, no a cualquier defecto identificado durante el desarrollo o las pruebas rutinarias. Expertos legales de Freshfields han explicado que la explotación activa requiere pruebas confiables de que un actor malicioso está explotando la vulnerabilidad sin el permiso del propietario del sistema.

Por lo tanto, el período de 24 horas es una obligación de alertar a los reguladores, no un requisito de tener listo un parche. Un fabricante de billeteras puede reportar un ataque en curso mientras continúa investigando el incidente y desarrollando una medida correctiva.

La alerta temprana es solo la primera etapa del reporte. Debe presentarse una notificación completa dentro de las 72 horas posteriores a tener conocimiento del incidente, de forma separada de la alerta inicial de 24 horas.

En el caso de una vulnerabilidad explotada activamente, el reporte final debe presentarse a más tardar 14 días después de que esté disponible una medida correctiva. Para un incidente grave, el reporte final debe presentarse dentro de un mes de la notificación de 72 horas.

Estas obligaciones de reporte comenzaron el 11 de septiembre de 2026. El conjunto más amplio de obligaciones de la Ley de Ciberresiliencia se aplicará a partir del 11 de diciembre de 2027. El reglamento entró en vigor el 10 de diciembre de 2024.

¿Qué fabricantes de billeteras cripto están cubiertos?

La regla se aplica a los productos con elementos digitales que se ponen a disposición en el mercado de la UE. Esto incluye productos cuyo uso previsto o razonablemente previsible implica una conexión de datos con un dispositivo o una red, una descripción que abarca la mayoría del software y hardware de billeteras cripto.

El término “comercial” es importante. Poner un producto a disposición en el mercado significa suministrarlo en el marco de una actividad comercial, ya sea que el producto sea pagado o se proporcione de forma gratuita. El software distribuido sin costo aún puede estar dentro del alcance si se suministra como parte de una actividad comercial.

Los productos que no se suministran mediante una actividad comercial quedan fuera de este alcance específico. La aplicación de la regla a cualquier billetera individual sigue siendo una cuestión que debe analizarse caso por caso. Los materiales de la Comisión no clasifican productos específicos de billeteras, y ninguna fuente citada confirma si una billetera de hardware, una billetera de software o un servicio alojado determinado está cubierto o exento.

Los proyectos de código abierto reciben un tratamiento separado. Los responsables del software de código abierto estarán sujetos a sus propias obligaciones de reporte conforme al Artículo 24(3) a partir del 11 de diciembre de 2027. Esos responsables no están sujetos a sanciones por infracciones de la Ley de Ciberresiliencia.

El reglamento también establece una consideración basada en el tamaño. Según el resumen de la Comisión, los fabricantes que califiquen como microempresas o pequeñas empresas podrían no recibir una multa por incumplir el plazo de 24 horas. Esto no elimina su obligación de reportar.

La regla también se aplica a los productos que ya habían sido puestos en el mercado de la UE antes del 11 de diciembre de 2027.

Impacto operativo para los fabricantes de billeteras

Un plazo de 24 horas deja poco tiempo para que una empresa cree un proceso de respuesta a incidentes después de que ha comenzado un ataque. Analistas de Freshfields han señalado que los breves períodos de reporte ofrecen una oportunidad limitada para establecer procedimientos después de que ocurre un evento.

El plazo continúa corriendo durante los fines de semana y los feriados. Freshfields ha explicado que esos días no suspenden el período de reporte.

Por ello, los equipos de billeteras podrían necesitar establecer de antemano procedimientos para registrar el momento preciso en que surge el conocimiento del incidente, escalar el asunto al equipo responsable y recopilar rápidamente la información requerida sobre el incidente.

El reporte a los reguladores, la investigación del incidente y la remediación son tareas separadas. Un fabricante puede notificar a los reguladores mientras continúa determinando el alcance del ataque y desarrolla o implementa una solución. El proceso de reporte no establece por sí mismo un plazo para completar la remediación en 24 horas.

Los fabricantes presentan sus reportes a través de la Plataforma Única de Reporte de la Ley de Ciberresiliencia. El reporte se dirige al equipo nacional relevante de respuesta a incidentes de seguridad informática, o CSIRT, y la información se pone a disposición de la Agencia de la Unión Europea para la Ciberseguridad, o ENISA, al mismo tiempo, salvo en circunstancias particularmente excepcionales.

Para los usuarios de billeteras, presentar un reporte no garantiza que una billetera sea segura ni que los fondos de los usuarios estén protegidos. Proporciona a las autoridades una notificación temprana de un ataque activo. Los campos obligatorios del reporte, los procedimientos de presentación y cualquier obligación de notificar a los clientes deben verificarse con las directrices oficiales antes de considerarse definitivos.

Para una persona que posee criptomonedas y utiliza una billetera de una empresa que opera en la UE, el efecto práctico es que el fabricante podría tener que notificar rápidamente a los reguladores cuando los atacantes exploten una vulnerabilidad del producto. Esta capa de reporte está vigente desde el 11 de septiembre de 2026.

Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos. Realice siempre su propia investigación antes de tomar decisiones.