Cómo afrontar los requisitos de la Cyber Resilience Act (CRA) con Polarion ALM
La ciberseguridad ya no puede abordarse únicamente cuando aparece una vulnerabilidad o se produce un incidente. Con la llegada de la Cyber Resilience Act (CRA), los fabricantes de productos con elementos digitales deberán integrar la seguridad desde las primeras fases de desarrollo y mantenerla durante todo el ciclo de vida del producto.
Pero ¿qué significa esto realmente para los equipos de ingeniería y desarrollo? ¿Y cómo pueden herramientas ALM como Polarion de Siemens ayudar a afrontar los nuevos requisitos?
¿Qué es la CRA Cyber Resilience Act?
La Cyber Resilience Act o Ley de Ciberresiliencia, al igual que la directiva NIS2, forma parte del marco de ciberseguridad de la UE. En concreto, la CRA es un reglamento europeo de ciberseguridad (Reglamento UE 2024/2847) que establece requisitos de seguridad para productos de hardware y software comercializados en la Unión Europea.
Su objetivo es sencillo: conseguir que los productos digitales sean más seguros desde su diseño y continúen siéndolo después de su comercialización.
La CRA se aplica a los denominados “productos con elementos digitales”, una categoría amplia que puede incluir desde software y aplicaciones hasta equipos electrónicos, dispositivos IoT, sistemas embebidos, maquinaria conectada, controladores, routers o componentes digitales comercializados de forma independiente.
Pensemos, por ejemplo, en un fabricante de maquinaria industrial.
Si una máquina incorpora un controlador con firmware, dispone de conectividad o intercambia información con otros sistemas, ya no basta únicamente con garantizar que mecánicamente funcione como se espera. El fabricante debe considerar también los posibles riesgos de ciberseguridad asociados al producto.
De “mi producto es seguro” a “puedo demostrar por qué es seguro”
Esta es probablemente una de las claves para entender la CRA.
El Reglamento establece que los fabricantes deberán realizar una evaluación de los riesgos de ciberseguridad y tener sus resultados en cuenta durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento del producto.
Además, esa evaluación deberá documentarse y actualizarse cuando corresponda.
En la práctica, esto significa pasar de afirmaciones como:
“Nuestro producto cumple nuestros requisitos de seguridad.”
a poder demostrar:
Riesgo → requisito → desarrollo → prueba → resultado → evidencia
Por ejemplo:
- Se identifica que un acceso no autorizado podría comprometer una función del producto.
- A partir de ese riesgo se define un requisito de seguridad.
- Ese requisito se implementa durante el desarrollo.
- Posteriormente se valida mediante uno o varios tests.
- Los resultados quedan registrados.
- Y, si el requisito cambia, debe ser posible conocer qué elementos, pruebas o versiones pueden verse afectados.
Cuanto más complejo sea el producto, más complicado resultará mantener esta trazabilidad utilizando documentos, hojas Excel, correos electrónicos y herramientas independientes.
La ciberseguridad continúa después del lanzamiento del producto
La responsabilidad del fabricante tampoco termina cuando el producto llega al mercado.
La CRA establece requisitos para gestionar las vulnerabilidades durante el período de soporte del producto. Entre otras obligaciones, los fabricantes deberán identificar y documentar vulnerabilidades y componentes, realizar pruebas periódicas de seguridad y proporcionar actualizaciones cuando sea necesario.
El Reglamento contempla además la elaboración de una Software Bill of Materials (SBOM), es decir, un inventario estructurado de los componentes software presentes en el producto y sus dependencias.
Podemos entenderlo como la “lista de ingredientes” del software.
Si se descubre una vulnerabilidad en un componente utilizado dentro de distintos productos o versiones, disponer de esa información facilita determinar rápidamente qué desarrollos pueden estar afectados.
CRA: fechas clave y plazos para las empresas
Aunque buena parte de las obligaciones de la CRA serán plenamente aplicables a partir del 11 de diciembre de 2027, algunas disposiciones ya han empezado a aplicarse.
Desde el 11 de septiembre de 2026, los fabricantes deben notificar determinadas vulnerabilidades explotadas activamente y determinados incidentes graves que afecten a la seguridad de sus productos con elementos digitales.
Esto convierte los próximos meses en un período especialmente relevante para que los fabricantes revisen no solo la seguridad técnica de sus productos, sino también cómo gestionan, relacionan y documentan la información generada durante su desarrollo.
El reto no es únicamente la ciberseguridad: es la trazabilidad
En muchos equipos de ingeniería la información necesaria para justificar una decisión está repartida entre diferentes sistemas.
- Los requisitos pueden estar en documentos o herramientas específicas.
- Los riesgos, en hojas de cálculo.
- Las incidencias, en otra plataforma.
- Los tests, en el sistema de QA.
- Las decisiones, en emails.
- Los cambios, en diferentes repositorios.
- Y la documentación regulatoria se prepara posteriormente recopilando información de todas estas fuentes.
La CRA aumenta la importancia de disponer de un proceso estructurado que permita responder preguntas como:
- ¿Qué requisito responde a este riesgo?
- ¿Qué pruebas validan este requisito?
- ¿Qué versión del producto incorpora este cambio?
- ¿Qué componentes pueden verse afectados por esta vulnerabilidad?
- ¿Qué evidencias tenemos de las pruebas realizadas?
- ¿Quién modificó este requisito y por qué?
Aquí es donde una plataforma de gestión del ciclo de vida de las aplicaciones o Application Lifecycle Management (ALM) adquiere especial relevancia.
¿Cómo puede ayudar Polarion ALM a cumplir con la CRA?
Polarion ALM, la solución de Siemens para la gestión del ciclo de vida de las aplicaciones, permite centralizar y relacionar información generada durante el desarrollo: requisitos, tareas, riesgos, cambios, tests, incidencias y evidencias.
Su valor frente a un escenario como el que plantea la CRA reside especialmente en la trazabilidad.
Gestión y trazabilidad de requisitos
Polarion permite gestionar requisitos dentro de un entorno colaborativo y relacionarlos con otros elementos del proyecto.
Un requisito de ciberseguridad puede vincularse, por ejemplo, con el riesgo que lo ha originado, las tareas necesarias para implementarlo y las pruebas utilizadas para verificarlo.
Si alguno de esos elementos cambia, el equipo dispone de mayor visibilidad sobre su impacto.
La trazabilidad, el control de cambios y los workflows forman parte de las capacidades principales de Polarion.
Gestión de pruebas y evidencias
Definir un requisito no es suficiente: también es necesario verificarlo.
Polarion permite relacionar requisitos con casos y resultados de prueba, facilitando la construcción de una cadena de evidencias.
Esto resulta especialmente relevante cuando es necesario justificar qué pruebas se realizaron, sobre qué versión y con qué resultado.
Control de cambios
Los productos evolucionan continuamente.
Una nueva funcionalidad, la modificación de un componente o la corrección de una vulnerabilidad pueden afectar a requisitos previamente validados.
Polarion permite mantener un histórico de cambios y workflows definidos, facilitando conocer qué cambió, cuándo, quién realizó el cambio y cómo afecta al resto del proyecto.
Preparación para auditorías y procesos de conformidad
Otro de los retos de cualquier marco regulatorio es reunir posteriormente las evidencias necesarias.
Cuando requisitos, pruebas, cambios y aprobaciones están relacionados desde el propio proceso de desarrollo, generar la información necesaria para una auditoría o evaluación resulta considerablemente más sencillo que reconstruirla a posteriori.
Siemens destaca precisamente la trazabilidad y el control automático de cambios de requisitos como elementos orientados a facilitar auditorías e inspecciones regulatorias.
Colaboración entre diferentes equipos
La CRA no es únicamente responsabilidad del departamento de IT.
Puede involucrar a ingeniería, desarrollo de software y firmware, calidad, testing, ciberseguridad, responsables de producto y responsables de cumplimiento.
Un entorno ALM común facilita que estos equipos trabajen sobre una misma fuente de información y que las decisiones tomadas durante el desarrollo queden asociadas al producto.
En Prismacim, como partner de Siemens Digital Industries Software, ayudamos a las empresas a implementar Polarion ALM y adaptar la plataforma a sus procesos de desarrollo, requisitos, validación y gestión del ciclo de vida. Más información
Polarion: una herramienta clave para cumplir con los requisitos de ciberseguridad
Utilizar Polarion no significa automáticamente cumplir con el Cyber Resilience Act, ni sustituye las evaluaciones, procesos de conformidad o medidas técnicas de ciberseguridad que correspondan a cada producto.
Sin embargo, Polarion puede proporcionar una infraestructura para estructurar procesos, gestionar requisitos, controlar cambios, realizar seguimiento de pruebas y mantener la trazabilidad y las evidencias necesarias durante el ciclo de vida del producto.
Y precisamente esa capacidad de demostrar cómo se han gestionado los requisitos de seguridad puede convertirse en un elemento fundamental en el nuevo escenario regulatorio.
De la ciberseguridad reactiva a un desarrollo seguro desde el diseño del producto
La CRA representa un cambio importante en la manera de abordar la seguridad de los productos digitales.
Ya no se trata únicamente de corregir vulnerabilidades cuando aparecen.
Se trata de incorporar la ciberseguridad al propio proceso de ingeniería: identificar riesgos, convertirlos en requisitos, implementarlos, verificarlos, gestionar los cambios y mantener evidencias durante todo el ciclo de vida del producto.
Para las organizaciones que desarrollan productos complejos, disponer de una trazabilidad completa entre todos estos elementos puede marcar una diferencia importante a la hora de afrontar los nuevos requisitos.
¿Tu empresa desarrolla productos que incorporan software o firmware y quieres conocer cómo puede ayudarte Polarion a estructurar la gestión de requisitos y la trazabilidad asociada a la CRA? Contacta con nuestro equipo y estudiaremos tu caso.
También te puede interesar:
