Desde el pasado 11 de septiembre de 2026 los fabricantes de productos con elementos digitales que se venden en la Unión Europea ya tienen que notificar las vulnerabilidades explotadas y los incidentes graves que afecten a sus equipos. Es la primera obligación en aplicarse del Reglamento de Ciberresiliencia (Reglamento (UE) 2024/2847, conocido como CRA), que entró en vigor el 10 de diciembre de 2024 y cuyas obligaciones principales se aplicarán a partir del 11 de diciembre de 2027, según la página oficial de la Comisión Europea sobre el Reglamento de Ciberresiliencia. La Comisión publicó además unas orientaciones prácticas el pasado mes de julio.
¿Y qué tiene que ver esto con el control de accesos de tu empresa? Mucho: lectores de tarjeta, terminales biométricos, controladoras conectadas a la red, cerraduras electrónicas o aplicaciones de credenciales móviles son, precisamente, productos con elementos digitales.
Qué cambia para el control de accesos
El reglamento pone el foco en quien fabrica y comercializa los equipos: los productos deberán diseñarse con la seguridad desde el origen, recibir actualizaciones de seguridad y llevar el marcado CE que acredite que cumplen estos requisitos. Las autoridades nacionales de vigilancia del mercado serán las encargadas de hacerlo cumplir.
Para la empresa que usa el sistema, la consecuencia práctica es que a partir de 2027 será más fácil exigir equipos con soporte de seguridad y actualizaciones. El CRA no obliga a cambiar de inmediato los lectores o cerraduras ya instalados, pero sí marca el nivel que se va a pedir a cualquier equipo nuevo. Y un sistema de accesos con firmware de hace diez años, contraseñas por defecto o controladoras expuestas a internet es hoy una puerta abierta, aunque físicamente esté cerrada.
Credenciales móviles: más cómodas, pero con la seguridad bien planteada
Cada vez más empresas sustituyen la tarjeta de proximidad por el móvil: el trabajador abre el torno o la puerta con su teléfono y el responsable da de alta o de baja permisos en remoto, sin repartir ni recoger tarjetas. Es una mejora real en gestión, pero también traslada parte de la seguridad al software: la app, la nube que gestiona los permisos y la comunicación entre el lector y el teléfono. Por eso, al elegir solución, la ciberseguridad del fabricante pesa tanto como el precio del lector.
Qué debería hacer tu empresa
- Inventariar lectores, controladoras, software y cerraduras electrónicas, con su versión de firmware y si siguen recibiendo actualizaciones.
- Cambiar contraseñas por defecto y revisar quién tiene acceso al software de gestión.
- Separar la red del control de accesos del resto de la red corporativa y evitar exponer equipos directamente a internet.
- Revocar credenciales de personas que ya no trabajan en la empresa (tarjetas, huellas y permisos móviles).
- En compras nuevas, pedir al proveedor el compromiso de actualizaciones de seguridad y la conformidad con el CRA según se vaya aplicando.
- Valorar las credenciales móviles si gestionáis muchas altas y bajas, contratas o varias sedes.
En Asturias, León y Cantabria trabajamos con naves industriales, puertos, oficinas, comunidades y ayuntamientos en los que el control de accesos lleva años funcionando sin que nadie haya revisado su parte digital. Suele bastar una auditoría sencilla para detectar equipos sin soporte o permisos olvidados.
Un ejemplo reciente de nuestro trabajo: en las instalaciones de TKE en Mieres instalamos un control de accesos para personal con tornos y tarjeta RFID integrado con el control horario, y un acceso de vehículos con lectura automática de matrículas y barreras motorizadas, todo con registro individual de entradas y salidas.
Este artículo es informativo y no sustituye el asesoramiento jurídico.
0 comentarios