Ciberseguridad en la recta final de 2026: CRA, AI Act, NIS2 y los hitos que llegan después del verano

Septiembre suele significar vuelta a la actividad: proyectos que se reactivan, presupuestos que vuelven a moverse y decisiones que habían quedado aparcadas durante agosto.

En 2026, además, la vuelta viene acompañada de una agenda especialmente intensa en ciberseguridad, regulación tecnológica y resiliencia digital. No todos los hitos afectan igual a todas las organizaciones, pero juntos muestran una tendencia clara: Europa ya no pide únicamente proteger sistemas; también exige gobernanza, seguridad de producto, gestión de terceros y capacidad para demostrar que los controles funcionan.

11 de septiembre: empiezan las notificaciones del CRA

El 11 de septiembre de 2026 comienzan a aplicarse las obligaciones de notificación del Cyber Resilience Act (CRA). Desde ese día, los fabricantes deberán comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a productos con elementos digitales a través de la plataforma única prevista por el Reglamento.

Para una vulnerabilidad explotada activamente, el artículo 14 establece una alerta temprana en un máximo de 24 horas, una notificación más completa en 72 horas y un informe final, como máximo, 14 días después de que esté disponible una medida correctora o de mitigación. Los incidentes graves tienen también alerta temprana y notificación en 24 y 72 horas, con informe final en el plazo de un mes.

El CRA no será plenamente aplicable hasta el 11 de diciembre de 2027, pero este septiembre deja de ser una norma que solo se prepara para el futuro. Para notificar a tiempo hay que saber antes qué productos se mantienen, qué componentes utilizan, cómo llega la información sobre vulnerabilidades, quién evalúa la gravedad y quién puede escalar un incidente.

12 de septiembre: Data Act y productos conectados

El Data Act se aplica con carácter general desde septiembre de 2025, pero reserva un hito para los productos conectados y servicios relacionados introducidos en el mercado después del 12 de septiembre de 2026. Desde entonces les resulta aplicable la obligación del artículo 3.1: deben diseñarse para que los datos del producto y del servicio relacionado sean accesibles al usuario por defecto, de forma sencilla, segura, gratuita y en un formato utilizable.

Es especialmente relevante para automoción, IoT, industria, maquinaria y servicios digitales asociados a productos físicos. Aunque el Data Act no sea una norma de ciberseguridad, obliga a responder preguntas de seguridad: quién accede, mediante qué interfaz, qué terceros intervienen y cómo se protegen los datos.

Para fabricantes de productos conectados, Data Act y CRA deberían analizarse juntos. Separarlos genera dos inventarios, dos conversaciones de arquitectura y, muchas veces, dos juegos de evidencias sobre el mismo producto.

El AI Act ya está en una nueva fase

Desde el 2 de agosto de 2026 el AI Act es aplicable con carácter general, con las excepciones y calendarios específicos que mantiene el propio Reglamento. También rigen las obligaciones de transparencia del artículo 50: informar cuando una persona interactúa con determinados sistemas de IA, marcar contenido sintético en formato legible por máquina y etiquetar ciertos deepfakes y textos de interés público.

En paralelo, la Oficina de IA y las autoridades nacionales han entrado en una nueva etapa de supervisión. Esto no significa que todas las obligaciones de alto riesgo sean ya exigibles: tras el Reglamento (UE) 2026/1744, una parte sustancial se desplaza a diciembre de 2027 y agosto de 2028.

Para muchas empresas el primer reto es más básico: qué sistemas de IA utilizan, para qué procesos, qué datos reciben, quién autorizó el uso, qué proveedor hay detrás y cómo se supervisan los resultados. Es difícil gobernar una tecnología que ni siquiera está inventariada.

2 de diciembre: transición concreta y nuevas prohibiciones en IA

El 2 de diciembre de 2026 termina el periodo transitorio de cuatro meses para que los proveedores de sistemas que generan contenido sintético y que ya estaban en el mercado antes del 2 de agosto se adapten a las obligaciones de marcado y detección del artículo 50.2.

En esa misma fecha empiezan a aplicarse nuevas prohibiciones añadidas por el Ómnibus digital sobre IA. No debe confundirse este hito con la aplicación completa de todo el AI Act: su calendario sigue siendo escalonado.

NIS2: España continúa teniendo una tarea pendiente

España no ha completado la transposición de NIS2. La fecha límite europea era el 17 de octubre de 2024 y, el 8 de julio de 2026, la Comisión decidió llevar a España, Irlanda, Francia y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa. La remisión solicita una suma a tanto alzado y multas coercitivas diarias hasta que se notifique la transposición.

A 31 de agosto no hay una fecha oficial que permita afirmar que la norma española se aprobará en septiembre, octubre o diciembre. Eso no convierte en buena estrategia esperar: gestión de riesgos, seguridad de proveedores, respuesta a incidentes, continuidad, accesos y vulnerabilidades no se implantan de un día para otro. Si necesitas ubicar tu caso, puedes usar el checklist NIS2 y revisar el análisis sobre qué supone hoy NIS2 en España.

Octubre: Mes Europeo de la Ciberseguridad

Octubre volverá a ser el European Cybersecurity Month, la campaña anual de concienciación promovida por los Estados miembros con el apoyo de ENISA y de la Comisión Europea.

Es menos regulatorio, pero puede ser más útil para muchas empresas. Credenciales, errores humanos, configuraciones deficientes y sistemas desactualizados siguen apareciendo en los incidentes. La oportunidad está en trabajar comportamiento y procesos, no en limitarse a enviar un curso anual o una simulación de phishing.

11 de diciembre: infraestructura de conformidad del CRA

El calendario de la Comisión prevé para el 11 de diciembre de 2026 la notificación de un número suficiente de organismos de evaluación de conformidad en los Estados miembros. Durante el cuarto trimestre también está previsto avanzar en la presunción de conformidad entre el esquema europeo de certificación EUCC y el CRA.

Es una pieza menos visible que la notificación de incidentes, pero necesaria para que la evaluación y certificación de productos funcione cuando el Reglamento sea plenamente aplicable en 2027.

Antes de terminar 2026: identidad digital europea

Los Estados miembros deben ofrecer al menos una Cartera Europea de Identidad Digital (EUDI Wallet) dentro del plazo establecido por el Reglamento europeo de identidad digital; la Comisión sitúa su disponibilidad antes de terminar 2026.

La cartera permitirá identificarse ante servicios públicos y privados, almacenar credenciales, compartir atributos y realizar determinadas firmas. Para ciberseguridad importa por lo que pone en el centro: autenticación fuerte, privacidad, minimización de datos y prevención del fraude.

Antes de terminar 2026: comienza la transición postcuántica

La hoja de ruta europea para la criptografía postcuántica (PQC) recomienda que todos los Estados miembros hayan empezado la transición antes de finalizar 2026. Para las infraestructuras críticas, el objetivo es migrar cuanto antes y, a más tardar, al final de 2030.

No significa sustituir mañana toda la criptografía. El primer paso es saber dónde está: certificados, TLS, VPN, PKI, firmas, dispositivos, aplicaciones y proveedores. A partir de ahí cobra sentido la crypto-agility: poder cambiar algoritmos, protocolos o implementaciones sin reconstruir por completo los sistemas.

Septiembre como excusa para revisar los fundamentos

Con tantas normas y fechas es fácil convertir la ciberseguridad en un calendario de cumplimiento. Sería un error. La vuelta después del verano es un buen momento para comprobar:

1. Activos: qué sistemas, servicios y productos existen realmente.
2. Identidades: si conserva acceso únicamente quien lo necesita.
3. MFA: si está desplegado donde debe y con métodos robustos.
4. Actualizaciones: qué quedó pendiente durante las vacaciones.
5. Proveedores: qué accesos externos existen y cuándo se revisaron.
6. Copias: si se ha probado recientemente una restauración.
7. Incidentes: quién decide, a quién se llama y qué plazos aplican.
8. IA: qué usos están inventariados y quién los supervisa.
9. Productos conectados: si CRA y Data Act afectan a lo que se desarrolla o comercializa.
10. Criptografía: dónde están las dependencias que habrá que migrar.

De septiembre a diciembre avanzarán a la vez la seguridad de producto, la inteligencia artificial, el acceso a datos de dispositivos, la identidad digital y la criptografía postcuántica. Debajo de todas esas siglas sigue existiendo la misma pregunta: ¿sabemos qué riesgos tenemos y contamos con controles que funcionen cuando los necesitamos?

La regulación seguirá cambiando. Los fundamentos de una buena gestión de la ciberseguridad, bastante menos.