Moxa está preparada para cumplir las obligaciones del CRA de notificación de vulnerabilidades e incidentes en 24 horas
Moxa Inc., líder en comunicaciones y redes industriales, ha anunciado hoy que está preparada para cumplir las primeras obligaciones operativas del Cyber Resilience Act (CRA) de la Unión Europea, es decir, los requisitos obligatorios de notificación de vulnerabilidades e incidentes, antes de que sean exigibles el 11 de septiembre de 2026. Esta normativa convierte la gestión de vulnerabilidades e incidentes, hasta ahora una práctica interna, en una obligación legal que exige una detección, evaluación, coordinación y respuesta regulatoria rápidas.
www.moxa.com
En virtud del CRA, los fabricantes de productos con elementos digitales deben notificar a ENISA y al CSIRT nacional designado una alerta temprana en un plazo de 24 horas desde que tengan conocimiento de una vulnerabilidad explotada activamente o de un incidente de seguridad grave, seguida de una notificación completa en un plazo de 72 horas y de un informe final en un plazo de 14 días desde que esté disponible una medida correctiva o un parche para las vulnerabilidades explotadas, o en el plazo de un mes cuando se presenten notificaciones de incidentes graves.
La preparación de Moxa se basa en un Secure Development Life Cycle (SDL) validado. Como uno de los primeros proveedores en obtener la doble certificación IEC 62443-4-1 Maturity Level 3 (ML3) de IECEE e ISCI/ISASecure, Moxa ha demostrado que sus procesos de seguridad de productos son reproducibles y se aplican de forma coherente en toda la organización. Estas capacidades proporcionan una base sólida para cumplir las obligaciones de ciberseguridad posteriores a la comercialización establecidas por el CRA.
Cumplir los requisitos de notificación en 24 horas del CRA va más allá de la respuesta ante incidentes; requiere un marco integrado de gobernanza de la ciberseguridad. Esto permite a los fabricantes identificar rápidamente los productos afectados, evaluar los impactos en materia de ciberseguridad y coordinar a los equipos de ingeniería para tomar a tiempo las decisiones necesarias en materia regulatoria.
Moxa ha implementado una gestión integral de vulnerabilidades para responder a estas necesidades, que incluye:
• Un Product Security Incident Response Team (PSIRT) maduro, capaz de validar, evaluar y coordinar rápidamente las respuestas ante vulnerabilidades.
• Una gestión integral de los Software Bill of Materials (SBOM), que permite a los equipos de ingeniería identificar rápidamente los componentes de software, productos y versiones de firmware afectados.
• Una trazabilidad integral de los productos que abarca la composición del software, las versiones de firmware y los registros del ciclo de vida.
• Un SDL que proporciona una trazabilidad completa de las actividades de ingeniería y procesos rigurosos de corrección de vulnerabilidades.
• Procedimientos de gobernanza claramente definidos que alinean a los equipos de ingeniería, gestión de producto, ciberseguridad, asuntos legales y dirección ejecutiva para garantizar una notificación regulatoria oportuna.
Para reforzar la notificación de vulnerabilidades, Moxa está ampliando sus capacidades mediante la integración de los datos de los SBOM con las bases de datos de productos. Cuando se incorporan nuevas vulnerabilidades al catálogo de vulnerabilidades conocidas explotadas (KEV), el PSIRT puede correlacionar rápidamente los datos, evaluar el impacto, priorizar las respuestas y garantizar el cumplimiento del CRA dentro de los plazos establecidos.
“Cumplir el requisito de notificación en 24 horas del CRA no es solo una carrera contra el reloj; también demuestra la madurez de una organización en materia de ciberseguridad y es el resultado visible de años de inversión en gobernanza de la ciberseguridad”, afirmó John Chang, director de Gestión de I+D y del Product Security Center de Moxa. “Los proveedores como Moxa que cumplen sistemáticamente esta obligación han establecido una gobernanza de ingeniería, prácticas de desarrollo seguro, procesos de gestión de vulnerabilidades y mecanismos de coordinación interfuncional que les permiten comprender rápidamente qué productos están afectados, evaluar los riesgos de ciberseguridad, coordinar las respuestas de ingeniería y proporcionar información precisa a los organismos reguladores.”
Para los fabricantes de maquinaria, integradores de sistemas y operadores de infraestructuras críticas, colaborar con proveedores que cuentan con estas capacidades ofrece la confianza de que su proveedor no solo suministra productos seguros en la actualidad, sino que también está preparado para gestionar los ciberriesgos emergentes durante los próximos años.
A medida que el CRA redefine la responsabilidad en materia de ciberseguridad en la industria, Moxa destaca que la confianza se medirá tanto por las funciones de seguridad de los productos como por el compromiso del fabricante con la ciberseguridad durante todo el ciclo de vida del producto. Mediante la implementación de prácticas SDL certificadas, una gestión eficaz de vulnerabilidades, operaciones de PSIRT, una gobernanza de los SBOM y procesos transparentes, Moxa ayuda a sus clientes a mitigar los riesgos de ciberseguridad y simplificar el cumplimiento de las obligaciones posteriores a la comercialización establecidas por el CRA.
Para obtener más información sobre el compromiso de Moxa con la preparación para el CRA, visite el portal de Moxa sobre el Cyber Resilience Act (CRA).
www.moxa.com
