El sector de los semiconductores se enfrenta a una transformación regulatoria significativa con la entrada en vigor de la Ley de Ciberresiliencia (CRA) de la Unión Europea, ya que los requisitos de seguridad ya no se limitan solo al software, sino que se extienden a los componentes físicos y a la propiedad intelectual (IP) que constituyen la columna vertebral de los dispositivos digitales modernos.
Marco de trabajo de la ley CRA y alcance de su aplicación
La ley, adoptada en octubre de 2024, tiene como objetivo establecer requisitos mínimos de seguridad para los productos digitales que se venden en el mercado de la Unión Europea. Estas normas se aplican a las empresas independientemente de su ubicación geográfica, siempre que sus productos lleguen a los consumidores europeos. El alcance incluye directamente a los semiconductores que se venden por separado, además de a los proveedores de propiedad intelectual, a quienes se les puede exigir que presenten los resultados de la evaluación de seguridad y expliquen los supuestos de uso seguro de sus componentes.
La lista objetivo incluye una amplia gama de productos técnicos, entre ellos:
- Microprocesadores.
- Microcontroladores.
- Circuitos integrados de aplicación específica (ASIC).
- Matrices de puertas lógicas programables (FPGA).
Plazos y obligaciones regulatorias
La aplicación de la ley atraviesa etapas temporales específicas que imponen presiones sobre los cronogramas de desarrollo técnico:
- Septiembre de 2026: Inicio de la fase de notificación obligatoria, donde los fabricantes deben presentar una alerta temprana al detectar vulnerabilidades que se estén explotando activamente, seguida de un informe detallado sobre las medidas correctivas a través de la plataforma de notificación unificada.
- 11 de diciembre de 2027: Fecha límite para el cumplimiento total, momento en el que entrarán en vigor los requisitos de documentación técnica y evaluación de la conformidad, y la obtención del marcado CE será un requisito previo para comercializar los productos en el mercado.
¿Por qué es importante esta noticia?
Este desarrollo representa un cambio fundamental en la responsabilidad de la ciberseguridad a lo largo de la cadena de suministro. En lugar de cargar todo el peso sobre los fabricantes de dispositivos finales, la ley obliga a los proveedores de componentes y propiedad intelectual a proporcionar evidencias de seguridad tangibles. Esto significa que las empresas que diseñan chips deben demostrar que los activos sensibles, como las claves de cifrado y los estados de depuración (Debug states), están protegidos dentro del propio diseño, y no solo a través de software externo.
Preparación y verificación de la seguridad del hardware
En respuesta a estos desafíos, empresas especializadas como Arteris han comenzado a desarrollar herramientas para ayudar a los diseñadores a cumplir con la normativa, como la guía de preparación de hardware (Hardware Readiness Guide) y herramientas de verificación como Radix. El objetivo de estas herramientas es convertir los requisitos de seguridad en reglas que puedan probarse durante las fases de simulación y emulación, lo que permite identificar puntos débiles en el diseño antes de que el producto llegue a la etapa de fabricación final.