Cyber Resilience Act: ¿peligran los ratones inalámbricos baratos?

Qué exige la norma

El CRA no obliga a cifrar todas las conexiones por radio. Exige proteger la confidencialidad e integridad de los datos, evitar accesos no autorizados y limitar el riesgo de que se exploten vulnerabilidades. El cifrado es una vía posible, pero las medidas concretas dependen de una evaluación de riesgos.

El peligro es real: en 2016, investigadores de Bastille revelaron las vulnerabilidades MouseJack. En algunos dispositivos de radio se podían enviar comandos manipulados que el ordenador interpretaba como pulsaciones de teclas, desde hasta 100 metros. Ya existen conexiones seguras, como Logi Bolt de Logitech.

Los fabricantes deberán además documentar riesgos, gestionar las vulnerabilidades notificadas y ofrecer soporte de seguridad, por regla general al menos cinco años, salvo que se justifique una vida útil prevista menor. Las normas sobre notificación de incidentes graves y vulnerabilidades explotadas activamente rigen desde el 11 de septiembre de 2026.

El problema son los costes

Las grandes empresas pueden ampliar sus procesos actuales, pero las pequeñas que venden ratones baratos con controladores estándar y software subcontratado lo tendrán más difícil. Un estudio de ENISA publicado en junio de 2026 con 194 organizaciones muestra que el 66 % conocía el CRA, pero 142 pedían ayuda económica. No se limitaba a fabricantes de periféricos.

Los ratones antiguos no desaparecerán de las tiendas tras el 11 de diciembre de 2027. Las unidades comercializadas antes en la UE, en principio, no tienen que cumplir los nuevos requisitos de diseño salvo modificación sustancial, aunque sí las obligaciones de notificación. Las nuevas unidades deberán cumplir la norma aunque el diseño sea anterior.

Podría haber precios más altos, menos modelos muy baratos o más interés por los ratones con cable. La radio no desaparece, pero cambian las reglas para diseñar y vender estos productos.