Ciberseguridad y Seguridad del producto

Sí. El CRA abarca todos los productos con elementos digitales, es decir, hardware y software con firmware o conexión de datos, directa o indirecta, a un dispositivo o una red. Por tanto, incluye gateways, RTU, registradores de datos, módulos de E/S con interfaces de comunicación y software SENECA.

Desde el 11/09/2026, los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves mediante la plataforma de ENISA (24 h / 72 h / informe final). Desde el 11/12/2027 se aplican todos los requisitos esenciales: los productos introducidos en el mercado deberán cumplir el CRA y llevar el marcado CE también en materia de ciberseguridad.

No. Los requisitos de diseño del CRA se aplican a los productos introducidos en el mercado a partir del 11/12/2027. Las obligaciones de notificación del art. 14 también se aplican a los productos ya comercializados: por este motivo, SENECA gestiona las notificaciones sobre todos los productos, incluidos los instalados antes de esa fecha.

Escribe a security@seneca.it indicando producto, código, versiones de hardware/firmware, descripción, pasos para reproducirlo, impacto y posibles evidencias. Recibirás una confirmación de recepción con un identificador PSIRT. No envíes contraseñas ni credenciales.

SENECA informa a los usuarios afectados y publica los avisos de seguridad en esta página y en la Newsroom, con las medidas de mitigación y las versiones corregidas. Puedes suscribirte al boletín de SENECA para recibir actualizaciones técnicas.

El CRA exige que el fabricante defina para cada producto un período de soporte, normalmente no inferior a 5 años salvo que se prevea un uso más breve, durante el cual debe garantizar las actualizaciones de seguridad. SENECA indicará el período de soporte en la documentación de los productos conformes con el CRA.

Es la norma que define los requisitos técnicos de seguridad para componentes de sistemas de automatización y control industrial (IACS). Cada requisito puede cumplirse con un nivel de seguridad de SL1 (protección frente a vulneraciones accidentales) a SL4 (protección frente a ataques sofisticados con amplios recursos). Para la serie PASS / SSD, la evaluación independiente documenta el nivel de seguridad alcanzado para cada requisito aplicable, hasta SL4.

NIS2 exige gestionar el riesgo también en la cadena de suministro. Los dispositivos con autenticación fuerte, cifrado, segmentación, registros de auditoría y actualizaciones seguras, junto con pruebas independientes y documentación de conformidad, aportan las evidencias exigidas en cuestionarios y auditorías de entidades esenciales e importantes.

Los productos radioeléctricos conectados introducidos en el mercado desde el 1 de agosto de 2025 están sujetos a los requisitos de ciberseguridad del Reglamento Delegado (UE) 2022/30 (EN 18031). Modelos como Z-LTE-CEI y MY2-CEI cumplen el RED DA; para los demás modelos, la referencia es la Declaración UE de conformidad del producto.

El CRA exige que el fabricante elabore una lista de materiales de software (SBOM) como parte de la documentación técnica. SENECA está integrando la SBOM en el proceso de publicación; la información sobre componentes de terceros puede facilitarse previa solicitud en el marco de auditorías y cuestionarios de seguridad.

Descarga firmware y software únicamente del sitio oficial www.seneca.it o a través de los canales de soporte SENECA. En los dispositivos de la serie PASS / SSD, el firmware está firmado digitalmente y el arranque seguro impide iniciar imágenes no auténticas.

Cambia las credenciales en el primer acceso, activa la 2FA cuando esté disponible, desactiva los servicios y puertos no utilizados, separa la red OT de la red IT, accede de forma remota solo mediante VPN cifradas (p. ej., LET’S / VPNBOX2), envía los registros a un SIEM, realiza copias de seguridad de la configuración e instala regularmente las actualizaciones de seguridad.

Desde el 20/01/2027, el fabricante de la máquina debe considerar la protección contra la corrupción y los accesos no autorizados que puedan comprometer la seguridad. Los componentes con requisitos IEC 62443-4-2 documentados, registros de intervenciones y actualizaciones trazables simplifican esta evaluación.

Sí, en dispositivos de tu propiedad y en entornos de prueba, respetando las normas indicadas en esta página: sin impacto en sistemas de producción o de terceros, sin DoS contra los servicios SENECA y sin actividades de ingeniería social. Notifica los resultados a security@seneca.it siguiendo el principio de divulgación coordinada.