La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha publicado recientemente el SME Cyber Resilience Maturity Assessment Model, un marco de evaluación acompañado de una herramienta interactiva diseñada específicamente para ayudar a las micro, pequeñas y medianas empresas (pymes) a evaluar y fortalecer la seguridad de sus productos.
Esta publicación llega en un momento clave, ya que las empresas se preparan para la entrada en vigor de la Cyber Resilience Act de la Unión Europea, cuyas obligaciones comenzarán a aplicarse en diciembre de 2027. La CRA exigirá a todos los fabricantes, importadores y distribuidores de productos con elementos digitales (tanto hardware como software) que garanticen la ciberseguridad a lo largo de todo el ciclo de vida del producto.
ENISA reconoce que las pymes conforman la mayor parte del ecosistema digital europeo, pero a menudo carecen de equipos dedicados exclusivamente a la ciberseguridad o de los recursos necesarios para implementar marcos normativos complejos. Por ello, el modelo propone un enfoque pragmático y estructurado, dividiendo la evaluación en cinco dominios clave:
- Gobernanza y documentación: Claridad en las responsabilidades y políticas aprobadas.
- Gestión de riesgos y seguridad por diseño/defecto: Identificación de amenazas desde el inicio del desarrollo.
- Gestión de vulnerabilidades y parches: Monitorización de fallos, actualizaciones y uso de listas de materiales de software (SBOM).
- Gestión del ciclo de vida del producto: Soporte continuo y transparencia con los usuarios.
- Concienciación, competencias y habilidades: Formación adecuada para el personal involucrado.
Además, acompañan un recurso interesante a la publicación. Se trata de una hoja de cálculo que sirve como herramienta de evaluación interactiva que lleva a la práctica el modelo teórico:
A través de un cuestionario de 25 preguntas, las organizaciones pueden realizar un autodiagnóstico rápido de sus prácticas actuales y permite cálculo de madurez y una hoja de ruta accionable, una vez completado el autodiagnóstico, con una lista de verificación adaptada al nivel obtenido sobre las respuestas. Esta lista, sugiere priorizar las áreas con puntuaciones más bajas, enfocándose primero en los riesgos altos y proponiendo un número manejable de acciones a completar en un plazo de 3 a 6 meses.
ENISA subraya que, aunque obtener una puntuación "avanzada" en esta herramienta no sustituye las obligaciones legales ni garantiza automáticamente el cumplimiento de la CRA, es un paso fundamental para que las organizaciones estructuren su gestión de riesgos.
Para las pymes que desarrollan o distribuyen tecnología, esta herramienta gratuita puede ser un punto de partida para adaptar sus procesos sin morir en el intento antes de 2027. Las organizaciones interesadas ya pueden descargar el modelo y comenzar a trazar su hoja de ruta hacia unos productos digitales más seguros y resilientes.
Y, como siempre, aquí estamos para lo que nos necesitéis.
En este enlace tenéis todos los recursos mencionados.
Redactado por Elena, a fecha 16 de julio de 2026.