La nueva ley cibernética de la UE obliga a los fabricantes de billeteras cripto a reportar fallas en 24 horas

La Ley de Resiliencia Cibernética de la Unión Europea entró en vigor el viernes 11 de septiembre de 2026, y con ella llega una obligación legal que cambiará la forma en que los fabricantes de billeteras cripto manejan las fallas de seguridad: reportar vulnerabilidades activamente explotadas dentro de un plazo de 24 horas o enfrentar multas que pueden alcanzar decenas de millones de euros. La norma aplica a proveedores de billeteras de hardware y software, entre ellos Trezor, Ledger, BitBox y Zilliqa, y llega en un momento en que la industria de las billeteras ya venía siendo puesta a prueba por una serie de filtraciones y campañas de phishing.

Un reloj de cumplimiento con dientes reales

La Ley de Resiliencia Cibernética no es una declaración vaga de principios. Establece una secuencia estricta de plazos que los fabricantes de cualquier “producto con elementos digitales” vendido en la UE deben cumplir ahora una vez que una vulnerabilidad está siendo explotada activamente. Se exige una alerta temprana dentro de las 24 horas posteriores a que la empresa toma conocimiento del problema. Una notificación más completa debe llegar dentro de las 72 horas. Una vez disponibles las medidas correctivas, se requiere un informe final en un plazo de 14 días, y para los incidentes más graves, las compañías tienen hasta un mes para entregar ese informe definitivo.

El incumplimiento sale caro. Según los artículos 13 y 14 del reglamento, las empresas que no cumplan enfrentan multas de hasta 15 millones de euros (17.3 millones de dólares) o el 2.5% de su facturación anual mundial, lo que resulte mayor. Existe una sanción separada de hasta 5 millones de euros si una compañía presenta información incorrecta, incompleta o engañosa. Como la ley cubre cualquier producto digital vendido en el mercado europeo, su alcance va mucho más allá del sector cripto, pero su impacto sobre los fabricantes de billeteras es inmediato y específico, dado lo central que son estos dispositivos y aplicaciones para resguardar claves privadas y fondos de los usuarios.

Por qué los reguladores actuaron ahora

El momento elegido no es casual. La industria de las billeteras pasó los últimos meses lidiando con una serie de incidentes de seguridad que expusieron lo frágil que puede ser la cadena de suministro alrededor de la custodia de criptomonedas. Trezor reveló que una filtración de datos en su socio de envíos, ShipMonk, divulgada el 4 de septiembre, terminó afectando a 67,000 clientes adicionales en Estados Unidos, una revisión muy por encima de la estimación inicial de apenas 14,000 víctimas. Por otro lado, campañas de phishing apuntaron tanto a clientes de Trezor como de BitBox a través de servicios de correo electrónico de terceros comprometidos, explotando la confianza en las comunicaciones habituales de las cuentas. En junio, Zilliqa reveló una vulnerabilidad en una aplicación de Ledger que podría haber expuesto claves privadas a través de datos onchain, un recordatorio de que el riesgo en esta industria no se limita al hardware en sí, sino que se extiende al software y los servicios construidos a su alrededor.

Estos incidentes reflejan un patrón más amplio de debilidades en los bordes de la industria, donde atacantes explotan cada vez más a las personas y los procesos que rodean a billeteras y exchanges, y no solo la criptografía en sí misma.

Qué cambia en la práctica la nueva norma

Para los usuarios de criptomonedas, la Ley de Resiliencia Cibernética no elimina el riesgo, pero sí formaliza expectativas que antes dependían de la buena voluntad y del criterio de relaciones públicas de cada empresa. Los fabricantes de billeteras ya no pueden decidir, según su propio calendario, cuándo y cómo divulgar una falla activamente explotada que afecte a clientes en la UE. La ley convierte lo que antes era un cálculo de reputación en un plazo legal respaldado por sanciones económicas.

Esto importa porque las consecuencias de una divulgación tardía en esta industria no son abstractas. Las billeteras contienen las claves privadas que controlan el acceso a los activos cripto, y una vulnerabilidad no reportada, incluso brevemente, puede dejar una ventana amplia para los atacantes. La estructura escalonada de la ley —una alerta temprana en 24 horas, un informe más completo en 72 horas y un reporte detallado de seguimiento una vez que existen soluciones— busca reducir esa ventana sin dejar de dar a las empresas margen para investigar antes de emitir declaraciones públicas generales.

La norma también se aplica de manera uniforme sin importar el tamaño o la reputación de la empresa, lo que pone a los fabricantes más pequeños de billeteras bajo la misma presión de cumplimiento que a los actores ya establecidos. Esto podría elevar los costos operativos de toda la industria, en particular para las firmas que no cuentan con equipos dedicados de seguridad y asuntos legales preparados para responder rápido ante un incidente.

Qué observar de aquí en adelante

• Si algún fabricante de billeteras enfrenta acciones de cumplimiento o multas bajo los nuevos plazos en los próximos meses, lo que marcaría un referente práctico sobre qué tan estrictamente se aplica la norma.
• Cómo estructuran las empresas sus divulgaciones públicas de vulnerabilidades de aquí en adelante, dado el riesgo de sanciones separadas de hasta 5 millones de euros por informes incompletos o engañosos.
• Si el patrón más amplio de incidentes de cadena de suministro y phishing lleva a un mayor escrutinio de la UE sobre los proveedores externos que utilizan los fabricantes de billeteras.
• Si otras jurisdicciones fuera de la UE avanzan hacia plazos obligatorios similares de reporte para proveedores de hardware y software cripto, un debate que también resuena en Estados Unidos, donde el Senado discute la reescritura de la ley cripto CLARITY horas antes de una votación clave y un asesor de la Casa Blanca se muestra confiado respecto a su aprobación.

Para los usuarios de billeteras cripto en América Latina, la relevancia es directa aunque indirecta: gran parte del hardware y software que circula en la región —desde dispositivos Trezor y Ledger hasta aplicaciones asociadas— es fabricado o distribuido por las mismas compañías que ahora deben cumplir con estos plazos europeos. Si bien la ley no rige fuera de la UE, las prácticas de seguridad que estas empresas adopten para cumplir con Bruselas suelen extenderse a nivel global, lo que podría traducirse en alertas más rápidas y transparentes también para quienes custodian sus ahorros en dólares digitales o criptomonedas desde México, Argentina, Colombia, Chile o Perú.

Fuente: Cointelegraph

Este contenido es informativo y no constituye consejo financiero ni de inversión.