Europa empezó a vigilar la seguridad de los dispositivos el 11 de septiembre de 2026 - y tu router de viaje entra
Las obligaciones de reporte del Cyber Resilience Act europeo rigen desde el 11 de septiembre de 2026 y cubren teléfonos, notebooks, smartwatches, routers y hotspots de viaje. Los fabricantes ahora deben reportar vulnerabilidades explotadas activamente con plazo, incluso en productos ya vendidos.
Una ley europea de la que casi ningún viajero escuchó hablar empezó a tener efecto el 11 de septiembre de 2026, y alcanza a casi todo el hardware que va en un equipaje de mano: teléfonos, notebooks, smartwatches, routers y esos hotspots de viaje de bolsillo que se volvieron equipamiento estándar sin que nadie lo notara.
La norma es el Cyber Resilience Act (CRA) de la Unión Europea. La mayor parte no se aplica plenamente hasta el 11 de diciembre de 2027. Pero una parte — las obligaciones de reporte del artículo 14 — está vigente desde el 11 de septiembre de 2026, y es justamente la que cambia qué pasa después de que algo sale mal en un dispositivo que ya tenés.
Qué cambió exactamente el 11 de septiembre
Según el artículo 14, el fabricante de un producto con elementos digitales debe reportar a las autoridades europeas cuando toma conocimiento de una vulnerabilidad activamente explotada en su producto o de un incidente de seguridad grave que lo afecte. Los plazos son estrictos: el informe final vence como máximo 14 días después de que exista una corrección o mitigación para una vulnerabilidad explotada activamente, y dentro de un mes para un incidente grave.
El alcance es deliberadamente amplio. Cubre aplicaciones de software, productos IoT, routers, maquinaria conectada y componentes digitales comercializados por separado: en la práctica, teléfonos, notebooks, productos de hogar inteligente, smartwatches, juguetes conectados, microprocesadores y firewalls.
Dos detalles importan para el consumidor. Primero, también aplica a productos ya presentes en el mercado europeo, no solo a modelos nuevos, así que un router que compraste hace dos años no queda afuera del régimen. Segundo, la obligación no es retroactiva: el fabricante no tiene que reportar algo que ya conocía antes del 11 de septiembre de 2026, pero todo lo que descubra desde esa fecha en adelante sí entra.
Por qué un sitio de conectividad escribe sobre un plazo regulatorio
Porque los dispositivos que te mantienen en línea en el exterior son exactamente la categoría que históricamente peor manejó esto.
Tu teléfono está bien. Apple, Google y Samsung tienen programas de seguridad maduros, publican avisos y envían parches durante años. El problema siempre fue todo lo demás que va en el bolso: el router de viaje de 25 euros comprado en un marketplace, el hotspot portátil de una marca sin página de soporte, el gadget con eSIM cuyo firmware se actualizó por última vez el mes en que salió a la venta. Esos productos están directamente en el camino de tu tráfico — cada pedido de tu notebook y de tu teléfono pasa por ahí — y hasta ahora nada obligaba al fabricante a avisarle a nadie cuando uno de ellos estaba siendo explotado activamente.
El hardware de viaje viene moviéndose en esa dirección hace rato. La eSIM está saliendo del teléfono: dongles 5G, routers de viaje y tablets ya llegan con una eSIM cargada, lo que significa más dispositivos en el bolso que guardan credenciales de conectividad y necesitan mantenimiento de firmware. Un régimen de reporte que obliga a los fabricantes a exponer la explotación activa, con plazo, es la primera presión real sobre el extremo más barato de ese mercado.
Conviene ser preciso sobre qué hace y qué no hace el CRA. No escanea tu dispositivo. No garantiza que los parches te lleguen. Crea una obligación de reportar a las autoridades, que con el tiempo fuerza a los proveedores a construir los procesos de gestión de vulnerabilidades que ya deberían haber tenido, y deja a la vista a los que no pueden hacerlo.
Qué significa en tu próximo viaje
Nada de esto cambia cómo armás la valija, pero sí cambia qué es razonable esperar de un fabricante:
- Preferí dispositivos de fabricantes con página de soporte. Después de septiembre de 2026, una empresa que vende en la UE sin proceso de gestión de vulnerabilidades es una empresa con un problema de cumplimiento. Eso ahora es una señal que podés leer.
- Actualizá el firmware antes de salir, no durante el viaje. Los routers y hotspots de viaje casi nunca se actualizan solos. Parchear en casa, sobre una conexión confiable, es lo más valioso que podés hacer.
- Menos dispositivos en el camino es más seguro. Cada router de viaje es una cosa más transportando tu tráfico y guardando credenciales. Si tu teléfono puede hacer de hotspot, tal vez el hardware extra no se esté ganando el lugar.
- Mantené la conectividad en el teléfono cuando puedas. Una eSIM de viaje como HOLASIM se instala directamente en el equipo: el dispositivo del bolso con el soporte de parches más largo y el mejor historial de seguridad, en lugar de sumar otra caja para mantener.
- Fijate si el dispositivo guarda un perfil eSIM. Si un router o una tablet tienen su propia eSIM, tratalos como a un teléfono: misma disciplina de actualización, mismo cuidado con quién lo fabricó.
El arco más amplio es que el hardware conectado está siendo arrastrado al tipo de responsabilidad que el software tiene hace años. Para quien viaja, la lectura práctica es más simple que la regulación: la cantidad de dispositivos que llevan tus datos al exterior creció en silencio, y los más baratos fueron los menos mantenidos. Un plazo de reporte en Bruselas no arregla eso por sí solo, pero es la primera vez que alguien está legalmente obligado a decir que algo está roto.
Relacionado: la eSIM más allá del teléfono: notebooks, tablets y routers y estafas con eSIM en 2026: cinco trampas.