La Comisión Europea, junto con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y los servicios europeos pertinentes, sigue de cerca los incidentes de ciberseguridad registrados en sistemas de refrigeración. Ante la dimensión de los ataques, considera esenciales la cooperación, el intercambio rápido de información y una respuesta coordinada a escala europea.
Claves de la noticia
Nueva oleada
Se registraron nuevos incidentes los días 1 y 2 de noviembre.
Respuesta europea
Los Estados miembros afectados investigan los casos y proporcionan orientación; las redes europeas intercambian información y vigilan la situación.
Obligaciones regulatorias
El 11 de septiembre de 2026 comienza la obligación de informar sobre determinados incidentes y vulnerabilidades; los principales requisitos de ciberseguridad de la Ley de Ciberresiliencia se aplicarán desde el 11 de diciembre de 2027.
Investigación y coordinación europea
Tras la nueva oleada de incidentes de los días 1 y 2 de noviembre, ENISA, la Comisión Europea —a través de la Dirección General de Redes de Comunicación, Contenido y Tecnologías (DG CNECT)—, el Centro Europeo de Ciberdelincuencia de Europol (EC3), la Red de Equipos de Respuesta a Incidentes de Seguridad Informática de la UE (EU CSIRTs Network) y la Red Europea de Organizaciones de Enlace para las Crisis Cibernéticas (EU-CyCLONe) aconsejan a las organizaciones tomar medidas inmediatas para reducir la exposición de los sistemas afectados.
Los Estados miembros de la UE afectados conocen la situación, investigan los incidentes y ofrecen orientación. La EU CSIRTs Network, formada por los equipos designados por los Estados miembros y CERT-EU, y EU-CyCLONe, integrada por las autoridades nacionales responsables de las crisis cibernéticas, intercambian información y siguen los acontecimientos. ENISA y las partes interesadas pertinentes continuarán vigilando los incidentes y contribuyendo al conocimiento de la situación en la Unión.
Las últimas alertas de los miembros de la EU CSIRTs Network están disponibles en sus respectivos canales oficiales. ENISA mantiene una recopilación de avisos en CNW/advisories/2026/CNW-2026-05_retail-incidents.md en GitHub.
Obligaciones de ciberseguridad y notificación
A partir del 11 de septiembre de 2026, los fabricantes de productos de hardware y software deberán notificar los incidentes graves y las vulnerabilidades explotadas activamente a través de la plataforma única de notificación de la Ley de Ciberresiliencia, conforme al Reglamento (UE) 2024/2847. La Comisión Europea ofrece información en su página sobre notificaciones en el marco de la Ley de Ciberresiliencia y ENISA en su plataforma de notificación.
Los principales requisitos de ciberseguridad establecidos por la Ley de Ciberresiliencia (CRA) se aplicarán desde el 11 de diciembre de 2027. Los fabricantes de productos de hardware y software, incluidos los productos con elementos digitales, deberán aplicar la seguridad desde el diseño y garantizar soporte de seguridad durante el ciclo de vida de esos productos, incluida la corrección de vulnerabilidades sin demora.
Las entidades comprendidas en la Directiva NIS2 (Directiva (UE) 2022/2555) deben adoptar medidas para gestionar los riesgos de ciberseguridad de sus operaciones y comunicar los incidentes significativos a su equipo nacional de respuesta a incidentes o a la autoridad correspondiente.
ENISA también contribuye a reforzar la ciberseguridad en la UE promoviendo los principios de seguridad desde el diseño y por defecto en el mercado europeo. Entre sus iniciativas figuran la publicación del manual de seguridad desde el diseño y por defecto y la elaboración periódica de avisos técnicos sobre seguridad de los productos. La agencia también respalda el intercambio de información y la cooperación previstos por la Directiva NIS2.
La noticia en cifras
| Fecha o referencia | Dato |
|---|
| 1-2 de noviembre de 2026 | Se produjo una nueva oleada de incidentes, según el comunicado. |
| 4 de noviembre de 2026 | Fecha de publicación de la noticia. |
| 11 de septiembre de 2026 | Desde esta fecha, los fabricantes de productos de hardware y software deben notificar incidentes graves y vulnerabilidades explotadas activamente mediante la plataforma única de notificación del CRA. |
| 11 de diciembre de 2027 | Fecha a partir de la cual se aplicarán los principales requisitos de ciberseguridad del CRA. |
| Reglamento (UE) 2024/2847 | Reglamento de Ciberresiliencia (CRA) citado en el comunicado. |
| Directiva (UE) 2022/2555 | Directiva NIS2 citada en el comunicado. |
Preguntas sobre la noticia
¿Qué medidas se recomienda tomar ante los incidentes?
ENISA, la Comisión Europea y otros organismos aconsejan a las organizaciones actuar de inmediato para reducir la exposición de los sistemas afectados. La noticia no detalla medidas técnicas concretas; recomienda consultar las indicaciones de los equipos nacionales de respuesta a incidentes.
¿Dónde pueden consultarse las advertencias oficiales?
Las advertencias más recientes de los miembros de la red EU CSIRTs se publican en sus canales oficiales. ENISA también mantiene una recopilación de avisos en su repositorio de GitHub.
¿Qué obligaciones de notificación se mencionan?
Desde el 11 de septiembre de 2026, los fabricantes de productos de hardware y software deben notificar los incidentes graves y las vulnerabilidades explotadas activamente a través de la plataforma única de notificación del Reglamento de Ciberresiliencia. Las entidades sujetas a la directiva NIS2 deben comunicar los incidentes significativos a su CSIRT o autoridad nacional. Los principales requisitos de ciberseguridad del Reglamento de Ciberresiliencia se aplicarán desde el 11 de diciembre de 2027.
Si (
No(