La UE vigila los ciberincidentes en sistemas de refrigeración tras una nueva oleada del 1 y 2 de noviembre y recomienda a las organizaciones actuar para reducir su exposición.
La Comisión Europea, junto con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y los servicios europeos pertinentes, sigue de cerca los incidentes de ciberseguridad registrados en sistemas de refrigeración. Ante la dimensión de los ataques, considera esenciales la cooperación, el intercambio rápido de información y una respuesta coordinada a escala europea.
Se registraron nuevos incidentes los días 1 y 2 de noviembre.
Los Estados miembros afectados investigan los casos y proporcionan orientación; las redes europeas intercambian información y vigilan la situación.
El 11 de septiembre de 2026 comienza la obligación de informar sobre determinados incidentes y vulnerabilidades; los principales requisitos de ciberseguridad de la Ley de Ciberresiliencia se aplicarán desde el 11 de diciembre de 2027.
Tras la nueva oleada de incidentes de los días 1 y 2 de noviembre, ENISA, la Comisión Europea —a través de la Dirección General de Redes de Comunicación, Contenido y Tecnologías (DG CNECT)—, el Centro Europeo de Ciberdelincuencia de Europol (EC3), la Red de Equipos de Respuesta a Incidentes de Seguridad Informática de la UE (EU CSIRTs Network) y la Red Europea de Organizaciones de Enlace para las Crisis Cibernéticas (EU-CyCLONe) aconsejan a las organizaciones tomar medidas inmediatas para reducir la exposición de los sistemas afectados.
Los Estados miembros de la UE afectados conocen la situación, investigan los incidentes y ofrecen orientación. La EU CSIRTs Network, formada por los equipos designados por los Estados miembros y CERT-EU, y EU-CyCLONe, integrada por las autoridades nacionales responsables de las crisis cibernéticas, intercambian información y siguen los acontecimientos. ENISA y las partes interesadas pertinentes continuarán vigilando los incidentes y contribuyendo al conocimiento de la situación en la Unión.
Las últimas alertas de los miembros de la EU CSIRTs Network están disponibles en sus respectivos canales oficiales. ENISA mantiene una recopilación de avisos en CNW/advisories/2026/CNW-2026-05_retail-incidents.md en GitHub.
A partir del 11 de septiembre de 2026, los fabricantes de productos de hardware y software deberán notificar los incidentes graves y las vulnerabilidades explotadas activamente a través de la plataforma única de notificación de la Ley de Ciberresiliencia, conforme al Reglamento (UE) 2024/2847. La Comisión Europea ofrece información en su página sobre notificaciones en el marco de la Ley de Ciberresiliencia y ENISA en su plataforma de notificación.
Los principales requisitos de ciberseguridad establecidos por la Ley de Ciberresiliencia (CRA) se aplicarán desde el 11 de diciembre de 2027. Los fabricantes de productos de hardware y software, incluidos los productos con elementos digitales, deberán aplicar la seguridad desde el diseño y garantizar soporte de seguridad durante el ciclo de vida de esos productos, incluida la corrección de vulnerabilidades sin demora.
Las entidades comprendidas en la Directiva NIS2 (Directiva (UE) 2022/2555) deben adoptar medidas para gestionar los riesgos de ciberseguridad de sus operaciones y comunicar los incidentes significativos a su equipo nacional de respuesta a incidentes o a la autoridad correspondiente.
ENISA también contribuye a reforzar la ciberseguridad en la UE promoviendo los principios de seguridad desde el diseño y por defecto en el mercado europeo. Entre sus iniciativas figuran la publicación del manual de seguridad desde el diseño y por defecto y la elaboración periódica de avisos técnicos sobre seguridad de los productos. La agencia también respalda el intercambio de información y la cooperación previstos por la Directiva NIS2.
| Fecha o referencia | Dato |
|---|---|
| 1-2 de noviembre de 2026 | Se produjo una nueva oleada de incidentes, según el comunicado. |
| 4 de noviembre de 2026 | Fecha de publicación de la noticia. |
| 11 de septiembre de 2026 | Desde esta fecha, los fabricantes de productos de hardware y software deben notificar incidentes graves y vulnerabilidades explotadas activamente mediante la plataforma única de notificación del CRA. |
| 11 de diciembre de 2027 | Fecha a partir de la cual se aplicarán los principales requisitos de ciberseguridad del CRA. |
| Reglamento (UE) 2024/2847 | Reglamento de Ciberresiliencia (CRA) citado en el comunicado. |
| Directiva (UE) 2022/2555 | Directiva NIS2 citada en el comunicado. |
ENISA, la Comisión Europea y otros organismos aconsejan a las organizaciones actuar de inmediato para reducir la exposición de los sistemas afectados. La noticia no detalla medidas técnicas concretas; recomienda consultar las indicaciones de los equipos nacionales de respuesta a incidentes.
Las advertencias más recientes de los miembros de la red EU CSIRTs se publican en sus canales oficiales. ENISA también mantiene una recopilación de avisos en su repositorio de GitHub.
Desde el 11 de septiembre de 2026, los fabricantes de productos de hardware y software deben notificar los incidentes graves y las vulnerabilidades explotadas activamente a través de la plataforma única de notificación del Reglamento de Ciberresiliencia. Las entidades sujetas a la directiva NIS2 deben comunicar los incidentes significativos a su CSIRT o autoridad nacional. Los principales requisitos de ciberseguridad del Reglamento de Ciberresiliencia se aplicarán desde el 11 de diciembre de 2027.