Los dispositivos conectados se cuentan hoy en día por miles de millones en el mundo. Termostatos, relojes, altavoces, cerraduras, sensores de salud: estos dispositivos se comunican entre sí y con sus usuarios a través de internet o una red local. Su funcionamiento se basa en componentes precisos, y su multiplicación en los hogares plantea preguntas concretas de seguridad y regulación que el gran público aún conoce mal.
Cyber Resilience Act: lo que cambia la regulación europea para los dispositivos conectados
El marco regulatorio europeo ha cambiado con la entrada en vigor, el 10 de diciembre de 2024, del Cyber Resilience Act (CRA), Reglamento (UE) 2024/2847. Este texto impone requisitos obligatorios de ciberseguridad a todos los productos que contienen elementos digitales, lo que abarca casi la totalidad de los objetos conectados vendidos en el mercado europeo.
El calendario de aplicación prevé dos plazos importantes. A partir del 11 de septiembre de 2026, los fabricantes deberán declarar a las autoridades las vulnerabilidades activamente explotadas y los incidentes de ciberseguridad graves que afecten a sus productos. Luego, a partir del 11 de diciembre de 2027, un dispositivo conectado solo podrá comercializarse en la Unión Europea si cumple con el CRA y lleva un marcado CE que también atestigüe su ciberseguridad.
Concretamente, el CRA impone la seguridad desde el diseño (secure by design), la gestión de vulnerabilidades y la actualización de seguridad durante toda la vida útil prevista del producto. Las sanciones previstas pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación mundial. Para un fabricante de termostatos o bombillas conectadas, esto significa que la ciberseguridad ya no es un argumento de marketing, sino una condición de acceso al mercado.
Esta regulación sigue siendo poco conocida por el gran público, aunque va a influir directamente en la duración del soporte de software de los dispositivos disponibles en las tiendas. Un usuario que consulta la definición de dispositivos conectados en Transtec ya mide la extensión de los dispositivos afectados por estas obligaciones.
Sensores, protocolos y nube: cómo funciona un dispositivo conectado
El funcionamiento de un dispositivo conectado se basa en tres capas distintas que se comunican de manera continua.
La capa física: sensores y actuadores
Cada objeto incorpora uno o varios sensores que miden un parámetro del entorno (temperatura, movimiento, luminosidad, ritmo cardíaco). Un microcontrolador procesa estos datos localmente antes de transmitirlos. Por el contrario, un actuador ejecuta un comando: encender una lámpara, cerrar una cerradura, ajustar un termostato.
La capa de red: Wi-Fi, Bluetooth, Zigbee y más allá
La transmisión de datos se basa en protocolos inalámbricos adaptados al uso. El Wi-Fi es adecuado para dispositivos que consumen mucho ancho de banda (cámaras de vigilancia). El Bluetooth Low Energy alimenta objetos portátiles como relojes y pulseras de salud. Protocolos como Zigbee o Z-Wave, menos conocidos, sirven para redes domóticas densas donde decenas de sensores deben coexistir sin saturar el Wi-Fi doméstico.
La elección del protocolo determina directamente la autonomía de la batería, el alcance de la señal y la compatibilidad con el resto del ecosistema. Un dispositivo Zigbee no se comunica de forma nativa con una red Bluetooth, lo que a menudo obliga a pasar por una puerta de enlace (hub) o un asistente de voz centralizador.
La capa de software: nube y aplicaciones
Los datos recopilados se envían a un servidor remoto (nube) donde se almacenan, analizan y hacen accesibles a través de una aplicación móvil. Es este bucle sensor-nube-aplicación el que permite controlar un dispositivo a distancia, programar automatizaciones o recibir alertas en tiempo real.
Las opiniones sobre la fiabilidad de esta arquitectura varían. Cuando el servidor del fabricante falla o cuando la empresa cesa su actividad, el objeto puede perder parte de sus funcionalidades, e incluso volverse inutilizable. Algunos fabricantes ofrecen un funcionamiento local parcial, pero este enfoque sigue siendo minoritario.
Usos concretos de los dispositivos conectados en el hogar y la salud
Los usos domésticos representan la mayoría del mercado de consumo de objetos conectados. Tres categorías concentran la adopción.
- La gestión de la energía: termostatos conectados que aprenden los hábitos de los ocupantes, enchufes inteligentes que cortan la alimentación de los dispositivos en espera, detectores de apertura de ventana que suspenden la calefacción automáticamente.
- La seguridad del hogar: cámaras IP consultables a distancia, cerraduras conectadas con código rotativo, detectores de humo conectados al smartphone del usuario.
- El seguimiento de la salud: relojes y pulseras que miden el ritmo cardíaco, la calidad del sueño o el número de pasos, tensiómetros conectados que transmiten los datos directamente al médico tratante.
En el ámbito de la salud, la recopilación de datos personales sensibles plantea interrogantes sobre su almacenamiento y explotación. Los datos de frecuencia cardíaca registrados por un reloj pasan por los servidores del fabricante antes de llegar a la aplicación. El usuario no siempre tiene una visibilidad clara sobre la duración de conservación ni sobre los terceros que acceden a ellos.
Proteger sus objetos conectados: los gestos que realmente importan
La CNIL recuerda que los objetos conectados generan una gran cantidad de datos personales almacenados en internet, y que su seguridad también es responsabilidad del usuario. Varias medidas reducen significativamente la superficie de ataque.
- Modificar sistemáticamente la contraseña por defecto de cada dispositivo, utilizando una contraseña única y compleja.
- Actualizar el firmware tan pronto como esté disponible una nueva versión, ya que estas actualizaciones a menudo corrigen vulnerabilidades que están siendo explotadas activamente.
- Segmentar la red doméstica creando una red Wi-Fi dedicada a los dispositivos conectados, separada de la utilizada para el ordenador o el smartphone.
- Desactivar las funciones no utilizadas (micrófono, geolocalización) para limitar la recopilación de datos innecesarios.
Un dispositivo conectado cuyo firmware ya no se actualiza se convierte en un punto de entrada potencial en la red doméstica. Con la llegada del CRA, los fabricantes estarán obligados a proporcionar parches durante toda la vida útil prevista del producto, pero esta obligación no se aplicará plenamente hasta finales de 2027. Hasta entonces, verificar la política de soporte del fabricante antes de la compra sigue siendo el reflejo más confiable.
El mercado de los dispositivos conectados evoluciona bajo una doble presión: la de los usos, que se multiplican en el hogar y la salud, y la de la regulación europea, que eleva los requisitos de seguridad a un nivel sin precedentes. La elección de un objeto conectado ya no se limita a sus funcionalidades: la duración del soporte de software y la conformidad con el CRA se convierten en criterios de compra en sí mismos.