La parte fácil es el titular de las noticias durante las 24 horas. La Ley de Resiliencia Cibernética cambió cómo se define legalmente un “wallet”.

El titular indica la fecha y el reloj correctamente, pero no la hora adecuada.11 de septiembre de 2026, Las obligaciones de información según la Ley de Resiliencia Cibernética de la UE se convirtieron en obligatorias.La versión comprimida —“las carteras criptográficas tienen ahora 24 horas para informar sobre cualquier hackeo”— oculta dos cosas que vale la pena verificar antes de actuar en consecuencia. Las 24 horas son solo el primer paso de un proceso de tres etapas; no es el plazo completo. Además, la responsabilidad no recae en la persona que posee la cartera, sino en aquel que la creó.

Lea el texto completo de la información, ya que el número que vio en el titular representa solo una parte de una obligación mucho más grande.

El titular del artículo se ha suavizado.

La Ley de Resiliencia Cibernética – formalmenteRegulación (UE) 2024/2847– Exige que cualquier fabricante de un producto cubierto presente una solicitud correspondiente.Una plataforma a nivel de la UE que conecta a los equipos nacionales de respuesta a incidentes de seguridad informática y a ENISA.La agencia de ciberseguridad de la UE. El factor que activa la medida es el conocimiento, no la confirmación: un fabricante se “da cuenta” cuando alcanza cierto nivel de información.Un grado razonable de certeza después de una evaluación inicial.Sin esperar a todos los detalles técnicos.

Desde ese momento, el reloj funciona en tres etapas:

• 24 horas — Una advertencia temprana con información preliminar y si se sospecha de actividad malintencionada.;
• 72 horas– Una notificación más completa, con una evaluación inicial y medidas de mitigación.
• Informe final– En el caso de una vulnerabilidad que sea explotada activamente, dentro de 14 días desde la disponibilidad de una medida correctiva; en el caso de un incidente grave, dentro de un mes.

Así que “24 horas para reportar un hackeo” es una información real, pero incompleta. Las 24 horas ofrecidas por el fabricante son menos que lo necesario para elaborar un informe completo sobre el incidente. Se abre un archivo con esa información. El informe completo se recibe unos días después, y el contenido relevante para la acción —es decir, las correcciones y las notificaciones— puede durar hasta un mes.

También es necesario ajustar correctamente el alcance de la regulación, ya que ésta abarca a cualquier fabricante que lleve a cabo la producción de productos con elementos digitales en el mercado de la UE.Independientemente del lugar donde se encuentre ese fabricante.Un fabricante de carteras en California, que vende sus productos a Europa, es considerado un “fabricante” aquí.Se debe designar un punto de contacto en la UE.La aplicación de las sanciones es explícitamente transfronteriza. Además, existe una categoría especial que aumenta la importancia de estas sanciones: las infracciones relacionadas con el manejo de la vulnerabilidad y la denuncia de incumplimientos pueden conllevar multas hasta…15 millones de euros, o el 2.5% del volumen anual de negocios mundial total.El que sea mayor.

Si comparamos esos dos hechos uno con otro, la lectura casual se vuelve comprensible: no se trata de “tu billetera que ahora debe presentar documentos”. Se trata de “el fabricante de tu billetera, quien ahora tiene una obligación de reportar información importante y vinculante ante un regulador, con quien quizás nunca haya tenido contacto”.

Cambio de identidad

Esta es la cambio que importa para cualquier persona que tenga o evalúe un negocio relacionado con monedas electrónicas. Se trata de un cambio en la identidad legal, no en el marketing. Represente el antes y el después como dos columnas separadas.

Antes de la fecha efectiva.Un monedero es un código que se ejecuta. “No son tus claves, no son tus monedas” no era solo un eslogan; era la realidad legal. La seguridad es tu problema, y la responsabilidad del fabricante hacia ti es una cuestión relacionada con las garantías del producto, no con las regulaciones de los organismos gubernamentales. Un monedero no custodiado puede tocar tus claves; el fabricante está sujeto al derecho civil, si acaso existe tal cosa, y no está sujeto a ninguna autoridad de la UE en ningún plazo establecido.

Después de la fecha de entrada en vigor.En la medida en que el producto se encuentre dentro del alcance de la normativa, el fabricante es un fabricante de productos regulados, con la obligación de enviar una alerta temprana en 24 horas a los CSIRT nacionales y a ENISA, tan pronto como una vulnerabilidad cubierta sea explotada activamente. El titular obtiene una forma de reportar los incidentes; el fabricante, por su parte, cuenta con una norma de cumplimiento, con un límite máximo para las multas.

Toda la cuestión —la que determina cuánto realmente cuesta esto— es…Quién está en la caja de “fabricante”..

Las carteras de hardware son el caso más claro. Son dispositivos físicos con elementos digitales, vendidos en la UE.Es, en esencia, un producto que incluye elementos digitales.La entidad que lo comercializa es un fabricante. Esto no es ambiguo, y no es algo nuevo: estas empresas ya realizan certificaciones de seguridad.

Las carteras de software monetizadas también están dentro del alcance. Una cartera distribuida a través de una tienda de aplicaciones, que genera comisiones o ofrece un nivel premium, se considera un producto que se produce en el marco de una actividad comercial. El software, por su parte, es un producto que contiene elementos digitales.

La parte de código abierto es donde se encuentra el límite honesto. El software gratuito y de código abierto que se proporciona para su distribución o uso…No están monetizados, no tienen el propósito de generar beneficios.– Pero la prueba se refiere a “actividad comercial”. Es una prueba delicada: en el momento en que un cartera cobra un precio, o muestra intención de monetizar algo, o recibe donaciones que superan sus costos, entonces entra en el ámbito de la prueba. Una “asignación comunitaria” no es lo mismo que una conclusión de que no hay actividad comercial. La exención protege el modelo descentralizado puro… y nada más.

Y luego está la categoría que no se ajusta a las condiciones establecidas por la ley. El CRA fue creado para productos que se envían, se actualizan y tienen un período de soporte definido. Los códigos de smart-contracts y de custodia completamente basados en la cadena de bloques no tienen ningún botón de actualización, por diseño. Este es el verdadero problema del sistema: un producto inmutable bajo una ley basada en la posibilidad de actualizaciones. ¿Cómo son las directrices de implementación de la Comisión?Publicado en julio de este año.Y es explícitamente no vinculante. Se establece que la colisión es la variable en la cual depende toda la interpretación criptográfica de esta ley.

Lo que hace con el dinero

Si se elimina toda la dramatización, entonces las cuestiones relacionadas con la economía son simplemente una cuestión de costos de cumplimiento. Y los costos de cumplimiento, en términos monetarios, son costos fijos distribuidos entre las unidades producidas.

El marco de informes de 24 horas, la responsabilidad de manejar las vulnerabilidades, el deber de apoyo durante el período establecido, y el trabajo relacionado con la conformidad que llega con…Aplicabilidad completa en diciembre de 2027Todo esto aumenta el costo de servir a los comerciantes minoristas en la UE. Para un negocio grande y con recursos suficientes –como un proveedor de hardware que cuenta con presupuesto para obtener certificaciones, o una unidad de cartera de una billetera electrónica dentro de un sistema ya regulado–, ese costo es algo que debe ser asumido. Pero para un proyecto pequeño que se autogestiona, ese costo puede hacer que el producto no pueda competir en el mercado de la UE o no pueda ser vendido directamente al público. Esa asimetría representa una ventaja para los proveedores regulados: las regulaciones hacen que los proveedores con recursos suficientes sean relativamente más económicos por usuario, mientras que los proyectos pequeños son más costosos.

Dos advertencias importantes ayudan a equilibrar la situación. Primero, la exposición directa en los mercados estadounidenses es muy limitada: las grandes empresas especializadas en hardware son privadas, y las empresas que operan en el mercado europeo también tienen que soportar un costo adicional relacionado con el régimen MiCA, en lugar de ser consideradas como un factor independiente que influye en el mercado. Se trata de un problema estructural, que involucra costos y barreras a largo plazo, y no de un cambio en un solo valor bursátil. Segundo, las dos cuestiones mencionadas anteriormente – ¿qué se considera actividad comercial para las carteras de código abierto? Y si las carteras inteligentes basadas en contratos en la red pueden realmente satisfacer los requisitos de actualización– todavía no están resueltas. Las orientaciones no vinculantes no son leyes, y no son definitivas.

Condición de pausa

Guarde un hecho en el escritorio. Si la orientación final de la Comisión confirma formalmente que las carteras de software, no monetizadas y relacionadas con la cadena, se consideran como algo que está fuera de los “productos con elementos digitales” – una exención suficientemente grande para reducir los costos y las barreras de acceso en el segmento descentralizado – entonces la tesis de concentración es prematura, pero no errónea: tanto el hardware como la parte de software monetizado del mercado están dentro del alcance de esta teoría.

Hasta ese momento, la cadena es estable y segura. La fecha es el 11 de septiembre de 2026; el plazo para la presentación de informes es de 24 horas a 72 horas hasta un mes. Las multas pueden alcanzar los 15 millones de euros o el 2,5% del volumen de negocios mundial. El reglamento obliga a cualquier fabricante que venda productos incluidos en la lista a estar en la UE, desde cualquier lugar del mundo. La cifra indicada en la primera columna ya dice todo. La segunda columna indica quién debe pagar la multa. Lea la segunda columna antes de decidir qué significa lo que dice la primera columna para una empresa o para una cartera que usted posee.