Plazo de 24 horas en la UE para las carteras criptográficas: Seguridad del producto, no vigilancia.

El 11 de septiembre de 2026, se puso en marcha una regla europea que parece ser un aviso para cualquiera que tenga criptomonedas:Las carteras criptográficas comerciales vendidas en la UE deben notificar a las autoridades cibernéticas dentro de 24 horas después de ser hackeadas.Si guardas monedas en una cartera de hardware o software, la situación puede parecer como si el estado estuviera vigilando tu dinero. Pero en realidad no es así. Lo que realmente cambia es no cómo manejas las criptomonedas, sino quién puede permitirse venderte ese dispositivo. Y esa diferencia es lo que merece la atención de un inversor.

Lo que realmente abarca el reloj de 24 horas

La regla proviene de la Ley de Resiliencia Cibernética de la UE.Ley horizontal (Regulación UE 2024/2847)Este reglamento considera que cualquier “producto con elementos digitales” –como los teléfonos inteligentes, dispositivos industriales, routers y equipos de cartera– necesita contar con medidas de seguridad informática antes de poder estar legalmente disponible en el mercado europeo. La obligación de notificar los incidentes ocurre dentro de las 24 horas: una vez que un fabricante se entera de una vulnerabilidad que está siendo explotada o de un incidente de seguridad grave, debe presentar una advertencia preliminar en un plazo de 24 horas, una notificación completa en un plazo de 72 horas y un informe final en dos semanas (para un defecto) o en un mes (para un incidente).A través de la Plataforma Única de Reporte de ENISA.

El punto crucial es lo que se informa. El fabricante revela un problema de seguridad en su propio producto: un módulo de firma comprometido, un canal de actualización violado. No informa sobre tus transacciones, saldos o direcciones. Esto no se trata de un régimen contra el lavado de dinero o de impuestos; se trata de una ley de la UE que tiene como objetivo el aspecto financiero de las criptomonedas. La Ley de Resiliencia Cibernética es una ley de seguridad de productos; está más relacionada con las normas de marcado CE, que determinan si un juguete es seguro, y no con la vigilancia de las claves que utilizas. El estado es responsable de asegurarse de que el producto que vende sea seguro, y no vigila lo que haces con él.

Crypto era el caso excepcional para el cual se creó la ley.

Porque hay que tener en cuenta las consecuencias de este producto en particular. Un router hackeado puede revelar datos de tráfico; un cartera de hardware hackeada puede permitir que el atacante obtenga las claves privadas del usuario, y con ellas, los fondos del usuario, de forma inmediata e irreversible. Las carteras criptográficas están cerca del caso extremo para el cual existe una ley de seguridad de productos: una vulnerabilidad explotada con una pérdida directa, uno-a-uno.

Esa es también la razón por la cual el umbral de activación del reglamento funciona de verdad. El reloj de 24 horas no comienza en el momento en que un vendedor sospecha algo extraño, o escucha un rumor de parte de una tercera parte. Solo comienza cuando el fabricante…“Grado razonable de certeza”La vulnerabilidad es real y está siendo explotada. La gestión de esa situación, 24 horas al día, por parte de los proveedores que quizás no te informen de ello de inmediato, representa un nuevo costo fijo.

Hay algo que es estructuralmente familiar aquí, si seguimos las “vías de dinero”. La idea original de la autocustodia era que funcionara sin intermediarios regulados: sin bancos, sin exchanges, simplemente tú y tus llaves. La Ley de Resiliencia Cibernética no afecta a tus llaves, a la red o a tu derecho a la autocustodia. Lo que hace es llevar silenciosamente a la empresa que fabrica y vende el “monedero” al mismo nivel de seguridad que todos los proveedores de routers en Europa. El estado no se encarga de tomar el control; simplemente decide quién puede vender esa tecnología. Así, un nicho de productos de tipo “gris” se convierte en un producto regulado normal: no por confiscación, sino por trámites administrativos y responsabilidades legales.

La cumplimiento como barrera defensiva

En cuanto a los costos de devolución, se trata más bien de un problema relacionado con los costos y la consolidación, que con una situación basada en precios de monedas. Cumplir con las obligaciones de información es muy difícil para una pequeña empresa, pero no tanto para una empresa con suficiente capital. La necesidad de contar con personal disponible las 24 horas del día para gestionar incidentes, determinar qué versiones de un producto tienen los clientes europeos, y crear un proceso de archivo según los requisitos de ENISA son costos fijos que una empresa grande puede soportar, mientras que una startup de tres personas apenas puede hacerlo. Este tipo de regulación suele funcionar como un “muro” que protege al mercado: consolida el mercado hacia aquellos que pueden costearse los costos legales y los riesgos legales correspondientes.

La advertencia importante es que la mayoría de las empresas que fabrican carteras de monedas directas –como Ledger y Trezor– son privadas. Por lo tanto, hay poca exposición pública de las empresas ganadoras y perdedoras en este ámbito. La principal empresa pública dedicada a carteras de monedas es Coinbase. Pero la Ley de Resiliencia Cibernética representa una medida de cumplimiento dentro de un negocio mucho más grande relacionado con las criptomonedas, pero no es algo que pueda cambiar radicalmente la situación actual. No se trata de una recomendación para “comprar las empresas que fabrican carteras”, sino de una situación en la que los márgenes de ganancias y el acceso al mercado están siendo redistribuidos. La forma de observar esto es a través de empresas capitalizadas que consideran el cumplimiento como algo relacionado con la distribución de productos, y no como un impuesto.

Y el plazo de septiembre es solo la primera cuota. El régimen completo entrará en vigor el 11 de diciembre de 2027:Requisitos de seguridad desde el diseño y de seguridad por defecto; compromiso de mantener los parches de seguridad para el transporte durante al menos cinco años.Una marca de seguridad CE y evaluaciones de riesgos son necesarias antes de que una cartera pueda vender legalmente en la UE. Es allí donde la curva de costos realmente se inclina hacia arriba. Detrás de esto existe un sistema de sanciones para aquellos que no informan sobre los errores que ocurren.15 millones de euros, o el 2.5 por ciento del volumen de negocios anual mundial.Es un tipo de número que determina cuán seriamente una empresa de hardware toma en consideración un programa para detectar vulnerabilidades.

Lea esto de manera clara: esta ley no se refiere a la vigilancia de las monedas de las personas, ni al fin de la autocustodia. Es el hecho de que la UE decida que venderle una caja donde se guardan los dineros de alguien es una actividad para la cual el estado tendrá que responsabilizar a esa persona. Además, la competencia en materia de seguridad de una empresa pasa ahora a formar parte de su costo total. Ya sea que esto se interprete como una forma de fomentar la confianza (al revelar y regular las infracciones), o como una presión sobre las pequeñas empresas, lo importante es que el cambio duradero ocurre bajo los titulares de los medios: la capa intermedia de las criptomonedas está siendo tratada como un producto que debe ser regulado, y no como una zona sin leyes. Los inversionistas que antes valoraban la autocustodia como algo similar al “Oeste salvaje” deben comenzar a considerarla como un mercado complejo y exigente en términos de cumplimiento legal. En ese caso, los ganadores no son las marcas más famosas, sino aquellas que son lo suficientemente fuertes para superar las normas.