Robot cortacésped conectado: desde el 11 de septiembre de 2026 el fabricante tiene que avisar de un fallo explotado, pero nadie le obliga aún a decir hasta cuándo lo actualizará

Qué empieza hoy: 24 horas para dar la alarma

El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act, está en vigor desde diciembre de 2024, pero se aplica por tramos. El primero que afecta al comprador arranca el 11 de septiembre de 2026: su artículo 14.

Desde esa fecha, el fabricante que conozca una vulnerabilidad explotada activamente en uno de sus productos debe enviar una alerta temprana en 24 horas, una notificación completa en 72 y un informe final como tarde 14 días después de tener lista la corrección. Los destinatarios son el CSIRT nacional designado como coordinador y ENISA, la agencia europea de ciberseguridad. Y tiene que avisar a los usuarios afectados.

Vale también para el robot que ya tiene en el jardín

El resto del reglamento solo alcanza a los productos puestos en el mercado a partir del 11 de diciembre de 2027. La obligación de notificar, no: el artículo 69 la extiende de forma expresa a todo lo vendido antes.

En nuestra base figuran siete modelos de 2023. Entran igual que los de este año, siempre que se conecten a algo: una aplicación, una red wifi o una tarjeta 4G. Un robot sin ninguna conexión de datos queda fuera del reglamento, porque no tiene nada que notificar.

Un robot cortacésped también se hackea

En agosto de 2024, dos investigadores mostraron en la conferencia DEF CON que los robots de Ecovacs podían tomarse por Bluetooth, y analizaron entre ellos el cortacésped Goat G1, cuyo Bluetooth permanece activo en todo momento. En los cortacésped, además, el PIN antirrobo se guardaba sin cifrar dentro de la máquina. La primera respuesta de la marca fue que no pensaba corregir esos fallos.

En mayo de 2026 se publicó otro caso, el del Yarbo, un robot de jardín que no figura en nuestra base: se podía manejar a distancia y acceder a lo que filmaban sus cámaras.

Lo que su robot sabe de usted: cámara, posición y tarjeta SIM

De los 60 robots de nuestra base:

• 31 llevan cámara para orientarse o esquivar obstáculos, y 28 de ellos son modelos de 2025 o 2026. Ver la selección de visión por cámara.
• 43 llevan localizador GPS: su posición sale del jardín por definición. 27 de ellos tienen también cámara.
• 20 incluyen 4G de serie y 6 lo ofrecen como opción. Quince de los veinte con 4G incluido llevan además cámara.

Un robot con cable perimetral, sin cámara y sin localizador tiene mucho menos que proteger. Cuenta en una parcela pequeña; no descarta la visión en una grande.

Lo que todavía no le garantiza nadie

A partir del 11 de diciembre de 2027, el fabricante tendrá que fijar un periodo de soporte de al menos cinco años, como regla general, e indicar en el momento de la compra, con mes y año, hasta cuándo recibirá el robot actualizaciones de seguridad. Hoy no está obligado a hacerlo.

Por eso ese dato no figura en nuestra base. Otra fecha sí conviene mirarla ya: en once de los veinte modelos con 4G incluido, la conectividad está cubierta tres años, como detalla la selección con 4G. Pregunte qué pasa con las actualizaciones cuando esa tarjeta deje de estar pagada.

Qué hacer según su caso

• Ya tiene un robot con aplicación. Deje activadas las actualizaciones automáticas y cambie el PIN de fábrica. Si el fabricante le escribe por un fallo, léalo: ya es una obligación legal.
• Va a comprar un modelo con cámara o 4G. Pregunte por escrito durante cuántos años habrá actualizaciones de seguridad. Una marca que no sabe contestar ya le está diciendo algo.
• Parcela pequeña, pegada a la casa. No pague cámara ni 4G pensando en la seguridad: son conexiones que proteger sin que le hagan falta. Un modelo con cable sigue siendo la opción más sobria.
• Le preocupa más el robo que el hackeo. El localizador que protege de uno expone al otro; el robo lo tratamos en la guía antirrobo.
• Puede esperar a 2028. Los robots puestos a la venta desde diciembre de 2027 tendrán que indicar la fecha de fin de soporte en el momento de la compra.