Tu próximo coche no se vende en Europa si no está blindado contra hackers. La norma UNECE R155 ya es obligatoria y obliga a cada fabricante a demostrar que su modelo conectado resiste un ciberataque antes de salir al concesionario.
Te lo cuento claro: si una marca no certifica la ciberseguridad del coche conectado, no homologa. Y si no homologa, no matricula. Así de tajante. La medida lleva meses afectando al catálogo que ves en los escaparates de España, aunque casi nadie te lo ha contado en el momento de firmar el contrato.
Qué es la UNECE R155 y por qué te afecta a ti
La UNECE R155 (el reglamento de ciberseguridad para vehículos de la Comisión Económica de Naciones Unidas para Europa) exige a cada fabricante implantar un Sistema de Gestión de Ciberseguridad certificado. No es una recomendación: es requisito de homologación. Sin sello, el coche no se vende dentro de la Unión Europea.
El reglamento se aprobó en 2020, entró en vigor para nuevos tipos de vehículo en julio de 2022, y desde julio de 2024 aplica a todos los coches nuevos matriculados en la UE, sean o no de tipo nuevo. Puedes consultar el texto completo en la web oficial de UNECE sobre regulación de vehículos.
¿Qué cubre exactamente? Cuatro frentes: gestión de riesgos durante todo el ciclo de vida del coche, protección frente a ataques en producción, detección y respuesta a incidentes, y actualizaciones de software seguras (la famosa OTA, over-the-air, esa que te llega por aire al coche como una actualización del móvil).
Modelos populares en España afectados
Aquí se pone interesante. La norma ha obligado a varias marcas a retirar versiones del catálogo europeo porque el coste de adaptar plataformas viejas al R155 era demasiado alto. Casos sonados:
- Porsche Macan de combustión: dejó de venderse en la UE en 2024 porque adaptar su electrónica al R155 no compensaba a pocos años del relevo eléctrico.
- Audi TT y Audi R8: el final de su vida comercial coincidió con la entrada en vigor plena del reglamento.
- Renault Zoe: salió del mercado en parte por exigencias regulatorias acumuladas, R155 incluida.
- Modelos del grupo Stellantis y del grupo VAG con plataformas anteriores a 2018 que no recibieron actualización electrónica completa.
¿La consecuencia para ti? Menos variedad en gama de acceso, precios más altos en los modelos que sobreviven, y una concentración del catálogo en plataformas modernas que ya nacen ciberseguras. Si buscas un coche conectado nuevo en 2026, todos los que veas cumplen el R155 sí o sí. Eso es la buena noticia.
La lectura desde el taller y el concesionario
Y aquí va mi opinión, que para algo llevo años hablando con jefes de taller y responsables de postventa. El R155 está bien planteado en el papel pero mal explicado al cliente final. Llegas al concesionario, firmas un coche con conexión permanente, app del fabricante, actualizaciones por aire y conducción asistida, y nadie te dice que ese coche es, en la práctica, un ordenador con ruedas que recibe parches igual que tu móvil.
Eso tiene implicaciones que vas a notar. Primera: si el fabricante deja de dar soporte de ciberseguridad a tu modelo dentro de 8 o 10 años, ¿qué pasa con tu coche? El reglamento exige soporte durante toda la vida útil, pero el concepto de vida útil lo define cada marca. Segunda: una actualización de software fallida puede dejarte tirado, igual que un móvil con un parche mal aplicado. Ya ha pasado con varios modelos eléctricos premium en 2024 y 2025. Tercera: la trazabilidad de tus datos de conducción. El coche envía información a servidores del fabricante, y ahí entra en juego también el RGPD.
Hay un precedente parecido en aviación, donde la ciberseguridad de los sistemas embarcados lleva décadas regulada. La diferencia es que un piloto sabe qué firma; tú, al comprar tu utilitario, no. La Comisión Europea trabaja ya en la siguiente vuelta de tuerca, con un reglamento complementario sobre datos del vehículo previsto para revisión a lo largo de 2027. Mientras tanto, exige a tu concesionario que te explique cuántos años de soporte de software garantiza tu modelo. Es tu derecho y aún muy pocos lo preguntan.
Información útil para el conductor
- Base legal: Reglamento UNECE R155 sobre ciberseguridad de vehículos, obligatorio en la UE para todos los coches nuevos desde julio de 2024.
- Modelos retirados: Porsche Macan combustión, Audi TT, Audi R8, Renault Zoe y varias versiones con plataformas anteriores a 2018.
- Qué exige: Sistema de Gestión de Ciberseguridad certificado, actualizaciones OTA seguras, detección de incidentes y soporte durante la vida útil del coche.
- Consejo de Merca2 Motor: antes de firmar un coche conectado, pregunta por escrito cuántos años de soporte de software y parches garantiza la marca.
- Curiosidad: Japón y Corea del Sur aplican normas similares al R155, pero EE. UU. todavía no tiene un reglamento federal equivalente, lo que crea un mercado desigual entre fabricantes globales.
