Desde el 11 de septiembre de 2026, el Cyber Resilience Act (CRA) de la Unión Europea obliga a los fabricantes de productos con elementos digitales a notificar determinadas vulnerabilidades explotadas e incidentes graves en plazos de horas, no de semanas. La primera obligación exige un aviso temprano en un máximo de 24 horas y una notificación más completa en 72 horas.
Qué ha empezado a aplicarse ahora
El CRA tiene un calendario escalonado. La obligación que entra en aplicación en septiembre de 2026 es la relativa a la notificación de vulnerabilidades explotadas activamente y determinados incidentes graves que afectan a la seguridad de productos con elementos digitales.
El resto de las obligaciones principales del reglamento, incluidos muchos requisitos de ciberseguridad del producto y el régimen general de conformidad, llegarán más adelante, el 11 de diciembre de 2027. Por eso conviene separar lo que una empresa debe preparar ahora de lo que tendrá que cumplir en la siguiente fase.
Qué significa “vulnerabilidad explotada activamente”
No basta con que exista un fallo de seguridad ni con que un investigador publique una prueba de concepto. La categoría relevante para esta obligación es una vulnerabilidad que esté siendo explotada de forma activa y que afecte a un producto con elementos digitales sujeto al reglamento.
Ese matiz cambia la respuesta operativa. El equipo de seguridad necesita poder distinguir entre una vulnerabilidad conocida, una explotación potencial y una explotación real, y debe tener un procedimiento que permita escalar el caso rápidamente cuando aparezcan evidencias suficientes.
El reloj de 24 horas
La Comisión Europea explica que el fabricante debe presentar un aviso temprano dentro de las primeras 24 horas desde que tenga conocimiento de una vulnerabilidad explotada activamente o de un incidente grave sujeto a notificación.
Después llega una notificación más completa dentro de las 72 horas. El proceso no termina ahí: para una vulnerabilidad explotada, el informe final debe presentarse como máximo 14 días después de que exista una medida correctora o de mitigación disponible; para un incidente grave, el plazo final es de un mes.
| Plazo | Qué ocurre |
|---|---|
| 24 horas | Aviso temprano del incidente o vulnerabilidad explotada. |
| 72 horas | Notificación con información más completa sobre el problema, impacto y respuesta. |
| 14 días / 1 mes | Informe final, según se trate de una vulnerabilidad explotada o de un incidente grave. |
Quién debe reaccionar
La responsabilidad no puede quedar únicamente en el equipo técnico. Un incidente de este tipo puede requerir coordinar seguridad, producto, ingeniería, legal, privacidad y dirección. El objetivo es poder decidir en minutos si el caso entra en el ámbito del CRA y quién presenta la notificación.
También conviene dejar claro quién representa al fabricante. Utilizar un proveedor externo de desarrollo o mantenimiento no elimina automáticamente las obligaciones de la empresa que pone el producto en el mercado.
Cómo se realizan las notificaciones
Las notificaciones se canalizan mediante la CRA Single Reporting Platform, operada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA). La plataforma está diseñada para centralizar el proceso y facilitar el envío de información a las autoridades correspondientes.
Esto significa que una empresa no debería esperar a sufrir el primer incidente para averiguar cómo funciona el canal. El acceso, los responsables y la información necesaria deberían estar preparados previamente.
Qué productos pueden verse afectados
El CRA cubre una categoría amplia de productos con elementos digitales: dispositivos conectados, determinados equipos de red, software y otros productos que incorporan una conexión directa o indirecta a otro dispositivo o red.
El alcance concreto depende de las definiciones y exclusiones del reglamento, por lo que no es correcto asumir que cualquier aplicación o servicio digital queda automáticamente incluido. Una empresa debe analizar su producto y su posición en la cadena de suministro antes de decidir que está fuera de alcance.
Qué deberían preparar las empresas ya
- Inventario: saber qué productos se comercializan en la UE y quién es responsable de cada uno.
- Detección: definir cómo se identifica una explotación activa.
- Escalado: establecer quién decide si un caso debe notificarse.
- Canal de reporte: tener preparado el acceso y procedimiento para la plataforma de ENISA.
- Plantillas: preparar la información técnica y organizativa que puede necesitarse.
- Pruebas: simular un incidente para comprobar que el reloj de 24 horas es asumible.
CRA, NIS2 y RGPD no son lo mismo
Un mismo incidente puede activar obligaciones diferentes. El CRA regula la ciberseguridad de productos con elementos digitales; NIS2 establece obligaciones para determinadas entidades y sectores; y el RGPD puede entrar en juego si existe una violación de datos personales.
Por eso “notificar una vez” no significa necesariamente cumplir todas las obligaciones legales. Cada régimen tiene su propio alcance, destinatarios, umbrales y plazos.
Qué llega en 2027
El 11 de diciembre de 2027 entrará en aplicación el grueso de las obligaciones del CRA. Entre ellas estarán los requisitos esenciales de ciberseguridad del producto, la gestión de vulnerabilidades durante su ciclo de vida y las obligaciones relacionadas con la evaluación de conformidad y el marcado CE.
Preparar ahora el proceso de respuesta y el inventario de productos puede servir también para esa segunda fase. La empresa que hoy no sabe qué productos tiene, qué dependencias utilizan o quién responde ante un incidente tendrá más trabajo cuando lleguen las obligaciones completas.
La clave es la velocidad de respuesta
El cambio más inmediato del CRA es operativo: una vulnerabilidad explotada puede convertirse en una obligación de notificación en cuestión de horas. No basta con tener un equipo de seguridad que encuentre fallos; hay que tener un proceso capaz de detectar, clasificar, decidir y reportar a tiempo.
Fuente principal: Comisión Europea, “Safer and more secure digital products”, publicada el 11 de septiembre de 2026. Las obligaciones de notificación del CRA se aplican desde esa fecha; las principales obligaciones del reglamento comienzan el 11 de diciembre de 2027.
Relacionado en BitZeta: Android Security State Libraries y seguridad móvil.
Fuente oficial: INCIBE-CERT.
Deja una respuesta