Tres meses para el primer plazo del CRA que se hace sentir
Buena parte del Reglamento de Ciberresiliencia (CRA, por sus siglas en inglés) todavía parece lejana. El Reglamento (UE) 2024/2847 se aplica íntegramente desde el 11 de diciembre de 2027, y esa es la fecha que la mayoría de los equipos de producto tienen en sus planes para los requisitos de seguridad desde el diseño, la evaluación de la conformidad y el marcado CE.
Pero una obligación llega mucho antes. Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben notificar a las autoridades las vulnerabilidades activamente explotadas y los incidentes graves. Esa obligación no se limita a los productos nuevos: abarca también los productos conectados que ya están en el mercado. Para una empresa que vende dispositivos domóticos, juguetes conectados, dispositivos ponibles o cualquier otro producto con software o conexión a una red, quedan ahora tres meses para poner en marcha un proceso que funcione en 24 horas.
Las tres fechas del CRA
El artículo 71, apartado 2, del CRA establece tres fechas de aplicación:
- 11 de junio de 2026: se aplica el capítulo IV (artículos 35 a 51), sobre la notificación de los organismos de evaluación de la conformidad. Es la base para los organismos que evaluarán más adelante las clases de productos más críticas.
- 11 de septiembre de 2026: se aplica el artículo 14, las obligaciones de notificación de los fabricantes.
- 11 de diciembre de 2027: se aplica el resto del Reglamento, incluidos los requisitos esenciales de ciberseguridad del anexo I.
El CRA define el producto con elementos digitales como «un producto de software o de hardware y sus soluciones de tratamiento de datos a distancia», incluidos los componentes que se introduzcan en el mercado por separado. En la práctica, esto abarca la mayoría de los productos de consumo que se conectan a un teléfono, a una red o a la nube.
Qué hay que notificar
El artículo 14 crea dos deberes de notificación.
Vulnerabilidades activamente explotadas (artículo 14, apartado 1). El fabricante debe notificar cualquier vulnerabilidad activamente explotada de su producto de la que tenga conocimiento. El CRA define la vulnerabilidad activamente explotada como aquella «de la que existen pruebas fehacientes de que un agente malicioso la ha explotado en un sistema sin permiso del propietario del sistema». Una vulnerabilidad detectada en sus propias pruebas y que nadie ha explotado no está cubierta por este deber obligatorio, aunque el artículo 15 permite la notificación voluntaria.
Incidentes graves (artículo 14, apartado 3). El fabricante debe notificar también cualquier incidente grave que repercuta en la seguridad del producto. El artículo 14, apartado 5, considera que un incidente es grave cuando afecta, o puede afectar, a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes, o cuando ha dado lugar, o puede dar lugar, a la introducción o ejecución de código malicioso en el producto o en los sistemas de redes y de información de un usuario.
24 horas, 72 horas, 14 días y un mes
Ambos deberes siguen un calendario escalonado, establecido en el artículo 14, apartados 2 y 4:
| Etapa | Vulnerabilidad activamente explotada | Incidente grave |
|---|---|---|
| Alerta temprana | En las 24 horas siguientes a tener conocimiento | En las 24 horas siguientes a tener conocimiento |
| Notificación | En las 72 horas siguientes, con información general sobre el producto, la explotación y las medidas correctoras o paliativas | En las 72 horas siguientes, con una evaluación inicial y las medidas adoptadas |
| Informe final | A más tardar 14 días después de que se disponga de una medida correctora o paliativa | En el plazo de un mes desde la notificación del incidente |
La alerta temprana debe indicar, cuando proceda, los Estados miembros en los que el fabricante sepa que se ha comercializado el producto. En el caso de los incidentes, debe indicar además si se sospecha que ha sido causado por actos ilícitos o malintencionados. El CSIRT que recibe la notificación puede solicitar un informe de situación intermedio (artículo 14, apartado 6).
La notificación a las autoridades es solo la mitad del trabajo. Con arreglo al artículo 14, apartado 8, el fabricante debe informar además a los usuarios afectados y, cuando proceda, a todos los usuarios, de la vulnerabilidad o del incidente y de las medidas que pueden adoptar para reducir su repercusión.
Adónde van las notificaciones
Las notificaciones se presentan a través de la plataforma única de notificación que el artículo 16 encarga establecer y gestionar a ENISA, la Agencia de la Unión Europea para la Ciberseguridad. El fabricante utiliza el punto de notificación electrónica del CSIRT designado como coordinador en el Estado miembro de su establecimiento principal en la Unión, y la notificación es accesible simultáneamente para ENISA (artículo 14, apartado 7).
El establecimiento principal del fabricante es aquel donde se toman predominantemente las decisiones sobre la ciberseguridad de sus productos. Un fabricante sin establecimiento principal en la UE sigue el orden establecido en el artículo 14, apartado 7: el Estado miembro del representante autorizado que actúe para el mayor número de sus productos, luego el del importador que introduzca en el mercado el mayor número de ellos, luego el del distribuidor que comercialice el mayor número y, por último, el Estado miembro con más usuarios. Para una marca de fuera de la UE que vende a través de un importador de la UE, esto significa que el país del importador puede determinar qué CSIRT recibe la notificación.
Productos que ya están en el mercado
El detalle que sorprende a muchas empresas está en las disposiciones transitorias. Por regla general, los productos introducidos en el mercado antes del 11 de diciembre de 2027 solo quedan sujetos al CRA si se modifican sustancialmente después de esa fecha (artículo 69, apartado 2). El artículo 69, apartado 3, establece una excepción: las obligaciones de notificación del artículo 14 se aplican a todos los productos incluidos en el ámbito de aplicación que se hayan introducido en el mercado antes del 11 de diciembre de 2027.
Así, un producto conectado que lanzó en 2024 y para el que sigue prestando asistencia está cubierto por el deber de notificación desde el 11 de septiembre de 2026, aunque no necesite una evaluación de la conformidad con arreglo al CRA salvo que se modifique sustancialmente a partir del 11 de diciembre de 2027.
El CRA también asocia sanciones reales a este deber. Con arreglo al artículo 64, apartado 2, el incumplimiento de las obligaciones del artículo 14 puede dar lugar a multas administrativas de hasta 15 millones EUR o, en el caso de una empresa, de hasta el 2,5 % de su volumen de negocios mundial total anual correspondiente al ejercicio anterior, si esta cifra es superior.
Un plan de preparación para el verano
Con tres meses por delante, el trabajo es sobre todo organizativo:
- Elabore una lista de todos los productos conectados que haya introducido en el mercado, incluidos los modelos descatalogados que siguen en uso, y de las versiones de software en circulación.
- Designe a la persona responsable de decidir, en cuestión de horas, si una notificación se refiere a una vulnerabilidad «activamente explotada» o a un «incidente grave», y quién enviará la alerta temprana.
- Establezca un canal de recepción de información sobre vulnerabilidades procedente de proveedores, investigadores, clientes y de su propio seguimiento, para saber cuándo empieza a correr el plazo de 24 horas.
- Determine dónde está su establecimiento principal, o qué Estado miembro se aplica según el orden del artículo 14, apartado 7, si está fuera de la UE.
- Prepare plantillas de comunicación a los usuarios para el artículo 14, apartado 8, en las lenguas de los mercados en los que se vende el producto.
- Acuerde las funciones con su importador o representante autorizado, para que la información llegue rápidamente al fabricante.
Si su producto es además un equipo radioeléctrico, lea nuestra guía de la Directiva sobre equipos radioeléctricos y las páginas de problemas sobre las nuevas normas de ciberseguridad para dispositivos conectados y cómo añadir Bluetooth o Wi-Fi a un producto existente.
Cómo le ayuda Conphora
El deber de notificación del CRA es un problema de plazos: la información que necesita en las primeras 24 horas tiene que estar lista antes de que ocurra nada. Con Conphora puede:
- Mantener un registro de sus productos conectados, con modelos, versiones de software, mercados y operadores económicos implicados.
- Vincular cada producto con sus responsables y sus documentos, para que la persona que debe decidir sobre una notificación lo encuentre todo en un solo lugar.
- Seguir las fechas del CRA por producto, desde el deber de notificación de septiembre de 2026 hasta la plena aplicación en diciembre de 2027.
- Guardar las notificaciones y los avisos a los usuarios junto al producto al que se refieren, listos para una solicitud de las autoridades de vigilancia del mercado.
Vea cómo funciona Conphora y cómo mantiene los registros de producto listos para las autoridades.
¿Quiere tener sus productos conectados listos para el 11 de septiembre? Vea los planes y precios →