Ley de Ciberresiliencia de la UE: reportar en 24 horas
Desde el 11 de septiembre de 2026, los fabricantes de productos digitales en la UE deben avisar a ENISA de fallos explotados en 24 horas. Qué hacer ya.
El 11 de septiembre de 2026 empezaron a aplicarse las obligaciones de notificación de la Ley de Ciberresiliencia (CRA) de la UE. Los fabricantes de productos con elementos digitales, lo que incluye muchos productos de software y hardware que se venden en la UE, deben ahora notificar las vulnerabilidades explotadas activamente y los incidentes de seguridad graves. El primer aviso vence en 24 horas desde que se tiene conocimiento. Esto es información general, no asesoramiento legal.
¿Qué se exige exactamente?
Según la página de notificación de la CRA de la Comisión Europea, para una vulnerabilidad explotada activamente los fabricantes deben enviar:
- un aviso temprano en un plazo de 24 horas desde que tienen conocimiento;
- una notificación con más detalle en 72 horas;
- un informe final a más tardar 14 días después de que haya una medida correctora disponible.
En el caso de incidentes graves, comentarios de bufetes de abogados describen el informe final como exigible en un mes. Confirma la redacción del artículo 14 del Reglamento (UE) 2024/2847 con tu asesor.
Los informes pasan por una plataforma única de notificación gestionada por ENISA, la agencia de ciberseguridad de la UE. Desde ahí, el informe se reenvía al CSIRT (equipo nacional de respuesta a incidentes) designado como coordinador y a ENISA. Help Net Security informó de que la plataforma se lanzó a mediados de septiembre de 2026. Algunos comentarios dicen que los representantes autorizados deben registrarse antes, así que no lo descubras durante un incidente.
¿A quién afecta?
A cualquiera que fabrique productos con elementos digitales para el mercado de la UE. Para una startup eso significa una app descargable, una imagen de firmware, un SDK para desarrolladores o un dispositivo conectado. Los servicios puramente en línea quedan en gran parte fuera, pero tu asesor debe revisar si algún componente que entregas cuenta como producto.
La mayoría de las demás obligaciones de la CRA, como la evaluación de conformidad y los requisitos de seguridad desde el diseño, se aplican más adelante. El briefing de McCann FitzGerald sitúa la mayoría de ellas el 11 de diciembre de 2027.
¿Qué debe hacer un equipo pequeño este mes?
- Nombra a un responsable que pueda decidir cuándo una vulnerabilidad está explotada activamente.
- Escribe un runbook de 24 horas: quién recibe la alerta, quién tiene el acceso a la plataforma y quién redacta el informe.
- Mantén una lista de materiales de software (SBOM) para saber rápido si un fallo de un tercero te afecta.
- Publica un contacto de seguridad y una política de divulgación de vulnerabilidades.
- Haz un simulacro una vez. Una práctica de mesa dura una hora y deja al descubierto los accesos que faltan.
Para ayuda con el escaneo y la monitorización, consulta el centro de Seguridad, privacidad y cumplimiento de Woodander.
Preguntas frecuentes
¿Las 24 horas empiezan cuando se publica un CVE?
Las fuentes difieren en la redacción. La lectura más habitual es que el plazo empieza cuando tienes conocimiento de una vulnerabilidad explotada activamente, no cuando aparece un número CVE.
¿Tengo que notificar cada error?
No. La obligación cubre las vulnerabilidades explotadas activamente y los incidentes graves.
