Cyber Resilience Act: nuevas guías de ENISA sobre SBOM y actualizaciones seguras
ENISA publicó avisos técnicos sobre listas de materiales de software (22 de octubre) y mecanismos de actualización seguros (4 de noviembre) para el CRA.
La Agencia de la Unión Europea para la Ciberseguridad (ENISA) publicó el 22 de octubre de 2026 un Technical Advisory for Software Bill of Materials y el 4 de noviembre de 2026 un Technical Advisory on Secure Update Mechanisms. Ambos se dirigen a los fabricantes sujetos al Cyber Resilience Act (CRA), sobre todo a las pymes. Son orientaciones, no ley, y no otorgan presunción de conformidad.
Qué cambia
El CRA exige una SBOM en un formato común y legible por máquina que cubra al menos las dependencias de primer nivel, y una autoridad de vigilancia del mercado puede solicitarla (anexo I, parte II, y anexo VII). Las actualizaciones de seguridad deben distribuirse de forma segura, sin demora y gratis, cuando sea posible por separado de las funcionales. ENISA muestra ahora cómo hacerlo en la práctica:
- SBOM: usar CycloneDX o SPDX, generar una SBOM en cada compilación y validarla, firmarla, almacenarla y mantenerla. Guardar pruebas para auditorías y solicitudes de las autoridades, y registrar las lagunas de cobertura.
- Actualizaciones: firmar los metadatos y proteger las claves, aceptar solo fuentes de confianza mediante conexiones cifradas y rechazar metadatos obsoletos o repetidos. Instalar las actualizaciones de seguridad automáticamente por defecto cuando sea posible y publicar un aviso claro con cada corrección.
Fechas clave
- 11 de septiembre de 2026: ya se aplica la notificación de vulnerabilidades explotadas activamente e incidentes graves a través de la plataforma única de notificación de ENISA. Declaraciones conjuntas de la UE sobre vulnerabilidades críticas de PHP (21 de octubre) y sobre incidentes en sistemas de refrigeración (4 de noviembre) lo recordaron a los fabricantes.
- 11 de diciembre de 2027: el CRA se aplica plenamente, incluidas las SBOM, las actualizaciones seguras y un periodo de soporte de al menos cinco años, salvo que se prevea que el producto se use durante menos tiempo (artículo 13, apartado 8).
Más información: Cyber Resilience Act: la notificación ya está en marcha.
Qué hacer ahora
Haga inventario de sus productos afectados, genere una SBOM para cada versión y compruebe quién puede firmar una actualización y cómo la verifican los dispositivos. Dazr Compliance lo reúne en un módulo CRA: clasificación de productos, carga de SBOM en CycloneDX o SPDX JSON con comprobación de vulnerabilidades conocidas, plazos de notificación del artículo 14 y documentación técnica del anexo VII.
Fuentes
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 7 de noviembre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål