Cyber Resilience Act: la notificación ya se aplica, el resto en 2027
Desde el 11 de septiembre de 2026 los fabricantes notifican vulnerabilidades explotadas e incidentes graves a ENISA. La CRA completa, en diciembre de 2027.
La Cyber Resilience Act (Reglamento (UE) 2024/2847) fija requisitos de seguridad para el hardware y el software que se venden en la UE. Su primera obligación con verdadero peso ya se aplica, y los requisitos principales llegarán en poco más de un año.
Qué se aplica desde el 11 de septiembre de 2026
Los fabricantes de productos con elementos digitales deben notificar dos tipos de hechos a través de la plataforma única de notificación de ENISA, puesta en marcha el 11 de septiembre de 2026:
- Vulnerabilidades explotadas activamente en sus productos: una alerta temprana en 24 horas desde que tienen conocimiento, una notificación en 72 horas y un informe final en los 14 días siguientes a que exista una medida correctora o de mitigación.
- Incidentes graves que afecten a la seguridad de sus productos: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en el mes siguiente a la notificación.
La notificación llega al CSIRT del Estado miembro del fabricante, que actúa como coordinador, y al mismo tiempo a ENISA. El fabricante también debe informar a los usuarios del producto, si es necesario con las medidas que pueden tomar.
Estas obligaciones cubren también los productos que ya están en el mercado, no solo los nuevos (artículo 69, apartado 3). Las microempresas y pequeñas empresas fabricantes también están incluidas, aunque no pueden ser sancionadas solo por no cumplir la alerta temprana de 24 horas.
Lo que viene
- 11 de diciembre de 2027: la CRA se aplica en su totalidad: seguridad desde el diseño, gestión de vulnerabilidades durante el periodo de soporte, documentación técnica, evaluación de la conformidad y marcado CE. En esa fecha empiezan también las obligaciones de notificación de los administradores de software de código abierto (open-source stewards).
- Desde el 11 de junio de 2026 se aplican las normas sobre la notificación de organismos de evaluación de la conformidad, para que los organismos notificados estén listos antes de 2027.
Qué hacer ahora
- Decida quién en su organización puede notificar en 24 horas, también en fin de semana, y pruebe el acceso a la plataforma.
- Mantenga un único registro por hecho con el momento en que tuvo conocimiento, porque todos los plazos cuentan desde entonces.
- Prepare un texto modelo breve para informar a los usuarios.
- Aproveche el tiempo hasta diciembre de 2027 para los requisitos de diseño y documentación: un inventario de productos afectados, una lista de materiales de software (SBOM) y un proceso de gestión de vulnerabilidades.
El artículo 14 en detalle en nuestra guía: notificación en la Cyber Resilience Act.
Fuentes
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 14, 64, 69 and 71
- ENISA: The CRA Single Reporting Platform is launched (11 September 2026)
- European Commission: Cyber Resilience Act reporting obligations
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 19 de octubre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål