As notícias são publicadas em espanhol.
Primera obligación operativa del Reglamento (UE) 2024/2847: los fabricantes de productos con elementos digitales tienen que notificar vulnerabilidades explotadas e incidentes graves, también de productos ya en el mercado. El resto de requisitos llega en diciembre de 2027.
El Cyber Resilience Act (CRA), el Reglamento (UE) 2024/2847 sobre requisitos de ciberseguridad para los productos con elementos digitales, alcanza su primer hito operativo. Desde el 11 de septiembre de 2026, los fabricantes deben notificar las vulnerabilidades que se estén explotando activamente y los incidentes graves que afecten a la seguridad de sus productos. La obligación se aplica también a los productos que ya estaban en el mercado.
Qué hay que notificar y en qué plazos
- Alerta temprana en las 24 horas siguientes a tener conocimiento de la vulnerabilidad explotada o del incidente grave.
- Notificación con la información disponible en 72 horas.
- Informe final en un plazo de 14 días para vulnerabilidades (un mes para incidentes).
Las notificaciones se presentan a través de la plataforma única de notificación que coordina ENISA con los CSIRT nacionales designados.
El calendario completo
- 11 de junio de 2026: disposiciones sobre los organismos de evaluación de la conformidad.
- 11 de septiembre de 2026: obligaciones de notificación de vulnerabilidades e incidentes.
- 11 de diciembre de 2027: el resto de requisitos: seguridad desde el diseño, gestión de vulnerabilidades durante el periodo de soporte, documentación técnica, evaluación de la conformidad y marcado CE.
Los productos comercializados antes del 11 de diciembre de 2027 que no sufran una modificación sustancial quedan fuera de los requisitos esenciales, pero no de la obligación de notificar. El periodo de soporte debe fijarse en función de la vida útil esperada del producto y, con carácter general, no ser inferior a cinco años. Las multas por incumplir los requisitos esenciales pueden llegar a 15 millones de euros o al 2,5 % del volumen de negocio mundial anual.
Cómo prepararse
Para notificar en 24 horas hace falta saber qué componentes lleva cada producto, tener un canal de recepción de vulnerabilidades y un procedimiento de respuesta. Es lo que cubren nuestros servicios de seguridad de producto y los productos NeoPSIRT y NeoSBOM.
