Qué obliga a notificar
El artículo 14 de la Ley de Ciberresiliencia (Reglamento (UE) 2024/2847) establece dos supuestos:
- Una vulnerabilidad aprovechada activamente en su producto: existen pruebas fiables de que alguien la ha explotado.
- Un incidente grave que afecta a la seguridad de su producto: por ejemplo, uno que compromete la integridad de su mecanismo de actualización o de los datos que procesa el producto.
La obligación se aplica también a los productos que ya están en el mercado, no solo a los nuevos, y no depende del tamaño de la empresa.
Los plazos
| Vulnerabilidad aprovechada activamente | Incidente grave | |
|---|---|---|
| Alerta temprana | en un plazo de 24 horas desde que se tiene conocimiento | en un plazo de 24 horas desde que se tiene conocimiento |
| Notificación | en un plazo de 72 horas desde que se tiene conocimiento | en un plazo de 72 horas desde que se tiene conocimiento |
| Informe final | a más tardar 14 días después de que esté disponible una medida correctora o paliativa | en el plazo de un mes desde la notificación |
El plazo empieza a contar cuando usted tiene conocimiento; por eso es tan importante saber qué contiene cada versión que comercializa.
Quién recibe las notificaciones
Las notificaciones se presentan a través de la plataforma única de notificación gestionada por ENISA, la agencia de ciberseguridad de la UE. Llegan al CSIRT designado como coordinador en el Estado miembro de su establecimiento principal y a ENISA. Además, debe informar a los usuarios afectados sobre la vulnerabilidad o el incidente y las medidas que pueden adoptar.
Qué más exige el CRA
- Actualizaciones de seguridad durante la vida útil prevista del producto: en la mayoría de los casos, al menos cinco años.
- Una política y un punto de contacto para la divulgación coordinada de vulnerabilidades.
- Una lista de materiales de software (SBOM) y una gestión documentada de cada vulnerabilidad.
- Documentación técnica y una declaración UE de conformidad, que se conservan durante diez años.
A partir del 11 de diciembre de 2027 se aplican todos los requisitos, y los productos sin conformidad con el CRA ya no podrán introducirse en el mercado de la UE.
Cómo le ayuda Kernwatch
- Señala los componentes con vulnerabilidades explotadas conocidas en las versiones que usted mantiene y añade a su bandeja una tarea para abrir un caso de notificación.
- Abre el caso con los plazos de 24 horas, 72 horas y del informe final, y avisa a tiempo a las personas adecuadas.
- Redacta la alerta temprana, la notificación y el informe final a partir de los datos de producto, versión y evaluación para que usted los revise y apruebe.
- Le ayuda a presentarlos: copie el texto aprobado, abra la plataforma de ENISA, preséntelo allí y registre en Kernwatch la referencia y el justificante. La plataforma de ENISA no ofrece API a los fabricantes, por lo que Kernwatch no puede presentarlo por usted.
- Detecta la corrección: cuando una versión más reciente ya no contiene la versión vulnerable, propone la fecha de la medida correctora, que inicia el plazo de 14 días del informe final.
- Informa a los usuarios tras su aprobación (un correo a los contactos de clientes del producto y, en Professional, el aviso publicado) y registra a quién se informó y cuándo.
Fuentes oficiales
- Reglamento (UE) 2024/2847 (Ley de Ciberresiliencia, Cyber Resilience Act), EUR-Lex
- Ley de Ciberresiliencia, Comisión Europea
- ENISA - Agencia de la Unión Europea para la Ciberseguridad
Esta página resume el Reglamento (UE) 2024/2847 a título orientativo y no constituye asesoramiento jurídico.