Ya es obligatorio notificar las vulnerabilidades y los incidentes, según el reglamento de ciberresiliencia

El Reglamento (UE) 2024/2847,¹ conocido como reglamento de ciberresiliencia (o Cyber Resilience Act, CRA), determina que, desde el 11-9-2026, los fabricantes han de notificar:

• las vulnerabilidades explotadas activamente, y
• los incidentes graves de sus productos con elementos digitales.

Aunque este reglamento será aplicable con carácter general desde el 11-12-2027, estas obligaciones de información, previstas en el artículo 14, entran en vigor el 11-9-2026, como se ha dicho.

Resumimos a continuación esta obligación.

Notificación de vulnerabilidades e incidentes

Desde esa fecha, los fabricantes tienen que notificar a:

• el Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT en siglas inglesas), que tengan como  coordinador, y
• la Agencia de la Unión Europea para la Ciberseguridad (ENISA, en siglas inglesas),

por la plataforma única de notificación (SRP, de single reporting platform):

• las vulnerabilidades explotadas activamente, es decir, las que tienen pruebas fiables de que se han explotado sin autorización, y
• los incidentes graves que afecten o puedan afectar a la seguridad del producto o permitan introducir o ejecutar código malicioso.

Plazos de notificación

El artículo 14 fija un criterio escalonado de comunicaciones.

Vulnerabilidades explotadas activamente

El fabricante ha de presentar:

• una alerta temprana, en un máximo de 24 horas desde que tenga conocimiento de la vulnerabilidad;
• una notificación más completa, en un máximo de 72 horas, y
• un informe final, en un máximo de 14 días desde que esté disponible una medida correctora o paliativa.

Incidentes graves

Asimismo, tiene que presentar:

• una alerta temprana, en un máximo de 24 horas;
• una notificación detallada, en un máximo de 72 horas, y
• un informe final, en el plazo de un mes desde la notificación anterior.

El equipo de respuesta coordinador podrá solicitar, además, un informe provisional sobre la evolución de la vulnerabilidad o del incidente.

Información a los usuarios

Los fabricantes tienen que:

• informar también a los usuarios afectados y, cuando proceda, a todos los usuarios del producto, e
• indicar las medidas que pueden tomar para reducir los riesgos o mitigar sus consecuencias.

Productos afectados

Estas obligaciones no solo se aplican a los productos que se comercialicen a partir del 11-9-2026, sino también a los productos con elementos digitales ya introducidos en el mercado y comprendidos en el ámbito de aplicación del reglamento.