Los fabricantes deberán comunicar en 24 horas las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos digitales. La aplicación general del reglamento llegará en diciembre de 2027.

El Reglamento de Ciberresiliencia de la Unión Europea —Cyber Resilience Act o CRA— entra mañana, 11 de septiembre, en una nueva fase. Desde esa fecha, los fabricantes de productos con elementos digitales deberán notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos.

La obligación comienza quince meses antes de la aplicación general del CRA, prevista para el 11 de diciembre de 2027. El reglamento, que entró en vigor en diciembre de 2024, cubre productos de hardware y software comercializados en la Unión Europea, incluidos los componentes que se venden por separado.

Las nuevas reglas de notificación se aplican también a productos que ya se encuentren en el mercado, aunque hayan sido introducidos antes de diciembre de 2027. La Comisión Europea confirma así que esta primera fase operativa no queda limitada a los nuevos lanzamientos.

Un primer aviso en 24 horas

Cuando tenga conocimiento de una vulnerabilidad explotada activamente o de un incidente grave, el fabricante deberá presentar un aviso inicial en un plazo máximo de 24 horas. La notificación principal tendrá que completarse en las 72 horas siguientes.

En el caso de las vulnerabilidades explotadas, el informe final deberá enviarse como máximo 14 días después de que se encuentre disponible una medida correctora o de mitigación. Para los incidentes graves, el plazo será de un mes desde la presentación de la notificación de 72 horas.

Todo el procedimiento se canalizará mediante la Single Reporting Platform, creada y mantenida por la Agencia de la Unión Europea para la Ciberseguridad —ENISA—. El fabricante realizará una única comunicación a través de esta plataforma, dirigida al equipo de respuesta a incidentes —CSIRT— del Estado miembro donde tenga su establecimiento principal. Salvo circunstancias excepcionales, la información se pondrá simultáneamente a disposición de ENISA.

El CSIRT que reciba la notificación deberá compartirla con los equipos equivalentes de los países donde se haya comercializado el producto afectado.

El fabricante asume la obligación principal

La responsabilidad jurídica de estas notificaciones corresponde principalmente al fabricante. Sin embargo, la información necesaria para identificar una explotación activa puede originarse en otros puntos de la cadena tecnológica.

Distribuidores, integradores, resellers y proveedores de servicios gestionados reciben incidencias de clientes, alertas de seguridad y evidencias procedentes de instalaciones reales. Esta posición puede convertirlos en una fuente temprana de información para el fabricante y obligará a revisar los procedimientos utilizados para escalar vulnerabilidades e incidentes.

El propio CRA atribuye responsabilidades específicas a distribuidores e importadores cuando tengan motivos para considerar que un producto no cumple el reglamento o cuando conozcan la existencia de una vulnerabilidad. Entre ellas figuran informar al fabricante y no mantener disponible un producto hasta que vuelva a cumplir los requisitos cuando resulte necesario. La mayoría de estas disposiciones se aplicará plenamente en diciembre de 2027, pero las empresas del canal tendrán que preparar antes sus procesos internos y los intercambios de información con sus proveedores.

Nuevos servicios alrededor del ciclo de vida

La apertura de esta fase amplía el espacio para servicios relacionados con la gestión de vulnerabilidades, el inventario de productos y componentes, la vigilancia de amenazas y la preparación de evidencias. También aumenta la importancia de mantener registros que permitan identificar los productos afectados, reconstruir un incidente y coordinar la respuesta con el fabricante.

Los integradores y MSP pueden incorporar estas tareas a contratos de mantenimiento y servicios gestionados. La oportunidad no se limita a interpretar el reglamento: incluye supervisar productos durante su vida útil, recopilar información técnica, gestionar avisos y comprobar la aplicación de las medidas correctoras.

El comienzo de las notificaciones convierte al CRA en una obligación operativa para los fabricantes. Para el canal, supone empezar a definir cómo circulará la información de seguridad entre clientes, proveedores de servicios, distribuidores y fabricantes antes de que el reglamento sea plenamente aplicable.