La noticia
Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales que se venden en la UE deben notificar sus problemas de seguridad en virtud del Reglamento de Ciberresiliencia (CRA). El grupo incluye software, apps y dispositivos conectados. Según la Comisión Europea, hay que notificar dos tipos de hechos: las vulnerabilidades que los atacantes están explotando y los incidentes graves que afectan a la seguridad de un producto.
Los plazos son cortos. Hay que enviar una alerta temprana en las 24 horas siguientes a conocer el problema y una notificación más completa en 72 horas. El informe final llega como máximo 14 días después de que exista una corrección o una medida de mitigación para la vulnerabilidad, o en un mes si se trata de un incidente grave. El fabricante también debe informar a los usuarios afectados.
Las notificaciones se envían por la plataforma única de notificación que ENISA, la agencia de ciberseguridad de la UE, abrió el 11 de septiembre. El fabricante notifica una sola vez al equipo nacional de respuesta a incidentes (CSIRT) del país donde tiene su establecimiento principal, y ENISA recibe la información a la vez.
El despacho Hogan Lovells Cadwalader señala que la obligación cubre también los productos que ya estaban en el mercado de la UE antes de que se aplique el resto de la norma. Los principales requisitos de seguridad del CRA se aplican desde el 11 de diciembre de 2027, la misma fecha en que empiezan a notificar los administradores de software de código abierto.
Qué significa para ti
- Si vendes una app, un programa o un dispositivo conectado en la UE con tu propia marca, necesitas una forma de detectar un ataque y notificarlo en 24 horas.
- La obligación incluye los productos que ya vendes, no solo los nuevos.
- Alguien de tu equipo debería saber cómo enviar una notificación en la plataforma de ENISA antes de que ocurra un incidente.
- Las normas de seguridad más amplias llegan el 11 de diciembre de 2027, así que notificar es la primera parte de un cambio mayor.
Qué hacer ahora
- Haz una lista del software y los dispositivos que vendes en la UE y de quién es responsable de cada uno.
- Nombra a una persona que vigile los problemas de seguridad y pueda notificar en 24 horas, también en fin de semana.
- Lee la guía de ENISA sobre la plataforma y repasa un caso de práctica con tu equipo.
- Prepara un mensaje breve para avisar a los usuarios de un problema y de cómo solucionarlo.
Cómo puede ayudarte Didset
Podemos añadir registros de seguridad y alertas a las apps y los sistemas que creamos, para que tu equipo detecte un ataque a tiempo de notificarlo.
Habla con nosotros
