Desde el pasado viernes 11 de septiembre, los fabricantes de productos con elementos digitales comercializados en la Unión Europea deben notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos. La obligación forma parte de la Ley de Ciberresiliencia de la UE (Cyber Resilience Act, CRA), el marco europeo que refuerza la ciberseguridad de hardware y software utilizados por consumidores y empresas.
La norma alcanza a una amplia gama de productos digitales presentes en el uso cotidiano, desde sistemas conectados para el cierre de puertas, hasta aplicaciones, programas informáticos, monitores para bebés y relojes inteligentes. El objetivo es reducir la exposición de estos dispositivos y servicios a ciberataques y mejorar la protección frente a ciberamenazas.
Notificación de vulnerabilidades e incidentes graves
La Ley de Ciberresiliencia establece un calendario preciso para la comunicación de incidentes. Los fabricantes deberán enviar una alerta temprana en un plazo máximo de 24 horas y completar después una notificación íntegra en un plazo de 72 horas. En el caso de una vulnerabilidad explotada activamente, el informe final deberá presentarse como máximo 14 días después de que esté disponible una medida correctiva o de mitigación.
Para los incidentes graves, el informe final deberá remitirse en el plazo de un mes. En la práctica, este sistema busca que los usuarios reciban avisos más rápidos y que los productos conectados cuenten con una respuesta más sólida cuando se produzca un ciberataque que pueda comprometer su seguridad.
Las obligaciones de notificación se aplicarán a todos los productos con elementos digitales puestos a disposición en la UE, incluidos aquellos que ya estén en el mercado. Las comunicaciones se realizarán a través de la CRA Single Reporting Platform, creada y mantenida por la Agencia de la Unión Europea para la Ciberseguridad.
Aplicación de la Ley de Ciberresiliencia y marcado CE
La Comisión Europea ha publicado orientaciones prácticas para ayudar a fabricantes, desarrolladores y empresas a cumplir con las nuevas exigencias. La vigilancia del cumplimiento corresponderá a las autoridades nacionales de supervisión del mercado, que serán las encargadas de hacer aplicar las reglas.
La Ley de Ciberresiliencia de la Unión Europea, en vigor desde finales de 2024, se apoya en la Estrategia de Ciberseguridad de la UE y en la Estrategia de la Unión de la Seguridad. Las nuevas reglas exigen que los productos con elementos digitales se diseñen, actualicen y mantengan de forma que protejan a los usuarios frente a riesgos de seguridad.
El marcado CE servirá para identificar los productos que cumplen los requisitos de la CRA. Aunque las principales obligaciones introducidas por la norma serán aplicables desde el 11 de diciembre de 2027, las obligaciones de notificación han comenzado ya, desde el 11 de septiembre de 2026.