Notificaciones del CRA desde septiembre de 2026: supuestos, plazos y plataforma única de notificación

Qué es

Estado al 25 de octubre de 2026. El artículo 14 del Reglamento (UE) 2024/2847, el Reglamento de Ciberresiliencia (CRA), es aplicable a los fabricantes desde el 11 de septiembre de 2026. Antes de utilizar un procedimiento de notificación, volver a consultar el reglamento, las orientaciones de la Comisión sobre notificaciones y las instrucciones de la plataforma de ENISA. Este resumen explica las normas publicadas; no constituye asesoramiento jurídico.

Dos supuestos exigen notificación: una vulnerabilidad explotada activamente en un producto con elementos digitales y un incidente grave que afecte a la seguridad de ese producto. El artículo 3(42) exige pruebas fiables de explotación maliciosa sin permiso del propietario del sistema. El artículo 14(5) abarca los daños reales o potenciales a la protección de datos o funciones sensibles o importantes, o la introducción o ejecución de código malicioso en el producto o en los sistemas de un usuario. Son criterios de evaluación distintos. Reglamento, artículos 3 y 14.

Por qué importa

ENISA anunció la puesta en marcha de la plataforma única de notificación (SRP) el 11 de septiembre de 2026. La plataforma dirige las notificaciones al equipo de respuesta a incidentes de seguridad informática (CSIRT) designado como coordinador y a ENISA. El CSIRT receptor distribuye la información a sus homólogos nacionales pertinentes, con sujeción a las excepciones del reglamento que permiten retrasar su difusión. Anuncio de lanzamiento de ENISA.

Los plazos iniciales se cuentan desde que se tiene conocimiento, no desde la aprobación de la dirección ni desde que termina una investigación. El artículo 69(3) también somete a las notificaciones del artículo 14 los productos incluidos en el ámbito de aplicación que se hayan introducido en el mercado antes del 11 de diciembre de 2027. La aplicación posterior de la mayoría de los requisitos del CRA no aplaza esta obligación. Reglamento, artículos 14, 69 y 71.

Cómo aplicarlo

• Registrar cuándo se tuvo conocimiento y clasificar el evento. Conservar las pruebas que sustenten la explotación activa o los criterios de gravedad del incidente. Detectar una vulnerabilidad no demuestra por sí solo una explotación maliciosa.
• Enviar la alerta temprana sin demora, en un plazo máximo de 24 horas. Identificar los Estados miembros en los que se sepa que el producto está disponible, cuando corresponda. En caso de incidente, indicar también si se sospecha de una actividad ilícita o maliciosa.
• Proporcionar la siguiente notificación sin demora, a más tardar 72 horas después de tener conocimiento. Salvo que ya se hayan facilitado, incluir la información disponible sobre el producto o el incidente, la evaluación pertinente, las medidas de mitigación ya adoptadas y las medidas que pueden tomar los usuarios. Indicar el carácter sensible de la información cuando corresponda.
• Utilizar el punto de partida correcto para el informe final. Para una vulnerabilidad, el plazo es de 14 días desde que se dispone de una medida correctora o de mitigación. Incluir la gravedad, el impacto, la información disponible sobre el actor malicioso y los detalles de la solución. Para un incidente grave, el plazo es de un mes desde la presentación de la notificación del incidente de la etapa de 72 horas; incluir la gravedad, el impacto, la amenaza o causa probable y la mitigación aplicada o en curso. Estas son las normas diferenciadas del artículo 14(2) y (4), también resumidas por la Comisión.
• Seleccionar el CSIRT coordinador conforme al artículo 14(7). Normalmente, corresponde al establecimiento principal del fabricante en la UE. Los fabricantes que carezcan de él utilizan los criterios ordenados de ese apartado. Conservar los acuses de recibo de las presentaciones y las solicitudes de seguimiento.
• Informar a los usuarios afectados. El artículo 14(8) exige, por separado, información sobre la vulnerabilidad o el incidente y, cuando sea necesario, sobre las medidas de protección o corrección; una notificación a la autoridad no la sustituye.

Trampas

No contar las 72 horas desde el envío de la alerta temprana ni los 14 días desde el descubrimiento de la vulnerabilidad. Las preguntas frecuentes de ENISA, actualizadas el 15 de octubre de 2026, advierten de que los contadores actuales de la plataforma pueden diferir del cómputo legal. Mantener un registro independiente de plazos; los recordatorios no sustituyen la responsabilidad del fabricante. Preguntas frecuentes de la SRP de ENISA, pregunta 26.