Notificación de ciberataques en Suiza y CRA: distintas obligaciones para operadores y fabricantes de productos

Qué es

Estado al 25 de octubre de 2026. La Ley de Seguridad de la Información de Suiza (ISA) y la Ordenanza de Ciberseguridad establecen una obligación de notificar ciberataques para los operadores de infraestructuras críticas sujetos a la norma, vigente desde el 1 de abril de 2025. Antes de mantener un plan de notificación transfronterizo, volver a consultar el ámbito de aplicación y las excepciones actuales en Suiza, las instrucciones de notificación de la autoridad y las orientaciones del CRA. Página de la autoridad suiza sobre la base jurídica.

El destinatario en Suiza es la Oficina Federal de Ciberseguridad, BACS; sus orientaciones en inglés utilizan National Cyber Security Centre (NCSC). El CRA, en cambio, se refiere a los productos incluidos en su ámbito de aplicación que se comercializan en el mercado de la UE. Sus obligaciones de notificación para fabricantes se aplican desde el 11 de septiembre de 2026. Estar ubicado en Suiza no excluye a un fabricante de esas normas del mercado de productos: el artículo 14(7) prevé expresamente una vía de selección del destinatario para fabricantes sin un establecimiento principal en la UE. Reglamento, artículos 2 y 14.

Por qué importa

La siguiente comparación separa los papeles descritos por los dos regímenes:

Pregunta	Notificación conforme a la ISA suiza	Notificación de fabricantes conforme al CRA
¿Quién está sujeto a la obligación?	Operadores incluidos en el ámbito legal, teniendo en cuenta las excepciones de la ordenanza	Fabricantes de productos sujetos a la norma suministrados al mercado de la UE
¿Qué da lugar a la evaluación?	Un ciberataque que cumpla los criterios de notificación y se dirija contra la infraestructura sujeta a la norma	La explotación activa de una vulnerabilidad de un producto o un incidente grave de seguridad del producto
Primer plazo	Dentro de las 24 horas siguientes al descubrimiento	Sin demora, a más tardar 24 horas después de tener conocimiento
Destinatario y vía	NCSC a través de sus canales de notificación publicados	CSIRT coordinador y ENISA a través de la SRP

Estas distinciones siguen las preguntas frecuentes suizas y las orientaciones de la Comisión sobre notificaciones. Por tanto, los papeles de operador y fabricante de una empresa requieren una evaluación separada, incluso cuando un mismo evento aporta pruebas pertinentes para ambos.

Cómo aplicarlo

• Comprobar el ámbito de aplicación suizo antes de basarse en una categoría sectorial. La ISA identifica las autoridades y organizaciones sujetas a la norma; la ordenanza establece excepciones. Las preguntas frecuentes suizas indican que el NCSC puede emitir una resolución formal para una organización sobre si está sujeta a la obligación. No convertir un ejemplo sectorial general en una clasificación definitiva.
• Aplicar los criterios suizos de ciberataque. La autoridad enumera las amenazas a la operatividad de las infraestructuras críticas, la manipulación o filtración de información, los ataques que permanecen sin detectar durante un período prolongado y el chantaje, las amenazas o la coacción. El mero descubrimiento de una debilidad de software no equivale a un ciberataque que cumpla esos criterios.
• Registrar y completar la notificación suiza. La autoridad exige un informe inicial en un plazo de 24 horas aunque la información esté incompleta. Su procedimiento concede 14 días después de la presentación inicial para completar el informe; las preguntas frecuentes especifican que son días naturales. Cyber Security Hub proporciona el formulario de notificación, con una vía alternativa mediante una plantilla de correo electrónico descrita por la autoridad. Procedimiento suizo de notificación.
• Evaluar de forma independiente la obligación de la UE relativa al producto. Un fabricante suizo que suministre un producto sujeto a la norma debe aplicar los supuestos del artículo 14. Si carece de un establecimiento principal en la UE, el orden legal considera al representante autorizado, al importador, al distribuidor y, después, a los usuarios, utilizando las mayores cantidades pertinentes de productos o usuarios dentro de cada criterio aplicable. Conservar la justificación del CSIRT coordinador elegido.
• Mantener cómputos de plazos y acuses de recibo separados. Como diseño práctico del registro, vincular ambas evaluaciones de notificación a las mismas pruebas, pero conservar cada destinatario, presentación, plazo y seguimiento. Las notificaciones del CRA también tienen una etapa de 72 horas y distintos puntos de partida para los informes finales de vulnerabilidades e incidentes; el plazo suizo para completar el informe no puede sustituirlos.

Trampas

No suponer que un acuse de recibo de una notificación suiza satisface la obligación de notificación del CRA. Las normas citadas establecen distintos supuestos y destinatarios. Del mismo modo, no tratar a todas las empresas suizas como infraestructuras críticas ni a todo incidente informático interno como un incidente grave de producto. Las páginas de orientaciones suizas citadas aquí no muestran una fecha de revisión; comprobar su redacción actual y cualquier resolución específica para la organización antes de reutilizarlas.