06/10/2026
El Reglamento Europeo de Ciberresiliencia (Cyber Resilience Act o CRA) ha alcanzado uno de sus primeros hitos relevantes. Desde el 11 de septiembre de 2026 son aplicables las obligaciones de información previstas en su artículo 14, que obligan a los fabricantes de productos con elementos digitales a comunicar determinadas vulnerabilidades e incidentes de ciberseguridad.
Esto no significa que todo el CRA sea ya plenamente aplicable. La aplicación general del Reglamento llegará el 11 de diciembre de 2027. Sin embargo, el legislador europeo ha adelantado estas obligaciones de notificación, de forma que para muchas empresas el CRA deja de ser únicamente una norma para la que prepararse en el futuro y empieza a generar obligaciones operativas concretas.
El Reglamento se aplica, con determinadas excepciones, a los denominados “productos con elementos digitales”, concepto que comprende programas y equipos informáticos cuya finalidad o uso razonablemente previsible incluya una conexión directa o indirecta con otro dispositivo o con una red.
En la práctica, puede abarcar desde software y aplicaciones hasta dispositivos conectados, productos de Internet de las Cosas o equipos de red.
La obligación de notificación del artículo 14 recae sobre los fabricantes y distingue dos situaciones principales.
La primera son las vulnerabilidades aprovechadas activamente.
No basta con detectar cualquier fallo de seguridad, sino que deben existir pruebas fiables de que un agente malintencionado está utilizando efectivamente esa vulnerabilidad sin autorización.
Cuando el fabricante tenga conocimiento de una vulnerabilidad de este tipo deberá remitir una primera alerta, sin demora indebida y, en todo caso, dentro de las 24 horas siguientes.
Posteriormente deberá completar la información disponible en un máximo de 72 horas y, una vez exista una medida correctora o de mitigación, presentar el correspondiente informe final.
El segundo supuesto se refiere a los incidentes graves que repercutan en la seguridad del producto.
También aquí se establece una primera comunicación en un máximo de 24 horas y una notificación más completa dentro de las 72 horas, seguida posteriormente de un informe final.
Más allá de los plazos concretos, el verdadero impacto de estas obligaciones está en cómo deberán organizarse las empresas para poder cumplirlas.
Veinticuatro horas dejan muy poco margen para improvisar. Cuando se detecta una posible vulnerabilidad o un incidente, la organización no puede empezar entonces a determinar si el producto está dentro del CRA, si el evento alcanza el umbral de notificación, quién debe analizarlo o quién tiene capacidad para comunicarlo.
Estas cuestiones deberían estar definidas de antemano mediante procedimientos internos que conecten áreas que en muchas organizaciones todavía funcionan de forma separada, como ciberseguridad, IT, desarrollo de producto, legal y compliance.
En la práctica, las empresas afectadas deberían tener identificado qué productos quedan sujetos al CRA, cómo se reciben y escalan las alertas de seguridad y quién debe valorar y, en su caso, efectuar la correspondiente notificación.
Resultará además especialmente relevante determinar cuándo puede considerarse que el fabricante ha tenido conocimiento de la vulnerabilidad o del incidente, ya que ese momento activa los plazos regulatorios.
El CRA incorpora además una obligación relevante respecto de los usuarios afectados.
Cuando exista una vulnerabilidad aprovechada activamente o un incidente grave, el fabricante deberá informarles y, cuando proceda, comunicar las medidas correctoras o de mitigación que puedan adoptar.
La gestión de estos eventos deja así de ser exclusivamente una cuestión técnica y adquiere también una dimensión jurídica y de comunicación.
Otro punto importante es que estas obligaciones no se limitan a los productos que se comercialicen después de septiembre de 2026.
El régimen transitorio prevé expresamente que el artículo 14 se aplique también a productos incluidos en el ámbito del CRA que hayan sido introducidos en el mercado antes del 11 de diciembre de 2027.
Por tanto, las empresas deberán revisar también su cartera actual de productos, y no únicamente los nuevos desarrollos.
Estas obligaciones constituyen solo una primera fase del despliegue del Reglamento.
El CRA será aplicable con carácter general a partir del 11 de diciembre de 2027, cuando entrará plenamente en juego el conjunto de requisitos relativos al diseño y desarrollo seguro de los productos, la gestión de vulnerabilidades, la documentación y la conformidad.
Consulta el texto completo del Reglamento Europeo de Ciberresiliencia (CRA) en EUR-Lex.
España & Portugal
