La CRA activa las obligaciones de notificación para los fabricantes de productos con elementos digitales

Desde el 11 de septiembre de 2026 es aplicable el artículo 14 del Reglamento de Ciberresiliencia (CRA), que obliga a los fabricantes de productos con elementos digitales a notificar las vulnerabilidades aprovechadas activamente y los incidentes graves que repercutan en su seguridad. Esta obligación se adelanta a la aplicación general del Reglamento, prevista para el 11 de diciembre de 2027.

El Reglamento de Ciberresiliencia ha alcanzado una nueva fase de su calendario de aplicación en la Unión Europea. Desde el 11 de septiembre de 2026 es aplicable su artículo 14, dedicado a las obligaciones de información de los fabricantes y que establece qué vulnerabilidades e incidentes deben notificarse, los plazos para hacerlo y el procedimiento que debe seguirse.

Las obligaciones afectan a los fabricantes de productos con elementos digitales comprendidos en el ámbito de aplicación de la CRA, una categoría que engloba productos de software o hardware y determinadas soluciones de tratamiento de datos a distancia, siempre que su finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, con un dispositivo o una red.

El artículo 14 establece dos grandes supuestos de notificación obligatoria. El primero afecta a cualquier “vulnerabilidad aprovechada activamente” presente en un producto con elementos digitales de la que tenga conocimiento el fabricante. Este deberá notificarla simultáneamente al CSIRT (Computer Security Incident Response Team) designado como coordinador y a la Agencia de la Unión Europea para la Ciberseguridad (ENISA), a través de la plataforma única de notificación prevista en el Reglamento.

El procedimiento comienza con una alerta temprana que debe efectuarse sin demora indebida y, en cualquier caso, en un plazo máximo de 24 horas desde que el fabricante tenga conocimiento de la vulnerabilidad. A menos que ya haya facilitado la información correspondiente, dispone de un máximo de 72 horas para presentar una notificación que incluya información general sobre el producto, la naturaleza de la vulnerabilidad y el modo en que está siendo aprovechada, así como las medidas correctoras o paliativas adoptadas y aquellas que pueden aplicar los usuarios.

El proceso se completa con un informe final que deberá presentarse, como máximo, catorce días después de que se disponga de una medida correctora o paliativa. Este documento debe recoger, entre otros elementos, la gravedad y las repercusiones de la vulnerabilidad y los detalles de la actualización de seguridad u otras medidas disponibles para subsanarla.

El segundo supuesto corresponde a los incidentes graves que repercutan en la seguridad de un producto con elementos digitales. También en este caso debe realizarse una alerta temprana en un máximo de 24 horas desde que el fabricante tenga conocimiento del incidente y, salvo que la información ya haya sido proporcionada, una notificación del incidente en un plazo máximo de 72 horas desde ese mismo momento. El informe final deberá remitirse en el plazo de un mes después de presentar esta última notificación.

La CRA considera grave un incidente cuando afecta o puede afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes. También adquiere esta consideración cuando ha provocado o puede provocar la introducción o ejecución de código malicioso en el producto o en la red y los sistemas de información de uno de sus usuarios.

Las obligaciones que comienzan a aplicarse no terminan con la comunicación a las autoridades. Cuando tenga conocimiento de una vulnerabilidad aprovechada activamente o de un incidente grave, el fabricante deberá informar a los usuarios afectados y, cuando proceda, a todos los usuarios sobre la vulnerabilidad o el incidente. Cuando sea necesario, deberá comunicar también las medidas de reducción de riesgos y las acciones correctoras que puedan adoptar para mitigar sus repercusiones.

Si el fabricante no informa oportunamente a los usuarios, los CSIRT designados como coordinadores que hayan recibido la notificación podrán hacerlo cuando consideren que resulta proporcionado y necesario para prevenir o mitigar las consecuencias de la vulnerabilidad o del incidente.

Las obligaciones de notificación tampoco quedan restringidas a los productos que se introduzcan en el mercado a partir de esta nueva fase. Las disposiciones transitorias de la CRA establecen que las obligaciones previstas en el artículo 14 se aplican a todos los productos con elementos digitales incluidos en su ámbito de aplicación que hayan sido introducidos en el mercado antes del 11 de diciembre de 2027.

¿Cuándo está obligado un fabricante a notificar?

Desde el 11 de septiembre de 2026 son aplicables las obligaciones de información establecidas en el artículo 14 de la CRA para los fabricantes de productos con elementos digitales incluidos en el ámbito del Reglamento. La obligación no alcanza a cualquier vulnerabilidad detectada: el fabricante debe notificar aquellas "vulnerabilidades aprovechadas activamente" presentes en sus productos de las que tenga conocimiento.

La notificación obligatoria también se aplica cuando el fabricante tenga conocimiento de un incidente grave que repercuta en la seguridad de un producto con elementos digitales. El Reglamento considera grave, entre otros supuestos, el incidente que afecte o pueda afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes, así como aquel que haya provocado o pueda provocar la introducción o ejecución de código malicioso en el producto o en la red y los sistemas de información de un usuario.

La CRA contempla, además, la notificación voluntaria de otras vulnerabilidades, ciberamenazas, incidentes y cuasiincidentes. Estas comunicaciones pueden ser realizadas tanto por los fabricantes como por otras personas físicas o jurídicas y no deben confundirse con las notificaciones obligatorias del artículo 14.

¿Qué productos pueden estar afectados?

La CRA no establece en su artículo 14 una lista cerrada de productos sujetos a las obligaciones de notificación. Estas se vinculan a los productos con elementos digitales comprendidos en el ámbito de aplicación del Reglamento, una categoría que incluye productos de software o hardware y sus soluciones de tratamiento de datos a distancia, así como componentes de software o hardware que se introduzcan en el mercado por separado.

Para entrar en el ámbito de aplicación de la CRA, la finalidad prevista o el uso razonablemente previsible del producto debe incluir una conexión de datos directa o indirecta, lógica o física, con un dispositivo o una red. La norma contempla, por tanto, tanto conexiones virtuales mediante interfaces de software como conexiones físicas realizadas, entre otros medios, mediante interfaces eléctricas, ópticas o mecánicas, cables u ondas de radio.

En los sectores de la seguridad, las tecnologías de la información y las telecomunicaciones, esta definición puede alcanzar, dependiendo de las características de cada producto, a cámaras IP y otros equipos de videovigilancia conectados, sistemas electrónicos de control de accesos conectados, sensores y dispositivos IoT, routers, módems, pasarelas, switches y otros equipos de red y comunicaciones, así como determinados productos de software y componentes de hardware o software comercializados por separado.

Estos ejemplos son orientativos y no constituyen una lista establecida por el artículo 14. La inclusión de cada producto debe determinarse atendiendo al ámbito de aplicación y a las definiciones de la CRA, que contempla, además, determinadas exclusiones para productos sujetos a normativa sectorial específica y otros supuestos.