Ciberseguridad y datos
Ciberresiliencia y CRA: guía para notificar vulnerabilidades e incidentes graves (parte II)
Desde el 11 de septiembre de 2026, el artículo 14 del Cyber Resilience Act (CRA) obliga a los fabricantes de productos con elementos digitales a comunicar las vulnerabilidades aprovechadas activamente y los incidentes graves que repercutan en la seguridad de sus productos.
El artículo 14 funciona como una primera prueba de la capacidad de respuesta de las empresas. La preparación comienza antes de que aparezca una vulnerabilidad o un incidente: exige conocer los productos afectados, asignar responsabilidades y disponer de un procedimiento que pueda activarse dentro de unos plazos muy breves.
La primera alerta debe emitirse en un máximo de 24 horas. Este plazo deja poco margen para decidir quién debe actuar, qué información se necesita y cómo debe comunicarse.
Índice del contenido
Antes de empezar: lista de comprobación para las empresas tecnológicas
A partir de las obligaciones del artículo 14 y de la información publicada por la Comisión Europea y ENISA, esta guía propone, como recomendación operativa, que la empresa tenga definidos los siguientes elementos antes de que se produzca una situación que deba notificarse:
- Un inventario actualizado de productos, versiones, componentes y mercados en los que se han comercializado.
- Criterios internos para distinguir una vulnerabilidad aprovechada activamente de una vulnerabilidad potencialmente explotable.
- Criterios para determinar cuándo un incidente que repercute en la seguridad del producto debe considerarse grave.
- Un circuito de escalado que conecte a los equipos de desarrollo, producto, ciberseguridad, dirección, asesoría jurídica y comunicación.
- Responsables autorizados para presentar y actualizar las notificaciones en la plataforma de ENISA.
- Procedimientos para documentar el momento en que se tuvo conocimiento del hecho, las evidencias disponibles, la evaluación del impacto y las decisiones adoptadas.
- Mecanismos para desarrollar y distribuir medidas de mitigación o actualizaciones de seguridad.
- Un procedimiento para informar a los usuarios afectados.
- Flujos de información con proveedores y desarrolladores de componentes de terceros para evaluar con rapidez cómo puede afectar una vulnerabilidad al producto propio.
- En el caso de grupos internacionales, una coordinación clara entre el fabricante, sus establecimientos en la Unión Europea, el representante autorizado y los importadores y distribuidores.
El objetivo es asegurar que la información técnica pueda transformarse rápidamente en una decisión, una respuesta y una comunicación coordinadas.
Guía de notificación del artículo 14 en cinco pasos
Paso 1. Determinar si la situación debe notificarse
El CRA limita la obligación de notificación a dos supuestos:
- Las vulnerabilidades aprovechadas activamente.
- Los incidentes graves que repercuten en la seguridad del producto.
Vulnerabilidades aprovechadas activamente
Una vulnerabilidad aprovechada activamente es aquella sobre la que existen pruebas fiables de que un actor malicioso la ha utilizado en un sistema sin la autorización de su propietario. La obligación de notificar surge cuando existen evidencias fiables de un uso malicioso real y el fabricante tiene conocimiento de ello.
Para valorar este supuesto, la empresa deberá preguntarse:
- ¿La vulnerabilidad está presente en uno de sus productos?
- ¿Existen pruebas fiables de que ha sido utilizada por un actor malicioso?
- ¿Se ha producido la explotación sin autorización del propietario del sistema?
- ¿Cuándo tuvo conocimiento el fabricante de esta situación?
Incidentes graves que repercuten en la seguridad del producto
Según el CRA, un incidente grave es aquel que afecta negativamente, o puede llegar a afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes. También se considera grave si ha provocado, o puede provocar, la introducción o ejecución de código malicioso en el producto o en los sistemas y redes de un usuario.
Un ejemplo sería la introducción de código malicioso en el canal utilizado por un fabricante para distribuir actualizaciones de seguridad. La empresa debe valorar tanto el impacto que ya se ha producido como el que el incidente puede llegar a generar.
Paso 2. Registrar cuándo se tuvo conocimiento y activar el procedimiento
Los plazos comienzan cuando el fabricante tiene conocimiento de la vulnerabilidad aprovechada activamente o del incidente grave.
Determinar y documentar ese momento es fundamental. La empresa debería conservar las evidencias que permitan establecer cuándo recibió la primera alerta, qué información estaba disponible y qué decisiones se adoptaron a partir de entonces.
La primera información puede proceder de los propios sistemas de supervisión, de un investigador de seguridad, de un proveedor, de un cliente o de una autoridad. Con independencia del canal de entrada, debe existir un circuito interno que permita trasladar la primera información rápidamente a las personas responsables de evaluarla.
En esta fase inicial no es necesario haber concluido todo el análisis técnico. Sí es necesario activar el equipo responsable, preservar las evidencias disponibles y comenzar a determinar el alcance y las posibles consecuencias.
Paso 3. Cumplir los plazos de 24 y 72 horas
La comunicación prevista por el CRA se desarrolla de forma escalonada. Las comunicaciones deben realizarse sin demora indebida y, en todo caso, dentro de los siguientes plazos máximos:
| Fase | Vulnerabilidad aprovechada activamente | Incidente grave |
|---|---|---|
| Alerta temprana | En un máximo de 24 horas desde que el fabricante tiene conocimiento | En un máximo de 24 horas desde que el fabricante tiene conocimiento |
| Notificación de la vulnerabilidad o del incidente | En un máximo de 72 horas desde que el fabricante tiene conocimiento | En un máximo de 72 horas desde que el fabricante tiene conocimiento |
| Informe final | Como máximo, 14 días después de que esté disponible una medida correctora o de mitigación | En el plazo de un mes desde la notificación de las 72 horas |
Tabla responsiva: arrastra horizontalmente para ver todo el contenido.
La alerta de las primeras 24 horas tiene como función comunicar el hecho dentro del plazo mientras la empresa continúa investigando, evaluando el impacto y preparando las medidas de respuesta.
La notificación de las 72 horas permite ampliar la información inicial con los datos disponibles sobre la vulnerabilidad o el incidente, su gravedad, sus posibles consecuencias y las medidas adoptadas o previstas.
El informe final completa el proceso cuando la empresa dispone de una visión más precisa de lo ocurrido y de la respuesta aplicada.
Paso 4. Presentar la notificación mediante la plataforma de ENISA
Las comunicaciones se realizan mediante la Plataforma Única de Notificación del CRA, denominada Single Reporting Platform (SRP), operativa desde el 11 de septiembre de 2026 y gestionada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA).
El fabricante presenta una única notificación, dirigida al coordinador de incidentes de seguridad informática (CSIRT) que le corresponda.
Con carácter general, será el CSIRT del Estado miembro donde se encuentre el establecimiento principal del fabricante en la Unión Europea. A estos efectos, se considera establecimiento principal el lugar donde se toman predominantemente las decisiones relacionadas con la ciberseguridad de sus productos.
La empresa debe decidir previamente quién está autorizado para presentar la alerta inicial, completar la notificación y actualizarla a medida que se obtiene nueva información. Resolver esta cuestión cuando el plazo ya está en marcha puede provocar retrasos evitables.
Paso 5. Informar a los usuarios afectados
La obligación no termina con la comunicación a las autoridades. Cuando tenga conocimiento de una vulnerabilidad aprovechada activamente o de un incidente grave, el fabricante debe informar a los usuarios afectados y, cuando proceda, al conjunto de usuarios del producto.
Esta comunicación debe incluir, cuando sea necesario, las medidas correctoras o de mitigación que puedan aplicar para reducir el impacto. La información debe ser clara, comprensible y útil para quienes utilizan el producto.
