Ley de Resiliencia Cibernética (CRA) de la UE: la obligación de informar comienza el 11 de septiembre
La notificación a ENISA de vulnerabilidades explotadas activamente en productos con elementos digitales comienza en septiembre de 2026; una evaluación de conformidad completa que incluya el marcado CE será obligatoria en diciembre de 2027.
El Reglamento sobre Ciberresiliencia (CRA) introduce requisitos de ciberseguridad válidos en toda la UE para productos con elementos digitales. El alcance es amplio: la mayoría de los productos de hardware y software conectables entran en el marco, sean o no productos de consumo.
La primera parte del reglamento en entrar en aplicación es la obligación de notificación. Los fabricantes deben notificar las vulnerabilidades explotadas activamente y los incidentes graves a las autoridades competentes a través de un canal definido; no se trata de una tarea puntual, sino de un proceso continuo.
La etapa que sigue a la notificación es la aplicación de los requisitos del producto y la evaluación de la conformidad. Prepararse para la notificación es, por tanto, también el momento adecuado para establecer la documentación de seguridad del producto y la política de actualización.
Cuándo entró en vigor el reglamento y cuándo se aplicará plenamente
El Reglamento sobre Ciberresiliencia entró en vigor el 10 de diciembre de 2024 como Reglamento (UE) 2024/2847. Pero entrada en vigor y comienzo de la aplicación de las obligaciones no son lo mismo: el reglamento establece un calendario escalonado, y el fabricante afronta primero la notificación y después los requisitos del producto.
La primera parte aplicable es la obligación de notificación a partir del 11 de septiembre de 2026. El resto del reglamento —los requisitos esenciales de ciberseguridad, la evaluación de la conformidad, el expediente técnico y el marcado CE— se aplica plenamente desde el 11 de diciembre de 2027.
Los quince meses entre esas dos fechas no son un periodo de espera, sino de preparación. Como la obligación de notificación presupone un proceso de gestión de vulnerabilidades ya operativo, la infraestructura que debe establecerse en 2026 constituye también la base de la documentación exigida en 2027.
Quién entra en el alcance
El alcance se define por la naturaleza del producto y no por su categoría: la expresión «producto con elementos digitales» cubre productos de hardware y software capaces de establecer una conexión de datos con un dispositivo o red, directa o indirectamente. No es necesario que sea un producto de consumo; también pueden incluirse equipos industriales, componentes y software independiente.
El reglamento clasifica los productos por nivel de riesgo, y a medida que aumenta la clase, crece el papel de un tercero en la evaluación de la conformidad. La primera tarea consiste, por tanto, en determinar en qué clase se encuadra el producto: la clase determina todas las decisiones posteriores (autodeclaración u organismo notificado).
Suponer que un producto está fuera de alcance es arriesgado: un dispositivo sin conexión a la nube pero emparejado con una aplicación móvil también posee un elemento digital. En los casos límite, registrar por escrito la decisión junto con su justificación es el documento que más útil resulta en una inspección posterior.
Cómo funciona la notificación
A partir del 11 de septiembre de 2026, los fabricantes están obligados a notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto. La notificación se realiza a través de la plataforma única de notificación de ENISA, conjuntamente al CSIRT nacional competente y a ENISA.
La notificación no termina con rellenar un único formulario: funciona por etapas, como alerta temprana, después como notificación más detallada y, al cerrarse el proceso, como informe final. Esto exige decidir de antemano quién recopilará qué información en las primeras horas de un incidente.
La consecuencia práctica es esta: la notificación no es una cláusula de cumplimiento, sino una operación. Si no están listos el dispositivo de guardia, el canal de comunicación, el responsable de la decisión y la plantilla de registro, la notificación no puede realizarse dentro del plazo.
El lado de la ejecución
El reglamento prevé multas administrativas por incumplimiento de los requisitos esenciales de ciberseguridad y de las cláusulas de notificación; el límite máximo se fija en 15 millones de euros o el 2,5 % de la facturación anual mundial, aplicándose el importe más alto.
Otra consecuencia tan importante como el riesgo de sanción es el acceso al mercado: un producto cuya conformidad no pueda demostrarse no puede comercializarse en la UE, y la autoridad de vigilancia del mercado puede adoptar medidas, incluida la retirada.
Qué merece la pena hacer ahora
Elaborar un inventario de productos y determinar cuáles tienen elementos digitales y en qué clase se encuadran es el único paso que hace planificable todo el calendario. Sin inventario, cualquier otra tarea se basa en conjeturas.
El segundo paso es anunciar el período de soporte y poner por escrito la política de actualización. Forman parte de los requisitos de 2027, pero, al implicar decisiones comerciales, son las tareas que más tiempo llevan.
El tercero es establecer el canal de notificación de vulnerabilidades: tanto una dirección para recibir avisos externos como un flujo interno para evaluarlos. La notificación de 2026 no funciona sin ese flujo.
¿Qué hacer?
- 1Determine si sus productos entran en el ámbito del CRA.
- 2Establezca un proceso de notificación de vulnerabilidades e incidentes con un responsable, un canal y un plazo definidos.
- 3Ponga por escrito su política de actualizaciones de seguridad y su período de soporte.
Este artículo tiene fines informativos y no constituye asesoramiento jurídico. Cómo se aplica una normativa a su producto depende de las características técnicas del producto y del mercado objetivo; el alcance exacto solo puede determinarse examinando el producto.