El Cyber Resilience Act (CRA), cuyo nombre oficial en español es Reglamento de Ciberresiliencia, ha dado un nuevo paso en su aplicación. Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben notificar las vulnerabilidades aprovechadas activamente y los incidentes graves que afecten a la seguridad de sus productos.
En síntesis, para quien busca el dato antes que el detalle, la primera alerta debe enviarse en un máximo de 24 horas desde que el fabricante tiene conocimiento del problema, la notificación completa en 72 horas y después un informe final. Todo se tramita a través de la plataforma única de notificación que gestiona ENISA, y el incumplimiento puede sancionarse con multas de hasta 15 millones de euros o el 2,5 % del volumen de negocio mundial.
La mayor parte de las obligaciones del Reglamento (UE) 2024/2847, de 23 de octubre de 2024, no será aplicable hasta el 11 de diciembre de 2027. El artículo 14, que regula estas notificaciones, se aplica ya desde septiembre de 2026.
Esto supone que muchas empresas no pueden esperar a 2027 para empezar a prepararse. Si desarrollan o comercializan bajo su propia marca software, dispositivos conectados u otros productos con elementos digitales dentro del mercado europeo, ya deben contar con procedimientos que les permitan identificar determinados problemas de ciberseguridad, evaluarlos y notificarlos en plazos muy breves.
¿Qué es el Cyber Resilience Act o Reglamento de Ciberresiliencia?
El Cyber Resilience Act es el Reglamento europeo que establece requisitos horizontales de ciberseguridad para los productos con elementos digitales comercializados en la Unión Europea. Entró en vigor el 10 de diciembre de 2024 y se aplica de forma escalonada hasta diciembre de 2027.
Su objetivo es reforzar la seguridad del hardware y el software durante todo su ciclo de vida. Para ello, introduce obligaciones relacionadas con el diseño y desarrollo seguro de los productos, la gestión de vulnerabilidades, las actualizaciones de seguridad, la documentación técnica, la evaluación de conformidad y la información que debe facilitarse a los usuarios.
El concepto de producto con elementos digitales es amplio. Incluye los programas y equipos informáticos, sus soluciones de tratamiento de datos a distancia y los componentes que se comercialicen por separado. Esto puede abarcar desde aplicaciones y programas informáticos hasta dispositivos IoT, equipos conectados, sistemas operativos o determinados componentes digitales.
Por tanto, el CRA no es una normativa reservada a los grandes fabricantes tecnológicos.
¿A quién afectan las nuevas obligaciones de septiembre de 2026?
Las obligaciones del artículo 14 afectan a los fabricantes de productos con elementos digitales incluidos en el ámbito de aplicación del Reglamento.
A efectos del CRA, fabricante no es únicamente quien produce físicamente un dispositivo. También lo es la persona física o jurídica para quien se diseñan, desarrollan o fabrican productos con elementos digitales y que los comercializa con su nombre o marca, ya sea de manera remunerada, monetizada o gratuita.
Esto obliga a analizar cada modelo de negocio de forma concreta. Un ejemplo habitual: una empresa que vende con su marca un dispositivo conectado fabricado por un proveedor asiático, junto con una aplicación desarrollada por una consultora externa, es fabricante de ambos productos a efectos del Reglamento. Lo mismo puede ocurrir con startups de software o de IoT que lanzan al mercado europeo un producto construido en buena parte por terceros.
El Reglamento alcanza también a los fabricantes de fuera de la Unión que comercializan sus productos en el mercado europeo. Para ellos, el artículo 14 fija un orden de prelación que determina ante qué Estado miembro deben notificar (en primer lugar, aquel donde esté establecido su representante autorizado).
Además, un aspecto especialmente relevante es que las obligaciones de notificación se aplican a todos los productos con elementos digitales incluidos en el ámbito del CRA, también a los introducidos en el mercado antes del 11 de diciembre de 2027 (artículo 69, apartado 3). No basta con revisar los productos que una empresa tenga previsto lanzar a partir de 2027.
El Reglamento contempla asimismo obligaciones específicas para los administradores de comunidad de programas informáticos de código abierto (los open-source software stewards). En su caso, las obligaciones de notificación se aplicarán desde el 11 de diciembre de 2027.
¿Qué debe notificarse según el Cyber Resilience Act?
El CRA no exige comunicar cualquier fallo de software ni cualquier vulnerabilidad detectada. Desde septiembre de 2026, los fabricantes deben notificar dos tipos de situaciones.
Vulnerabilidades aprovechadas activamente
El Reglamento define la vulnerabilidad aprovechada activamente como aquella respecto de la cual existen pruebas fiables de que un agente malintencionado la ha aprovechado en un sistema sin autorización de su propietario.
La diferencia es importante. La mera existencia de una vulnerabilidad no activa la obligación de notificación del artículo 14. Deben existir pruebas fiables de que esa vulnerabilidad está siendo o ha sido realmente explotada.
Incidentes graves que repercuten en la seguridad del producto
También deben notificarse los incidentes graves que repercutan en la seguridad de un producto con elementos digitales. El Reglamento considera grave un incidente en dos supuestos:
- Cuando afecta o puede afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes.
- Cuando ha dado o puede dar lugar a la introducción o ejecución de código malicioso en el producto o en las redes y sistemas de información de un usuario.
Por eso, uno de los primeros retos para las empresas será establecer internamente qué eventos cumplen estos criterios y quién debe tomar esa decisión.
Plazos de 24 y 72 horas: ¿cómo funciona la notificación?
Uno de los puntos más importantes del nuevo régimen es la rapidez exigida. El plazo comienza cuando el fabricante tiene conocimiento de la vulnerabilidad aprovechada activamente o del incidente grave. A partir de ese momento se establece un sistema de notificación en tres fases.
| Fase | Vulnerabilidad aprovechada activamente | Incidente grave |
| Alerta temprana | Sin demora indebida y, en todo caso, en 24 horas | Sin demora indebida y, en todo caso, en 24 horas |
| Notificación | En 72 horas, con la información general del producto, la naturaleza de la vulnerabilidad y las medidas correctoras o paliativas | En 72 horas, con la naturaleza del incidente, una evaluación inicial y las medidas correctoras o paliativas |
| Informe final | Como máximo 14 días después de que exista una medida correctora o paliativa | En el plazo de un mes desde la notificación de las 72 horas |
La alerta temprana debe indicar, cuando proceda, en qué Estados miembros se ha comercializado el producto. En el caso de los incidentes, también si se sospecha que se deben a actos ilegales o malintencionados.
La lógica de este sistema es relevante desde el punto de vista operativo. La empresa no necesita disponer de toda la información para realizar la primera comunicación, y precisamente por eso existen distintas fases. Esperar a concluir una investigación técnica completa antes de activar el procedimiento puede hacer imposible cumplir el plazo inicial de 24 horas.
¿A quién y cómo se notifica? La plataforma única de ENISA
El fabricante notifica de forma simultánea al CSIRT designado como coordinador en el Estado miembro donde tenga su establecimiento principal y a ENISA, la Agencia de la Unión Europea para la Ciberseguridad. El establecimiento principal es aquel donde se adoptan de forma predominante las decisiones sobre la ciberseguridad de los productos.
Las dos comunicaciones se realizan en un único trámite. El 11 de septiembre de 2026, coincidiendo con la entrada en aplicación de estas obligaciones, ENISA puso en funcionamiento la plataforma única de notificación (Single Reporting Platform o SRP). El CSIRT que recibe la notificación la comparte con los CSIRT de los demás Estados miembros donde se comercializa el producto, de modo que el fabricante no tiene que dirigirse a cada autoridad nacional por separado.
ENISA es responsable del desarrollo, funcionamiento y mantenimiento de la plataforma, que incorpora medidas para proteger la confidencialidad de la información comunicada. La Comisión Europea resume el procedimiento en su página sobre las obligaciones de notificación del CRA.
Para las empresas afectadas, esto significa que el procedimiento interno de respuesta ante incidentes debe contemplar no solo la investigación técnica del problema, sino también quién tiene capacidad para presentar la notificación, qué información debe recopilarse y cómo se coordinarán los equipos técnicos, jurídicos y de dirección. Es el terreno de una buena gestión de crisis de ciberseguridad, que conviene tener definida antes de que ocurra el incidente.
¿Hay que informar también a los usuarios?
Sí. La comunicación a las autoridades no es la única obligación que debe tenerse en cuenta.
Cuando un fabricante tenga conocimiento de una vulnerabilidad aprovechada activamente o de un incidente grave, deberá informar a los usuarios afectados y, cuando proceda, a todos los usuarios del producto. También deberá comunicar, cuando sea necesario, las medidas correctoras o de reducción de riesgos que puedan adoptar para atenuar su impacto.
Por tanto, una respuesta adecuada ante uno de estos eventos puede exigir actuar en varios frentes al mismo tiempo: investigar técnicamente el problema, cumplir los plazos de notificación previstos por el CRA y preparar una comunicación adecuada para clientes o usuarios.
¿Sustituye el CRA a las notificaciones de NIS2 o del RGPD?
No. Son regímenes distintos y pueden acumularse. El CRA mira al producto, mientras que la Directiva NIS2 mira a la entidad que presta servicios esenciales o importantes y el RGPD a los datos personales.
Un mismo incidente puede activar varias obligaciones a la vez. Si la vulnerabilidad explotada en un producto provoca además una brecha de datos personales, el responsable del tratamiento deberá notificarla a la autoridad de protección de datos en 72 horas conforme al RGPD. Si el fabricante es también una entidad sujeta a NIS2 o al Reglamento DORA, tendrá que cumplir sus propios plazos y canales.
De ahí la conveniencia de un único procedimiento interno de respuesta que identifique desde el primer momento qué notificaciones proceden en cada caso, en lugar de protocolos separados por norma.
¿Qué sanciones prevé el Cyber Resilience Act por no notificar?
El incumplimiento de las obligaciones de los artículos 13 y 14 del Reglamento puede sancionarse con multas administrativas de hasta 15.000.000 de euros o, si el infractor es una empresa, de hasta el 2,5 % de su volumen de negocio total anual mundial del ejercicio anterior, si esta cuantía fuese superior (artículo 64, apartado 2).
Existe una excepción relevante para las empresas de menor tamaño. Las multas no se aplican a los fabricantes que sean microempresas o pequeñas empresas por el incumplimiento del plazo de 24 horas de la alerta temprana. La excepción se limita a ese plazo. El resto de las obligaciones de notificación, incluidas las de las 72 horas y el informe final, les son plenamente exigibles.
¿Qué deberían revisar ahora las empresas?
La entrada en aplicación del artículo 14 hace recomendable revisar los procedimientos internos antes de que se produzca un incidente. En particular, las empresas que desarrollen o comercialicen productos digitales deberían:
- Identificar qué productos pueden estar incluidos en el CRA, también los que ya se encuentran en el mercado.
- Revisar si la empresa tiene la consideración de fabricante respecto de cada producto, especialmente en desarrollos realizados por terceros o comercializados bajo marca propia.
- Determinar cuál es su establecimiento principal en la Unión y, por tanto, ante qué CSIRT coordinador deberá notificar.
- Definir cómo se detectarán y escalarán internamente las posibles vulnerabilidades aprovechadas activamente y los incidentes graves.
- Establecer responsables y suplentes para que una alerta no dependa de una sola persona.
- Adaptar el procedimiento de respuesta a incidentes para poder cumplir el primer plazo de 24 horas, también en fines de semana y periodos vacacionales.
- Preparar el acceso y los roles necesarios para utilizar la plataforma única de notificación de ENISA.
- Determinar qué información técnica, jurídica y comercial debe recopilarse para completar las distintas fases de la notificación.
- Preparar un procedimiento para informar a los usuarios afectados cuando resulte necesario.
- Revisar los contratos con desarrolladores, proveedores de componentes y distribuidores para asegurar que comunican a tiempo las vulnerabilidades e incidentes de los que tengan conocimiento.
- Coordinar a los equipos de ciberseguridad, IT, producto, dirección y asesoramiento jurídico para evitar que un problema técnico se gestione de forma aislada.
El plazo de 24 horas convierte la preparación previa en una cuestión especialmente importante. Cuando aparezca una vulnerabilidad o un incidente, probablemente no habrá tiempo para decidir desde cero quién debe evaluar el caso, quién puede comunicarlo y qué procedimiento seguir. En Certus trabajamos estos procedimientos dentro de nuestros servicios de ciberseguridad y consultoría digital.
El 11 de diciembre de 2027 sigue siendo una fecha clave
La entrada en aplicación de estas obligaciones no significa que todo el Cyber Resilience Act sea ya plenamente exigible.
La aplicación general del Reglamento está prevista para el 11 de diciembre de 2027. A partir de entonces serán exigibles, entre otras, las obligaciones relativas a la evaluación de riesgos de ciberseguridad, los requisitos esenciales de seguridad del producto, la gestión de vulnerabilidades durante el periodo de soporte, la documentación técnica y los procedimientos de evaluación de la conformidad.
Las obligaciones que han comenzado a aplicarse en septiembre de 2026 pueden servir, por tanto, como una primera prueba del grado de preparación de las empresas. Ocurre algo parecido con el Reglamento de Inteligencia Artificial, donde 2026 es también el año en que las empresas deben ponerse al día sin esperar a la aplicación completa.
Contar ya con un inventario claro de productos, responsabilidades bien definidas y procedimientos de gestión y notificación de vulnerabilidades facilitará el camino hacia el cumplimiento completo del CRA en 2027.
Preguntas frecuentes sobre las obligaciones de notificación del Cyber Resilience Act
¿Cuándo entra en vigor el Cyber Resilience Act?
El Reglamento entró en vigor el 10 de diciembre de 2024, pero establece distintas fechas de aplicación. Las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026 y la aplicación general del CRA llegará el 11 de diciembre de 2027.
¿Qué deben notificar los fabricantes desde septiembre de 2026?
Deben notificar las vulnerabilidades aprovechadas activamente de las que tengan conocimiento y los incidentes graves que repercutan en la seguridad de sus productos con elementos digitales. No todas las vulnerabilidades o incidencias activan esta obligación.
¿Cuál es el plazo para comunicar un incidente bajo el CRA?
La alerta temprana debe enviarse sin demora indebida y, en todo caso, en las 24 horas siguientes a que el fabricante tenga conocimiento del evento. Después debe presentarse una notificación más completa en un máximo de 72 horas y, en una tercera fase, el informe final, que se presenta como máximo 14 días después de que exista una medida correctora en el caso de las vulnerabilidades y en el plazo de un mes desde la notificación en el caso de los incidentes graves.
¿A quién se notifica una vulnerabilidad o un incidente grave?
Al CSIRT designado como coordinador en el Estado miembro del establecimiento principal del fabricante y, de forma simultánea, a ENISA. Ambas comunicaciones se realizan en un único trámite a través de la plataforma única de notificación, operativa desde el 11 de septiembre de 2026.
¿Afectan estas obligaciones a productos vendidos antes de diciembre de 2027?
Sí. Las obligaciones de notificación del artículo 14 se aplican a todos los productos con elementos digitales comprendidos en el ámbito del CRA, aunque hubieran sido introducidos en el mercado antes del 11 de diciembre de 2027.
¿Se aplica el Cyber Resilience Act al software como servicio (SaaS)?
Con carácter general, el CRA regula productos y no servicios. Un SaaS puro queda fuera de su ámbito, sin perjuicio de otras normas como NIS2. Sí queda cubierto el tratamiento de datos a distancia que el fabricante haya diseñado o desarrollado para su producto y sin el cual este no podría cumplir alguna de sus funciones, como ocurre con el servicio en la nube del que depende una aplicación o un dispositivo conectado. Cada caso exige un análisis concreto.
¿Qué multas prevé el CRA por no notificar a tiempo?
Hasta 15 millones de euros o el 2,5 % del volumen de negocio total anual mundial, si esta cifra es superior. Las microempresas y pequeñas empresas no pueden ser multadas por incumplir el plazo de 24 horas de la alerta temprana, pero sí por el resto de las obligaciones de notificación.
Prepararse para el Cyber Resilience Act
El Cyber Resilience Act introduce un cambio importante en la forma en la que las empresas deben abordar la seguridad de los productos digitales. La ciberseguridad deja de ser únicamente una cuestión técnica para convertirse también en una obligación regulatoria integrada en todo el ciclo de vida del producto.
Desde el 11 de septiembre de 2026, ese cambio ya tiene consecuencias concretas. Ante determinadas vulnerabilidades e incidentes, los fabricantes disponen de plazos muy breves para reaccionar, comunicar el problema y coordinar las medidas necesarias.
En Certus ayudamos a las empresas a analizar cómo les afecta el Cyber Resilience Act, identificar sus obligaciones y adaptar sus procedimientos internos y sus contratos al nuevo marco europeo de ciberseguridad. Más información en nuestros servicios de consultoría digital o a través de nuestra página de contacto.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Normativa de referencia: Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (Reglamento de Ciberresiliencia), en particular sus artículos 3, 14, 16, 64, 69 y 71.
