Cyber Resilience Act: obligaciones de notificación de vulnerabilidades e incidentes desde septiembre de 2026
El Reglamento (UE) 2024/2847, conocido como Cyber Resilience Act (CRA), en vigor desde el 10 de diciembre de 2024, establece requisitos horizontales de ciberseguridad aplicables a los productos con elementos digitales comercializados en el mercado interior. Aunque su aplicación íntegra no se producirá hasta el 11 de diciembre de 2027, las obligaciones de notificación previstas en el artículo 14 son exigibles desde el 11 de septiembre de 2026, con independencia de la fecha de comercialización del producto.
Dicho artículo obliga a los fabricantes a notificar simultáneamente cualquier vulnerabilidad aprovechada activamente y cualquier incidente grave al CSIRT designado como coordinador y a ENISA, a través de la Plataforma Única de Notificación (SRP), disponible a partir de esa misma fecha. El sistema se basa en una lógica progresiva con tres fases: alerta temprana (24 horas), notificación detallada (72 horas) y un informe final, cuyo plazo varía según se trate de una vulnerabilidad explotada activamente (14 días desde la disponibilidad de una medida correctiva) o de un incidente grave (un mes desde la notificación de 72 horas).
El pasado 27 de julio de 2026, la Comisión Europea publicó su primera guía interpretativa no vinculante sobre la implementación del CRA, que aclara, entre otras cuestiones, el concepto de "toma de conocimiento", el carácter no retroactivo de la obligación, el tratamiento de vulnerabilidades en componentes de terceros, y los deberes de información hacia los usuarios y de difusión diferida en determinados supuestos.
En cuanto al alcance subjetivo, aunque el artículo 14 atribuye principalmente las obligaciones de notificación a los fabricantes, el CRA contempla otros supuestos: los importadores y distribuidores que comercialicen un producto bajo su propia marca o que realicen una modificación sustancial del mismo asumirán la condición de fabricante, mientras que los open-source software stewards quedan sujetos a un régimen específico previsto en el artículo 24, limitado a la notificación de vulnerabilidades explotadas activamente.
El incumplimiento de estas obligaciones puede acarrear un régimen sancionador graduado, con multas de hasta 15 millones de euros o el 2,5% de la facturación mundial en el caso más grave, además de la posible retirada del producto por parte de las autoridades de vigilancia del mercado. Las organizaciones que fabriquen, importen o distribuyan productos con elementos digitales deben anticiparse y adaptar sus procedimientos internos para identificar productos afectados, definir responsabilidades y establecer mecanismos de escalado que permitan cumplir los plazos de notificación exigidos por el Reglamento.