Saltar al contenido
folhas.io
secure by design para productos conectados· Artículos

Artículos

La notificación de 24h y 72h: cómo funciona la obligación que llega el 11 de septiembre

A partir del 11 de septiembre de 2026, un fabricante que sepa de una vulnerabilidad explotada activamente en su producto tiene 24 horas para el primer aviso. Qué se notifica, a quién, por dónde, y qué preparar antes.

Publicado

El artículo 14 del Cyber Resilience Act es la primera gran obligación del reglamento que entra en aplicación: el 11 de septiembre de 2026, quince meses antes de la aplicación plena. A partir de esa fecha, un fabricante de productos con elementos digitales que tenga conocimiento de una vulnerabilidad explotada activamente, o de un incidente grave que afecte a la seguridad del producto, entra en un calendario medido en horas.

Qué dispara la obligación

Este punto es el peor comprendido. El artículo 14 no cubre todas las vulnerabilidades. Cubre dos cosas:

  • Vulnerabilidades explotadas activamente: un fallo en el producto que está siendo usado en un ataque (art. 3, punto 42);
  • Incidentes graves que afecten a la seguridad del producto: compromiso de disponibilidad, autenticidad, integridad o confidencialidad, con criterios de gravedad en el art. 14, apartado 5.

Una vulnerabilidad que el equipo descubre y corrige antes de que sea explotada sigue el proceso normal de gestión de vulnerabilidades. No abre ningún reloj de 24 horas.

El reloj empieza en el momento en que el fabricante tiene conocimiento. La orientación de la Comisión aclara qué significa eso: hay conocimiento cuando, tras evaluar el evento sospechoso, el fabricante puede concluir con razonable certeza que hay explotación activa o incidente grave. El plazo cuenta a partir del resultado de ese triaje, lo que lo convierte en un proceso formal, con responsable, y no en una conversación de pasillo.

Los tres plazos

  1. 24 horas, alerta temprana. Deliberadamente escueta: existe una vulnerabilidad explotada activamente o un incidente grave, qué producto está afectado, y en qué Estados miembros sabe el fabricante que el producto se ha comercializado.
  2. 72 horas, notificación. Información general sobre el producto, la naturaleza del exploit y de la vulnerabilidad, medidas correctoras o mitigadoras ya adoptadas y las que los usuarios pueden adoptar.
  3. Informe final. Para vulnerabilidades: hasta 14 días después de que haya una medida correctora disponible. Para incidentes graves: hasta un mes después de la notificación de 72 horas. Incluye descripción, gravedad e impacto, información sobre el actor malicioso cuando esté disponible, y detalles de la corrección.
Línea de tiempo del artículo 14: el conocimiento, determinado por el triaje, abre el reloj; alerta temprana a las 24 horas; notificación a las 72 horas; informe final 14 días después de la corrección, o un mes después de la notificación en los incidentes graves.
El calendario del artículo 14. El reloj se abre con el conocimiento, y eso es lo que hace del triaje un proceso formal.

A quién y por dónde

Se notifica una única vez, a través de la Single Reporting Platform (SRP) que la ENISA está obligada a tener operativa el 11 de septiembre de 2026. La notificación entra por el punto del CSIRT coordinador del Estado miembro del establecimiento principal del fabricante (en Portugal, el CERT.PT, en el Centro Nacional de Cibersegurança) y queda simultáneamente accesible a la ENISA. Ese CSIRT disemina después la notificación a los CSIRT de los restantes Estados miembros donde el producto está disponible, y alimenta a las autoridades de vigilancia del mercado.

En circunstancias excepcionales, por ejemplo una divulgación coordinada en curso, la diseminación puede aplazarse por motivos de ciberseguridad, en los términos del Reglamento Delegado (UE) 2026/881.

Un detalle con consecuencias: el “establecimiento principal” es el Estado miembro donde las decisiones sobre la ciberseguridad de los productos se toman predominantemente. Los fabricantes sin establecimiento en la UE siguen una cascada: primero el representante autorizado, después el importador, después el distribuidor y, por último, el Estado miembro con más usuarios. Conviene resolverla antes de un incidente, no durante.

El elefante en la habitación: la plataforma

En la fecha en que escribimos, la SRP no está públicamente operativa, y la obligación no tiene cláusula de espera: nada en el texto condiciona los plazos a la disponibilidad de la plataforma. La conclusión práctica es la que la propia industria ya ha sacado: el proceso interno se construye ahora, independiente de la herramienta, con respuestas claras sobre quién hace el triaje, quién decide “hemos tenido conocimiento”, quién redacta, quién aprueba, y con qué plantillas preescritas.

Qué significa esto para quien fabrica

La notificación de 24 horas no es un problema de comunicación; es un problema de preparación. Cuatro piezas que cualquier fabricante, de cualquier tamaño, puede montar antes de septiembre:

  1. Un detonante definido. Monitorización de las fuentes que transforman “vulnerabilidad conocida” en “explotada activamente”: el catálogo KEV de la CISA, advisories de los componentes de la SBOM, y el canal de recepción de informes externos (la política de divulgación coordinada de vulnerabilidades que el propio CRA exige).
  2. Una decisión de conocimiento con responsable. Quién puede declarar, y con qué criterio, que la empresa “ha tenido conocimiento”. Sin esto, el reloj empieza sin que nadie lo sepa.
  3. Los tres textos preescritos. La alerta de 24h cabe en media página; escribirla durante el incidente es el peor momento. Plantillas rellenables para las tres fases, aprobadas de antemano.
  4. El ensayo. Un ejercicio de mesa por semestre, con escenario realista, midiendo una cosa: cuánto tiempo pasa entre la señal y el aviso listo para presentar.

En una microempresa, todo esto cabe en media docena de páginas y en una tarde de ejercicio. Lo que no cabe es improvisarlo a las 3 de la madrugada de un jueves.

Fuentes