004 · El día en que la cuenta llegó a cero

La entrada 003 prometió que esta sería sobre la actualización OTA en conectividad rural. Será la siguiente. Hoy es 11 de septiembre de 2026, y el calendario que está en la página de inicio de este sitio desde el primer día ha llegado al hito que siempre destacó: las obligaciones de notificación del artículo 14 del CRA se han vuelto aplicables. Un diario que documenta la preparación para un reglamento no podía pasar de largo el día en que su primera parte empezó a regir.

Qué ha cambiado hoy

A partir de hoy, un fabricante que tenga conocimiento de una vulnerabilidad explotada activamente en un producto suyo con elementos digitales, o de un incidente grave con impacto en la seguridad de ese producto, tiene plazos: alerta temprana en 24 horas, notificación en 72, informe final al cierre. La notificación se hace a través de la plataforma única de notificación, ante el CSIRT designado coordinador y la ENISA. Quien quiera el detalle de quién notifica, por dónde y con qué contenido tiene el artículo que publicamos sobre esto — fue escrito precisamente pensando en este día.

Conviene situar el hito en su tamaño. La aplicación plena sigue fijada para el 11 de diciembre de 2027, y solo entonces los requisitos esenciales del anexo I se vuelven exigibles. Lo que ha empezado hoy es más estrecho: la obligación de contarlo, deprisa y por el canal correcto, cuando algo sale mal.

Qué significa esto para nosotros

Nada, en el sentido jurídico: el Aeromate no está en el mercado y ninguno de estos plazos nos afecta. Es la nota de rigor que mantenemos en la página de inicio desde el primer día, y sigue siendo exacta.

Pero la fecha sirvió de plazo interno. La decisión 4 de la entrada 001 decía que el proceso de notificación se monta antes de que haya algo que notificar, y la decisión 5 prometía clave PGP y política formal de divulgación. La clave ya está publicada, referenciada en el security.txt de este sitio. Las plantillas de las tres notificaciones forman parte de la Fase 3 del plan de la entrada 003, y ensayarlas sin producto en el mercado es el único momento en que el ejercicio se hace sin reloj.

Para quien ya tiene producto en el mercado

Si fabrica un producto con elementos digitales que ya está a la venta, el día de hoy le interesa más que la fecha de 2027 de la que todo el mundo habla. La pregunta para el equipo esta semana no es «¿estamos conformes?», es «si supiéramos ahora de una explotación activa, ¿quién haría qué en las primeras 24 horas?». Si la respuesta tarda en aparecer, el artículo 02 trae la lista de lo que preparar.

La cuenta que vuelve a empezar

El calendario de la página de inicio ha cambiado hoy de objetivo sin que nadie lo tocara: el próximo hito ha pasado a ser la aplicación plena, a 456 días. Para nosotros es el plazo que cuenta, porque es el mundo en el que el Aeromate pretende nacer.

La entrada 005 vuelve al trabajo técnico: la actualización OTA segura en conectividad rural e intermitente, la primera de las tres preguntas abiertas de la entrada 001. Si el primer intento falla, también eso quedará escrito.