Los fabricantes de productos con elementos digitales disponibles en la Unión Europea deben comunicar desde este 11 de septiembre las vulnerabilidades explotadas activamente y los incidentes graves de seguridad. La obligación adelanta una de las piezas del Cyber Resilience Act (CRA), cuya aplicación plena llegará el 11 de diciembre de 2027.
El primer aviso debe enviarse sin demora indebida y en un máximo de 24 horas desde que el fabricante tenga conocimiento del problema. En un plazo de 72 horas deberá completar la notificación con información general y una primera evaluación. La obligación no abarca cualquier vulnerabilidad descubierta: se refiere a las que estén siendo explotadas activamente y a los incidentes graves.
Un canal único para avisar a las autoridades
Las comunicaciones se presentan en la Single Reporting Platform (SRP), desarrollada y operada por ENISA. La notificación se dirige al CSIRT coordinador correspondiente y queda disponible también para ENISA.
La medida afecta a productos con elementos digitales comercializados en la UE. Su objetivo es que las autoridades reciban una alerta temprana cuando una vulnerabilidad ya se está utilizando en ataques, como ocurre en casos de vulnerabilidades de FortiSandbox bajo explotación activa.
Los plazos no terminan con la alerta inicial
Para una vulnerabilidad explotada, el fabricante dispone de 14 días desde que esté disponible una medida correctora para entregar el informe final. En el caso de un incidente grave, el plazo es de un mes desde la notificación detallada de 72 horas.
La plataforma admite por ahora únicamente los avisos obligatorios previstos por el CRA. Las notificaciones voluntarias se incorporarán en una fase posterior. Los gestores de software de código abierto no quedan sujetos todavía a la obligación equivalente: para ellos empezará el 11 de diciembre de 2027.
Desde ahora, los fabricantes afectados deben incluir estos plazos de 24 y 72 horas en su respuesta ante vulnerabilidades explotadas e incidentes graves, aunque el resto de obligaciones del CRA no será plenamente aplicable hasta diciembre de 2027.
