6 de septiembre de 2026 · Cyber Resilience Act · Regulatorik · Meldepflicht · Produktsicherheit

Notificación CRA desde el 11 de septiembre: qué debe estar listo

El 11 de septiembre entra en vigor el artículo 14 del CRA, también para el parque instalado. A quién afecta, qué inicia el plazo de 24 horas y qué debe estar listo.

Dentro de cinco días entra en vigor la primera obligación del Cyber Resilience Act que vincula directamente a los fabricantes. El artículo 14 del Reglamento (UE) 2024/2847 se aplica desde el 11 de septiembre de 2026 – unos 15 meses antes que todos los requisitos de producto, que solo llegan el 11 de diciembre de 2027. A finales de julio describimos lo esencial; este artículo se pregunta qué tiene que estar realmente listo para la fecha límite.

El grado de preparación es modesto. En una encuesta del proveedor de seguridad ONEKEY entre 200 empresas industriales alemanas, el 45 por ciento conoce poco o nada los requisitos; el 62 por ciento señala justamente la obligación de notificar como obstáculo, y el 30 por ciento la califica de problema serio. En el plano internacional el cuadro no es mejor: en un estudio de la Linux Foundation de junio de 2026 (843 participantes), el 66 por ciento declaró no estar familiarizado con el CRA o estarlo solo superficialmente.

El parque instalado está incluido de forma expresa

La norma más importante para la mediana empresa está en las disposiciones transitorias. El artículo 69, apartado 2, protege los productos introducidos en el mercado antes del 11 de diciembre de 2027 – pero el apartado 3 excluye expresamente de esa protección al artículo 14: las obligaciones de notificación se aplican «a todos los productos con elementos digitales que entren en el ámbito de aplicación del presente Reglamento y que se hayan introducido en el mercado antes del 11 de diciembre de 2027».

Para las obligaciones de notificación no hay, por tanto, protección del parque existente ni periodo de gracia – a diferencia de los demás requisitos del CRA, que el artículo 69, apartado 2, exime para los productos existentes mientras no se modifiquen sustancialmente. Máquinas que llevan años en campo y versiones de software entregadas hace tiempo quedan incluidas desde el 11 de septiembre. El BSI lo formula igual en su Directriz Técnica TR-03183-1: el artículo 14 es la excepción a la regla del parque existente.

A quién se dirige – y quién lo es sin quererlo

El obligado es el fabricante. Lo decisivo, sin embargo, es el artículo 21: un importador o distribuidor se considera fabricante y queda sujeto a las obligaciones del artículo 14 si introduce un producto en el mercado con su propio nombre o marca, o si lo modifica sustancialmente.

Para el comercio y las compras esta es la decisión de diseño más cara del proceso. Quien deja la marca ajena es importador y debe obligaciones comparativamente ligeras. Quien pega su propio logotipo es fabricante en toda regla – incluida la notificación en 24 horas. Con la ingeniería mecánica ocurre algo similar: el Reglamento de Máquinas no desplaza al CRA, ambos se aplican en paralelo. El SaaS puro sin producto entregado no cae bajo el CRA; que en su lugar aplique NIS2 depende del sector y del tamaño de la empresa.

Qué pone realmente en marcha el plazo de 24 horas

Aquí conviene la precisión, porque el Reglamento distingue tres niveles. Una «vulnerabilidad» (art. 3, punto 40) y una «vulnerabilidad explotable» (punto 41) no activan nada. Solo es notificable la «vulnerabilidad explotada activamente» (punto 42) – definida como aquella «respecto de la cual existan pruebas fiables de que un actor malicioso la ha explotado en un sistema sin permiso del propietario del sistema».

Un CVE en el propio producto, un hallazgo de pentest o un fallo teóricamente explotable no ponen en marcha el reloj. Un exploit confirmado en circulación sí.

La segunda vía de notificación es más amplia de lo que sugiere su nombre. Según el artículo 14, apartado 5, un incidente de seguridad se considera grave ya cuando afecta negativamente «o puede afectar» a la capacidad de protección del producto. El criterio es la seguridad del producto entregado, no la operatividad de la propia casa – un incidente que a usted apenas le molesta puede ser notificable según el CRA.

Los plazos

  • 24 horas desde el conocimiento: alerta temprana. En el caso de la vulnerabilidad, incluye indicar los Estados miembros en los que se comercializó el producto.
  • 72 horas desde el conocimiento: la notificación propiamente dicha, con datos del producto, naturaleza de la explotación y medidas ya adoptadas.
  • Informe final: en la vulnerabilidad, a más tardar 14 días después de que esté disponible una medida correctora o de mitigación – no desde el conocimiento. En el incidente, un mes después de la notificación de las 72 horas.

Se notifica simultáneamente al CSIRT designado como coordinador y a ENISA, a través de la plataforma única de notificación del artículo 16. Para los fabricantes alemanes es el CERT-Bund del BSI. La autoridad de vigilancia del mercado no es destinataria de la notificación – son los CSIRT quienes la informan.

El apartado 8 se pasa por alto con facilidad: además debe informar a los usuarios afectados. El Reglamento no fija un plazo numérico para ello, solo «sin demora indebida» – y si el fabricante permanece inactivo, el CSIRT puede informar a los usuarios por su cuenta.

Lo que cuesta si no se hace

Las infracciones del artículo 14 están en la categoría de multas más alta del artículo 64: hasta 15 millones de euros o el 2,5 por ciento del volumen de negocios anual mundial, según cuál sea mayor. Para microempresas y pequeñas empresas, el artículo 64, apartado 10, letra a), prevé una excepción: no se les imponen multas por incumplir el plazo de 24 horas, y el considerando 120 insta además a los Estados miembros a no imponerles por ello otras sanciones económicas. La excepción afecta únicamente a ese plazo – la obligación de notificar y todos los demás plazos siguen sin cambios.

No espere alivio en otro punto: las obligaciones de notificación del CRA, de NIS2 y del RGPD conviven, el mismo incidente puede activar las tres y ninguna sustituye a otra. NIS2 prevé al menos un punto de contacto único que los Estados miembros deberían usar también para notificaciones bajo otras normas de la Unión – eso simplifica el camino, no la obligación.

Qué debe estar listo el 11 de septiembre

  • Un proceso de notificación que aguante 24 horas. Quién detecta, quién valora, quién decide, quién notifica – con nombres, con suplencias, también un viernes por la tarde y durante las vacaciones de la empresa.
  • Acceso a la plataforma de ENISA. El registro se hace con un EU Login con autenticación multifactor. Tenga en cuenta que ENISA desaconseja expresamente registrarse de forma preventiva, y aclara al mismo tiempo que la validación no es requisito para cumplir la obligación de notificar. Prevea más de una persona autorizada.
  • Un inventario de productos con referencia de mercado. Sin saber en qué Estados miembros se comercializó un producto, la alerta temprana no puede darse completa.
  • Un canal para informar a los usuarios según el apartado 8 – una lista de distribución o una página de avisos.
  • Una definición interna de cuándo existe «conocimiento». El Reglamento no define el término, aunque el plazo depende de él.

No cuente con un periodo de tolerancia. El dimensionamiento, eso sí, merece atención: el proyecto de ley alemán calcula una media de 2.000 notificaciones al año, mientras que el ZVEI, en su alegación al anteproyecto, replica que el propio BSI señala más de 42.000 vulnerabilidades anuales en su informe de situación de 2025. Habrá que ver cuánto aguanta la vía de notificación en su primer año – eso no cambia nada en su obligación.

Cómo apoya sector7

Construimos con usted el proceso de notificación para que aguante bajo presión de tiempo: responsabilidades y suplencias, disponibilidad, un inventario de productos con referencia de mercado y el canal para informar a los usuarios. La calificación jurídica de su papel según el artículo 21 corresponde a su asesoría legal – nosotros implementamos los requisitos técnicos y organizativos que se derivan de ella. Más información en Regulación y cumplimiento y Ciberseguridad.

Fuentes

Hablemos de su situación.

Concertar una conversación+49 212 240915 0