Cyber Resilience Act: notificación desde septiembre de 2026

El Cyber Resilience Act —Reglamento (UE) 2024/2847— está en vigor desde el 10 de diciembre de 2024, pero sus obligaciones se aplican de forma escalonada. La próxima fecha clave, y la más importante en la práctica, es inminente: a partir del 11 de septiembre de 2026 rigen las obligaciones de notificación del artículo 14. Los fabricantes deberán entonces notificar por primera vez, en un plazo de 24 horas, las vulnerabilidades explotadas activamente y los incidentes de seguridad graves, un proceso que no se improvisa en el momento crítico, sino que se construye antes.

El tema es menos dramático de lo que a menudo se presenta, pero logísticamente exigente, y afecta a bastantes más empresas de las que ahora mismo se sienten aludidas: quien introduce en el mercado de la UE hardware o software con conexión de datos directa o indirecta bajo su propio nombre es «fabricante» en el sentido del reglamento, también el constructor de maquinaria con su propio software de control y la mediana empresa de software.

A quién se dirige el CRA como fabricante

El ámbito de aplicación abarca los «productos con elementos digitales»: hardware y software, incluido el tratamiento remoto de datos asociado, que se introducen en el mercado de la UE. El concepto está formulado deliberadamente de forma amplia. Muchas medianas empresas —constructores de maquinaria e instalaciones, fabricantes de componentes conectados, casas de software con producto propio— no se consideran hasta ahora destinatarias, aunque lo son.

Quien cae dentro del ámbito de aplicación asume como fabricante un paquete de obligaciones:

evaluación de riesgos de ciberseguridad para el producto,
cumplimiento de los requisitos esenciales del anexo I,
documentación técnica,
un período de soporte definido con actualizaciones de seguridad,
marcado CE y declaración UE de conformidad.

Para el tratamiento de vulnerabilidades rige, además, un período de soporte de al menos cinco años, más corto solo si la vida útil prevista es en sí misma más corta.

Tres fechas clave, y por qué la del medio es la más importante

El artículo 71 escalona la aplicación del reglamento en tres etapas:

11 de junio de 2026: rigen las disposiciones sobre los organismos notificados (organismos de evaluación de la conformidad); esta fecha clave ya se ha alcanzado.
11 de septiembre de 2026: las obligaciones de notificación del artículo 14 pasan a ser vinculantes.
11 de diciembre de 2027: el reglamento se aplica por completo, incluidos todos los requisitos de producto.

Para los productos existentes hay una distinción importante: los productos introducidos en el mercado antes del 11 de diciembre de 2027 quedan sujetos a los requisitos completos solo si después se modifican sustancialmente. Las obligaciones de notificación del artículo 14, en cambio, rigen según el artículo 69 con independencia de cuándo se introdujo el producto en el mercado. Dicho de otro modo: también para la cartera de productos que ya está hoy en el campo, el proceso de notificación debe estar operativo el 11 de septiembre de 2026. Precisamente por eso, esa fecha es el verdadero motor de la acción, no el año 2027.

Qué debe notificarse concretamente a partir del 11 de septiembre de 2026

Están sujetas a notificación dos categorías de casos: las vulnerabilidades explotadas activamente en un producto y los incidentes graves con repercusión en su seguridad. Para ambas rige una cascada de plazos:

Alerta temprana en un plazo de 24 horas desde el conocimiento,
Notificación en un plazo de 72 horas con una primera evaluación,
Informe final —en caso de vulnerabilidades, a más tardar 14 días después de que esté disponible una medida correctora; en caso de incidentes, a más tardar un mes después de la notificación de las 72 horas.

Los destinatarios de las notificaciones son el CSIRT designado como coordinador y la ENISA, técnicamente a través de una plataforma central de notificación (Single Reporting Platform). Aquí hay una particularidad de la situación actual: a mediados de julio de 2026, esta plataforma aún no estaba en funcionamiento; debe estar operativa el 11 de septiembre de 2026. Aun así, esperar a los detalles de la plataforma es la estrategia equivocada. En la práctica, el plazo de 24 horas no fracasa por el formulario de notificación, sino porque la información no llega internamente a tiempo a la instancia adecuada.

Las demás obligaciones: mirada a diciembre de 2027

Quien haya organizado la obligación de notificación no debería perder de vista el segundo bloque. Hasta el 11 de diciembre de 2027, los productos recién introducidos en el mercado deben cumplir los requisitos completos. Dos puntos merecen especial atención:

Evaluación de la conformidad: los productos clasificados como «importantes» (anexo III) o «críticos» (anexo IV) quedan sujetos a procedimientos de evaluación más estrictos; una mera autoevaluación basta en los productos «importantes» de clase I solo si se aplican por completo las normas armonizadas pertinentes; para clases superiores queda excluida.
Situación normativa: las normas armonizadas del CRA aún no se han publicado en el Diario Oficial de la UE; tras el aplazamiento de plazos propuesto por la Comisión en julio de 2026, se espera que las primeras normas terminadas lleguen entre octubre y diciembre de 2026, y su inclusión en el Diario Oficial vendrá después. Los fabricantes que empiecen ahora con la implementación trabajan, por tanto, de momento directamente contra los requisitos del anexo I.

La amenaza de sanciones debe tomarse en serio: las infracciones pueden sancionarse con multas de hasta 15 millones de euros o el 2,5 por ciento de la cifra de negocios anual mundial, según cuál sea el importe más alto. Hay un alivio para las microempresas y pequeñas empresas: no se les impone multa si únicamente incumplen el plazo de 24 horas para la alerta temprana. Esto no es expresamente una patente de corso para el proceso en su conjunto.

Chequeo de preparación: cinco pasos hasta el 11 de septiembre

La buena noticia: la obligación de notificación no requiere un gran proyecto, sino un proceso limpio. Cinco pasos, en este orden:

1. Elaborar un inventario de productos

¿Qué productos con elementos digitales introduce usted en el mercado de la UE, incluidos firmware, apps y el tratamiento remoto de datos asociado? Sin esta lista, toda planificación posterior queda incompleta.

2. Organizar la recepción de vulnerabilidades

¿Cómo se entera usted siquiera de una vulnerabilidad en su producto? Hace falta un canal de recepción definido, tanto para las notificaciones externas de investigadores de seguridad y clientes como para los hallazgos propios de desarrollo y operación.

3. Definir la ruta interna de escalado de 24 horas

Desde el primer aviso hasta la decisión «notificable o no» no deben transcurrir 24 horas. Esto exige responsabilidades claras, reglas de sustitución y disponibilidad también fuera del horario de oficina.

4. Designar la responsabilidad de notificación

¿Quién emite la notificación, quién la aprueba, quién mantiene la actualización de las 72 horas y el informe final posterior? Basta un rol designado con suplencia, pero debe estar designado antes de la fecha clave.

5. Aprobar una política de período de soporte

Fije para cada producto el período de soporte y documente la justificación. Es al mismo tiempo la base para la comunicación con los clientes y para el posterior trabajo de conformidad de cara a 2027.

Interpretación: logística en lugar de pánico

A partir de septiembre, el CRA no exige nada que una empresa organizada no pudiera aportar. Pero exige formalidad: procesos definidos, responsables designados, plazos cumplidos. Quien aborde el tema ahora con un proyecto de preparación abarcable estará operativo en la fecha clave, y habrá sentado a la vez los cimientos para los requisitos de producto completos a partir de diciembre de 2027.

Cómo ayuda sector7

Como casa de gestión propia, unimos el asesoramiento en cumplimiento (ISO 27001, NIS-2, DORA, TISAX) con la operación técnica que hay detrás, y aplicamos la misma sistemática a la preparación del CRA. La recepción de vulnerabilidades y la ruta de escalado de 24 horas las conectamos directamente con nuestra supervisión NOC 24/7, para que los avisos no se queden en el buzón, sino que se escalen las veinticuatro horas a la instancia adecuada. Todo ello con una tarifa plana mensual previsible, para que la preparación del CRA siga siendo presupuestable.

Este artículo es una interpretación técnica y no sustituye el asesoramiento jurídico en cada caso concreto.

Cyber Resilience Act: obligación de notificación a partir del 11 de septiembre de 2026