Cyber Resilience Act (CRA) empieza a tener efectos prácticos. Desde este 11 de septiembre, los fabricantes de productos con elementos digitales comercializados en la Unión Europea deberán notificar las vulnerabilidades que estén siendo explotadas activamente y los incidentes graves de seguridad que afecten a sus productos.
Aunque buena parte de las obligaciones contempladas por el reglamento europeo no serán plenamente aplicables hasta diciembre de 2027, los requisitos de notificación se adelantan más de un año. El objetivo es facilitar que las autoridades europeas puedan conocer y coordinar con mayor rapidez la respuesta ante vulnerabilidades e incidentes que puedan afectar a productos disponibles en distintos Estados miembros.
El calendario es ajustado. Una vez que el fabricante tenga conocimiento de una vulnerabilidad explotada activamente o de un incidente grave, deberá enviar una alerta temprana en un plazo máximo de 24 horas. En las siguientes 72 horas tendrá que ampliar la información disponible, incluyendo aspectos como la naturaleza y el impacto del problema y las medidas de mitigación adoptadas o que puedan aplicar los usuarios.
En el caso de las vulnerabilidades explotadas activamente, el fabricante deberá presentar además un informe final como máximo 14 días después de que esté disponible una medida correctora o de mitigación. Para los incidentes graves, este informe deberá entregarse en el plazo de un mes.
Una plataforma única gestionada por ENISA
Las comunicaciones se realizarán a través de la Single Reporting Platform (SRP), una plataforma creada y gestionada por ENISA que comienza a operar coincidiendo con la entrada en aplicación de estas obligaciones.
El sistema busca evitar que los fabricantes tengan que comunicar un mismo problema por separado a diferentes autoridades nacionales. La notificación se dirige al CSIRT coordinador correspondiente y, salvo circunstancias excepcionales relacionadas con la seguridad, la información también queda disponible para ENISA y se distribuye a los CSIRT de los Estados miembros en los que se comercializa el producto.
Las obligaciones alcanzan a los productos con elementos digitales incluidos en el ámbito del CRA, también cuando hayan sido introducidos en el mercado antes de diciembre de 2027. De este modo, esta parte del reglamento constituye una excepción al calendario general previsto para productos ya comercializados.
El incumplimiento del CRA puede dar lugar a sanciones que, para determinadas infracciones, alcanzan un máximo de 15 millones de euros o el 2,5 % del volumen de negocio mundial anual del ejercicio anterior, si esta cantidad es superior.
La entrada en vigor de estas obligaciones supone así uno de los primeros pasos prácticos en la aplicación del Cyber Resilience Act. El grueso de la regulación será exigible a partir del 11 de diciembre de 2027 e introducirá requisitos más amplios para fabricantes, importadores y distribuidores relacionados con la seguridad por diseño, la gestión de vulnerabilidades y el mantenimiento de la seguridad de los productos durante su ciclo de vida.
