Reglamento de Ciberresiliencia: ya están en vigor las primeras obligaciones para fabricantes de productos digitales

El Reglamento de Ciberresiliencia ya ha comenzado a desplegar sus primeras obligaciones. Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben comunicar determinadas vulnerabilidades explotadas activamente e incidentes graves de ciberseguridad a través de la nueva plataforma de ENISA.

La norma afecta a muchas más empresas de las que inicialmente puede parecer, especialmente a fabricantes de hardware, software, dispositivos conectados y determinados productos tecnológicos comercializados en la Unión Europea.

Claves del Reglamento de Ciberresiliencia

• Las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026.
• Los fabricantes deben comunicar las vulnerabilidades explotadas activamente y determinados incidentes graves.
• El primer aviso debe realizarse en un plazo máximo de 24 horas.
• La comunicación posterior debe realizarse, con carácter general, dentro de las 72 horas.
• Las notificaciones se realizan a través de la Single Reporting Platform (SRP) de ENISA.
• La aplicación general del Reglamento llegará el 11 de diciembre de 2027.

¿Qué es el Reglamento de Ciberresiliencia?

El Reglamento de Ciberresiliencia, conocido también como Cyber Resilience Act (CRA), establece un marco común europeo de requisitos de ciberseguridad para los productos con elementos digitales que se comercialicen o pongan a disposición en el mercado de la Unión Europea.

El Reglamento (UE) 2024/2847 entró en vigor el 10 de diciembre de 2024, pero su aplicación es progresiva. Las obligaciones de notificación del artículo 14 comenzaron a aplicarse el 11 de septiembre de 2026, mientras que la aplicación general de las principales obligaciones tendrá lugar el 11 de diciembre de 2027.

El objetivo es reforzar la seguridad de los productos de hardware y software durante todo su ciclo de vida, desde su diseño y fabricación hasta el periodo de soporte y gestión de vulnerabilidades.

¿Qué obligaciones han entrado en vigor el 11 de septiembre de 2026?

La primera obligación especialmente relevante para los fabricantes es la establecida en el artículo 14 del Reglamento. Desde el 11 de septiembre de 2026 deben notificarse determinados problemas de seguridad que afectan a productos con elementos digitales.

Vulnerabilidades explotadas activamente

Los fabricantes deben comunicar las vulnerabilidades de sus productos cuando tengan conocimiento de que están siendo explotadas activamente.

No significa que cualquier vulnerabilidad descubierta durante una auditoría o una prueba de seguridad tenga que notificarse automáticamente. La obligación se refiere específicamente a las vulnerabilidades explotadas activamente contempladas por el Reglamento.

La comunicación se realiza a través de la plataforma única de notificación y llega al CSIRT designado como coordinador, quedando la información disponible también para ENISA conforme al sistema establecido por el Reglamento.

Incidentes graves que afecten a la seguridad del producto

También deben notificarse determinados incidentes graves que tengan un impacto sobre la seguridad del producto con elementos digitales.

El Reglamento contempla, entre otros supuestos, aquellos incidentes que afecten o puedan afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones importantes o sensibles.

También se contempla el supuesto en el que el incidente haya provocado o pueda provocar la introducción o ejecución de código malicioso en el producto o en los sistemas de información del usuario.

Por tanto, no se trata de comunicar cualquier pequeño problema informático. La norma establece criterios concretos para determinar cuándo estamos ante un incidente grave sujeto a notificación.

Los plazos de notificación son especialmente exigentes

Uno de los aspectos más relevantes del Reglamento de Ciberresiliencia son los plazos establecidos para comunicar estos problemas de seguridad.

El primer aviso debe realizarse sin demora indebida y, en todo caso, dentro de las 24 horas siguientes a que el fabricante tenga conocimiento de la vulnerabilidad explotada activamente o del incidente grave.

Cuando se trata de una vulnerabilidad explotada activamente

• Dentro de las 24 horas: alerta temprana.
• Dentro de las 72 horas: comunicación de la vulnerabilidad con la información disponible sobre el producto, la naturaleza general de la explotación, la vulnerabilidad y las medidas correctoras o de mitigación.
• Informe final: como máximo, 14 días después de que esté disponible una medida correctora o de mitigación.

Cuando se trata de un incidente grave

• Dentro de las 24 horas: alerta temprana.
• Dentro de las 72 horas: comunicación del incidente y evaluación inicial.
• Informe final: dentro del mes siguiente a la comunicación de 72 horas.

Estos plazos obligan a los fabricantes a disponer de procedimientos internos capaces de detectar, valorar, escalar y comunicar rápidamente los incidentes.

¿Dónde se realizan las notificaciones?

ENISA ha puesto en funcionamiento la Single Reporting Platform (SRP), la plataforma europea creada para canalizar las notificaciones previstas en el Reglamento de Ciberresiliencia.

La plataforma comenzó a estar operativa el 11 de septiembre de 2026, coincidiendo con la aplicación de las obligaciones de notificación del artículo 14.

El sistema permite que los fabricantes realicen la comunicación a través de una única plataforma, en lugar de tener que efectuar comunicaciones separadas ante diferentes autoridades nacionales.

El objetivo es facilitar una respuesta coordinada entre los CSIRT correspondientes y ENISA.

¿Qué empresas están afectadas por el Reglamento de Ciberresiliencia?

Este es uno de los puntos más importantes.

El Reglamento no afecta de la misma manera a todas las empresas que utilizan tecnología.

Las obligaciones de notificación del artículo 14 que han comenzado a aplicarse el 11 de septiembre de 2026 están dirigidas a los fabricantes de productos con elementos digitales que se comercializan o ponen a disposición en el mercado de la Unión Europea.

El concepto de fabricante incluye a la persona física o jurídica que desarrolla o fabrica un producto con elementos digitales, o para la que se diseña o fabrica, y que lo comercializa bajo su propio nombre o marca.

Dentro de este ámbito pueden encontrarse, por ejemplo, empresas que comercializan bajo su propia marca:

• Hardware conectado.
• Dispositivos IoT.
• Equipos de red.
• Routers, módems y switches.
• Sistemas operativos.
• Aplicaciones y determinados programas informáticos.
• Aplicaciones móviles.
• Componentes de hardware o software comercializados por separado.
• Determinadas soluciones de tratamiento de datos a distancia necesarias para el funcionamiento del producto.

Los importadores y distribuidores también tienen obligaciones dentro del Reglamento, aunque la obligación de notificación del artículo 14 que se aplica desde el 11 de septiembre está dirigida específicamente a los fabricantes.

Además, un operador puede quedar sujeto a las obligaciones propias del fabricante si comercializa un producto bajo su propio nombre o marca o realiza una modificación sustancial del producto.

¿Qué productos están incluidos?

El concepto de producto con elementos digitales es amplio. Comprende productos de software o hardware y determinadas soluciones de tratamiento de datos a distancia, así como componentes de software o hardware comercializados por separado.

Entre los ejemplos que pueden encontrarse dentro del ámbito del Reglamento están:

• Ordenadores y determinados dispositivos electrónicos.
• Electrodomésticos inteligentes.
• Teléfonos móviles.
• Equipos de red.
• Procesadores.
• Sistemas operativos.
• Programas informáticos.
• Juegos.
• Aplicaciones móviles.
• Componentes de software y hardware comercializados por separado.

Ahora bien, no todo servicio digital o servicio en la nube entra automáticamente en el Reglamento.

Para que determinadas soluciones de tratamiento de datos a distancia queden comprendidas, deben cumplirse las condiciones establecidas por el propio CRA, entre ellas que el tratamiento esté diseñado y desarrollado por el fabricante o bajo su responsabilidad y que su ausencia impida que el producto realice alguna de sus funciones.

¿Qué productos quedan fuera?

El Reglamento establece determinadas exclusiones y reglas específicas.

Entre otros supuestos, quedan fuera de su ámbito determinados productos con elementos digitales desarrollados o modificados exclusivamente para fines de defensa o seguridad nacional, así como productos específicamente diseñados para el tratamiento de información clasificada.

También existen exclusiones o reglas específicas para determinados productos que ya están regulados por otras normas europeas sectoriales relacionadas con la ciberseguridad o la seguridad de los productos.

Por eso, cuando una empresa comercializa un producto tecnológico, no basta con preguntarse si contiene software o está conectado a Internet. Es necesario analizar qué producto es, cuál es su función y qué normativa europea resulta aplicable.

No todos los productos tienen el mismo nivel de exigencia

El Reglamento establece diferentes categorías de productos, incluyendo los denominados productos importantes con elementos digitales y determinadas categorías críticas.

Entre los productos importantes pueden encontrarse, dependiendo de sus características y de la categoría concreta establecida por el Reglamento:

• Sistemas de gestión de identidad.
• Gestores de contraseñas.
• Sistemas operativos.
• Routers, módems y switches.
• Sistemas de gestión de redes.
• Sistemas SIEM.
• Software antivirus y de protección frente a malware.
• Productos VPN.
• Determinados productos de hardware y software relacionados con funciones de seguridad.

La clasificación del producto puede determinar requisitos adicionales y procedimientos específicos de evaluación de conformidad.

Por ello, una empresa fabricante deberá determinar correctamente qué categoría corresponde a cada producto que comercializa.

¿Qué ocurrirá a partir del 11 de diciembre de 2027?

El 11 de diciembre de 2027 será una fecha todavía más importante para las empresas afectadas.

Ese día comenzará la aplicación general del Reglamento y serán exigibles las principales obligaciones de ciberseguridad establecidas para los productos con elementos digitales.

Los fabricantes tendrán que haber integrado la ciberseguridad en todo el ciclo de vida del producto.

Entre las principales obligaciones se encuentran:

• Diseño y desarrollo seguro.
• Gestión de vulnerabilidades.
• Actualizaciones de seguridad.
• Documentación técnica.
• Información e instrucciones para los usuarios.
• Evaluación de conformidad.
• Declaración UE de conformidad.
• Marcado CE cuando corresponda.
• Gestión de vulnerabilidades durante el periodo de soporte.

Por tanto, el 11 de septiembre de 2026 no supone el final del proceso. Es el comienzo de una primera fase de obligaciones centrada especialmente en la notificación de vulnerabilidades explotadas activamente e incidentes graves.

¿Qué sanciones contempla el Reglamento?

El Reglamento establece límites máximos para las sanciones que deberán concretarse y aplicarse por los Estados miembros.

Para determinadas infracciones de los requisitos esenciales de ciberseguridad y de las obligaciones de los artículos 13 y 14, pueden establecerse multas administrativas de hasta:

Para otros incumplimientos previstos en el Reglamento, las multas pueden alcanzar:

También se contempla un tercer nivel de sanciones de hasta:

La cuantía concreta deberá determinarse atendiendo a las circunstancias de cada caso, incluyendo la naturaleza, gravedad y duración de la infracción y otros factores previstos por el Reglamento.

Además de las sanciones económicas, pueden adoptarse medidas relacionadas con la retirada o recuperación de productos que presenten incumplimientos o riesgos de ciberseguridad.

Existe, además, una particularidad importante para las microempresas y pequeñas empresas: la Comisión Europea señala que no podrán ser multadas por el mero incumplimiento del plazo de 24 horas para notificar vulnerabilidades e incidentes graves, aunque esto no significa que queden fuera del resto de obligaciones que puedan resultarles aplicables.

¿Qué deberían hacer ahora las empresas afectadas?

Para las empresas que fabrican productos con elementos digitales, esperar hasta diciembre de 2027 no es una buena estrategia.

La obligación de notificación ya está en aplicación desde el 11 de septiembre de 2026.

1. Identificar los productos comercializados

La empresa debería elaborar un inventario de los productos de hardware y software que comercializa o pone a disposición en el mercado de la Unión Europea.

2. Determinar qué papel desempeña la empresa

Es necesario comprobar si actúa como:

• Fabricante.
• Importador.
• Distribuidor.
• Representante autorizado.
• Otro operador económico sujeto al Reglamento.

3. Establecer un procedimiento de gestión de vulnerabilidades

La empresa debe disponer de mecanismos que permitan identificar las vulnerabilidades que afectan a sus productos y determinar cuándo existe una vulnerabilidad explotada activamente.

4. Preparar un protocolo de respuesta a incidentes

Los plazos de 24 y 72 horas hacen necesario disponer de procedimientos internos suficientemente ágiles para detectar, evaluar y escalar los incidentes.

5. Determinar quién debe tomar la decisión

Debe quedar claro quién identifica el incidente, quién realiza la evaluación, quién decide la comunicación y quién es responsable de realizar la notificación a través de la plataforma.

6. Preparar la comunicación con los usuarios

El Reglamento establece también obligaciones relacionadas con la información y comunicación a los usuarios en determinadas circunstancias.

Una obligación que afecta especialmente a los fabricantes tecnológicos

El Reglamento de Ciberresiliencia supone un cambio importante en la forma de entender la seguridad de los productos tecnológicos.

Hasta ahora, muchas empresas podían considerar la ciberseguridad fundamentalmente como una cuestión interna: proteger sus servidores, redes, ordenadores y datos.

El CRA introduce una perspectiva diferente.

El propio producto que la empresa comercializa debe incorporar unas condiciones determinadas de ciberseguridad y debe existir un sistema para gestionar sus vulnerabilidades durante su ciclo de vida.

Y desde el 11 de septiembre de 2026, determinados problemas de seguridad deben ser comunicados dentro de unos plazos muy concretos.

Conclusión

El Reglamento de Ciberresiliencia ya ha comenzado a aplicarse.

Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos utilizando la plataforma de notificación creada por ENISA.

Los plazos son especialmente exigentes: 24 horas para el aviso inicial y 72 horas para la comunicación posterior, seguidos del correspondiente informe final dentro del plazo establecido para cada supuesto.

Pero la gran transformación llegará el 11 de diciembre de 2027, cuando comiencen a aplicarse de forma general las principales obligaciones del Reglamento.

Por ello, las empresas que fabrican o comercializan productos con elementos digitales bajo su propia marca deberían empezar ya a analizar si están dentro del ámbito del CRA y qué obligaciones concretas les corresponden.

No todas las empresas que utilizan tecnología están afectadas de la misma manera. La clave está en determinar si la empresa fabrica, comercializa, importa o distribuye un producto con elementos digitales y qué papel desempeña dentro de la cadena de suministro.

¿Tu empresa fabrica o comercializa productos tecnológicos?

El Reglamento de Ciberresiliencia introduce nuevas obligaciones que conviene analizar antes de que sean plenamente aplicables en diciembre de 2027. Si tienes dudas sobre si tu empresa está dentro de su ámbito, podemos ayudarte a revisar la situación y determinar qué obligaciones pueden afectarte.

Si quieres hacerlo bien desde el principio, cuenta con Asesoría de Pymes.

¿Necesitas asesoramiento?

Estamos disponibles de lunes a viernes de 8:30 a 14:30.

Contactar por WhatsApp