Reglamento de Ciberresiliencia: entrada en vigor de sus primeras obligaciones

A partir del próximo 11 de septiembre de 2026 resultará plenamente aplicable el artículo 14 del Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (el "Reglamento de Ciberresiliencia" o "CRA"). En términos generales, se trata de la primera norma europea que impone, de manera armonizada, requisitos de ciberseguridad a los fabricantes de productos con elementos digitales —ya sean de hardware o de software— a lo largo de todo su ciclo de vida, como condición para su comercialización en el mercado de la Unión.

Conviene recordar, a estos efectos, que el objeto regulado por el CRA —el «producto con elementos digitales»— se define de forma deliberadamente amplia, comprendiendo tanto equipos informáticos como programas informáticos y sus soluciones de tratamiento de datos a distancia (artículo 3.1). Quedan así cubiertos, por un lado, productos de hardware (p. ej., routers domésticos, cámaras IP, cerraduras inteligentes, juguetes conectados o dispositivos ponibles de salud) y, por otro, productos puramente de software, incluidas las aplicaciones móviles (p. ej., sistemas operativos, navegadores, gestores de contraseñas, software antivirus o aplicaciones móviles de servicios, mensajería o domótica). Las obligaciones descritas en las siguientes secciones aplican, por tanto, a todos ellos por igual.

La entrada en vigor de las obligaciones previstas en el artículo 14 del CRA constituye el primer hito real de exigibilidad de un texto que, con carácter general, no será aplicable hasta el 11 de diciembre de 2027, y que ha optado por adelantar de forma singular las obligaciones de notificación de vulnerabilidades e incidentes que pesan sobre los fabricantes.

Las principales características del régimen que empezará a desplegar plenos efectos la fecha indicada se podrían resumir en los siguientes términos:

Ámbito subjetivo y anticipación del calendario

El calendario del CRA es escalonado. La fecha general de entrada en vigor es el 11 de diciembre de 2027. No obstante, el legislador europeo optó por dos ventanas anticipadas: el capítulo IV (artículos 35 a 51), relativo a la notificación de organismos de evaluación de la conformidad, resulta aplicable desde el 11 de junio de 2026, y el artículo 14, desde el 11 de septiembre de 2026.

La anticipación del artículo 14 se refuerza además por una excepción expresa al régimen transitorio: como excepción a la regla general de que los productos introducidos en el mercado antes del 11 de diciembre de 2027 solo quedan sujetos al Reglamento si son objeto de una modificación sustancial, las obligaciones del artículo 14 se aplicarán a todos los productos con elementos digitales que entren en el ámbito de aplicación del Reglamento y hayan sido introducidos en el mercado antes de esa fecha. Es decir, la obligación de notificación cubre desde el primer día también los productos hoy ya comercializados.

Notificación de vulnerabilidades aprovechadas activamente

El apartado 1 del artículo 14 establece la primera de las dos obligaciones esenciales de esta disposición: los fabricantes deben notificar simultáneamente al CSIRT designado como coordinador y a ENISA (Agencia de la Unión Europea para la Ciberseguridad) cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento, a través de la plataforma única de notificación establecida en el artículo 16. En este sentido, cabe recordar que el artículo 3.42 del CRA define como “vulnerabilidad aprovechada activamente” como aquella respecto de la cual existen pruebas fiables de que un agente malintencionado la ha aprovechado en un sistema sin autorización del propietario del sistema.

La notificación se articula en tres fases sucesivas, todas ellas con plazos específicamente establecidos:

-        En primer lugar, una alerta temprana que debe presentarse sin demora indebida y, en todo caso, en un plazo máximo de 24 horas desde que el fabricante haya tenido conocimiento de la vulnerabilidad, indicando, cuando proceda, los Estados miembros en cuyo territorio se haya comercializado el producto.

-        En segundo lugar, una notificación de la vulnerabilidad que debe presentarse en un plazo máximo de 72 horas, con información general disponible sobre el producto, la naturaleza de la vulnerabilidad, el modo en que es aprovechada y las medidas correctoras o paliativas adoptadas o que los usuarios puedan adoptar, indicándose además, cuando proceda, la sensibilidad de la información notificada.

-        Por último, un informe final que debe presentarse a más tardar 14 días después de que se disponga de una medida correctora o paliativa, con descripción de la vulnerabilidad —incluidas gravedad y repercusiones—, información sobre cualquier agente malintencionado que la haya aprovechado y detalles sobre la actualización de seguridad u otras medidas correctoras disponibles.

Notificación de incidentes graves de seguridad

En paralelo, el apartado 3 del artículo 14 del CRA obliga a los fabricantes a notificar simultáneamente al CSIRT coordinador y a la ENISA cualquier incidente grave que repercuta en la seguridad de un producto con elementos digitales, también a través de la plataforma única del artículo 16.

El régimen replica la estructura tripartita anterior, con matices: alerta temprana en 24 horas, indicando como mínimo si se sospecha que el incidente se debe a actos ilegales o malintencionados y, cuando proceda, los Estados miembros en cuyo territorio se ha comercializado el producto; notificación del incidente en 72 horas, con información general sobre la naturaleza del incidente, una evaluación inicial y las medidas correctoras o paliativas adoptadas o disponibles para los usuarios; e informe final en el plazo de un mes desde la notificación anterior, con descripción detallada del incidente (gravedad e impacto), tipo de amenaza o causa principal probable y medidas paliativas aplicadas y en curso.

El propio precepto tasa cuándo un incidente merece la calificación de "grave" a efectos del CRA: cuando afecte o pueda afectar negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes; o cuando haya llevado o pueda llevar a la introducción o ejecución de código malicioso en el producto o en la red y sistemas de información del usuario. La formulación es deliberadamente amplia y arrastrará, en la práctica, a un número no menor de incidentes de gravedad intermedia, con la carga notificacional que ello implica.

Determinación del CSIRT competente y "ventanilla única"

El apartado 7 introduce una regla de ventanilla única con criterios de conexión pensados para evitar la fragmentación entre autoridades: las notificaciones se presentan a través de la plataforma única del artículo 16, utilizando el nodo final del CSIRT coordinador del Estado miembro en el que el fabricante tenga su establecimiento principal en la Unión, y quedan accesibles simultáneamente para la ENISA. Se considera "establecimiento principal" el situado en el Estado miembro donde se adopten predominantemente las decisiones relativas a la ciberseguridad de los productos; de no poder determinarse, aquel en el que el fabricante tenga el establecimiento con mayor número de trabajadores en la Unión.

Para los fabricantes sin establecimiento principal en la Unión, se aplica un orden de prelación por Estado miembro: (a) el del representante autorizado que actúe para el mayor número de productos; (b) el del importador que introduzca en el mercado el mayor número de productos; (c) el del distribuidor que comercialice el mayor número de productos; y (d) aquel en el que se sitúe el mayor número de usuarios.

Deber de información a los usuarios

El artículo 14 no se agota en la comunicación a las autoridades. Su apartado 8 impone un deber paralelo hacia el mercado: una vez tenga conocimiento de la vulnerabilidad aprovechada activamente o del incidente grave, el fabricante debe informar a los usuarios afectados —y, cuando proceda, a todos los usuarios— sobre la incidencia y, cuando así se requiera, sobre las medidas de reducción de riesgos y correctoras que puedan adoptar, si es posible en un formato legible por máquina estructurado; cuando el fabricante no informe en plazo, los CSIRT notificados podrán hacerlo directamente cuando resulte proporcionado y necesario para prevenir o mitigar las repercusiones.

Se trata de una obligación con notable componente reputacional que exige coordinar de antemano los canales técnicos con los procesos internos de comunicación, plantillas y aprobaciones, para que la exigencia de plazo no colisione con los tiempos de decisión corporativa.

Actos de desarrollo pendientes

La aplicabilidad plena del artículo 14 depende, en parte, de dos habilitaciones normativas a la Comisión. Por un lado, a más tardar el 11 de diciembre de 2025, la Comisión debía adoptar actos delegados que precisen las condiciones para aplazar la difusión de notificaciones por motivos de ciberseguridad conforme al artículo 16.2. Por otro, la Comisión puede especificar mediante actos de ejecución el formato y los procedimientos de las notificaciones de los artículos 14, 15 y 16. El grado de desarrollo efectivo de ambos actos condicionará la operatividad práctica de la plataforma única a partir del 11 de septiembre de 2026.

En conclusión, la aplicación del artículo 14 del Reglamento de Ciberresiliencia marca el primer hito real de exigibilidad del nuevo marco europeo de ciberseguridad de productos y anticipa, con quince meses de antelación respecto de la fecha general, buena parte de la carga operativa que llegará en diciembre de 2027.