Notificar vulnerabilidades explotadas e incidentes graves que afecten a software y hardware ya es obligatorio
Table of Contents
Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben notificar vulnerabilidades explotadas e incidentes graves a las autoridades públicas e informar a los usuarios afectados
Reglamento DORA, directiva NIS2, reglamento de IA… En los últimos años se ha aprobado en la Unión Europea un paquete de normas que incluyen obligaciones y medidas en materia de ciberseguridad para proteger a la sociedad y el ecosistema empresarial europeos frente a las ciberamenazas. Una de estas normas es el reglamento de ciberresiliencia, conocido popularmente como reglamento CRA por sus siglas en inglés (Cyber Resilience Act).
¿Cuál es el objetivo del reglamento CRA? Garantizar la resiliencia y la seguridad del software y el hardware que se comercializa en la Unión Europea. ¿Cómo? Mediante medidas como evaluaciones de riesgos continuas o la obligación de notificar vulnerabilidades explotadas e incidentes graves que afecten a software y hardware.
La norma va dirigida, por tanto, a los fabricantes de productos con elementos digitales y a las compañías que los comercializan en territorio comunitario.
A diferencia de la directiva NIS2, que debe ser transpuesta a la legislación española a través de una ley que aún no se ha aprobado, el reglamento CRA es de obligado cumplimiento una vez que resulte aplicable.
Aunque la mayoría de esta norma no será aplicable hasta el 11 de diciembre de 2027, desde el 11 de septiembre de 2026 es obligatorio para los fabricantes notificar vulnerabilidades explotadas e incidentes graves que afecten a sus productos con elementos digitales.
A continuación, te vamos a explicar cómo se deben notificar vulnerabilidades explotadas e incidentes graves y de qué manera es posible gestionar de forma eficaz tanto las vulnerabilidades como los incidentes para garantizar la seguridad y la operatividad del software y el hardware.
1. ¿Cuándo se deben notificar vulnerabilidades explotadas e incidentes graves que afecten a los productos digitales?
El reglamento CRA establece que los fabricantes de productos digitales incluidos en la norma deben informar «sin demora indebida» de una vulnerabilidad aprovechada activamente que esté presente en su producto al CSIRT del país donde tienen su núcleo principal y a la ENISA. En el caso de España, el CSIRT es el INCIBE-CERT.
En todo caso, el plazo máximo para notificar una vulnerabilidad explotada activamente es de 24 horas desde el momento en que el fabricante haya tenido conocimiento de ella.
En el caso de los incidentes graves que repercutan en la seguridad de los productos con elementos digitales, el plazo de notificación es exactamente el mismo: 24 horas desde que el fabricante tuvo constancia del incidente y de su afectación para la seguridad del software o el hardware de que se trate.
Por lo tanto, los plazos para notificar vulnerabilidades explotadas e incidentes graves de forma temprana son muy cortos y exigen que los fabricantes cuenten con políticas de seguridad adaptadas a esta exigencia normativa que les permitan actuar con eficiencia y celeridad.
2. ¿Cómo es el proceso para notificar vulnerabilidades explotadas e incidentes graves?
Básicamente, debe informarse a las autoridades competentes (CSIRT y ENISA) a través de una plataforma única de notificación creada por esta última. ¿Con qué fin? Facilitar el proceso de notificar vulnerabilidades explotadas e incidentes graves y agilizar el intercambio de comunicación entre los diferentes CSIRT de la Unión Europea.
2.1. Notificación de vulnerabilidades activamente explotadas
El proceso de notificación de vulnerabilidades que ya están siendo aprovechadas por actores maliciosos para realizar ataques consta de tres pasos:
- Notificación de alerta temprana de la vulnerabilidad. Debe presentarse, como apuntamos antes, dentro de las 24 horas siguientes a que se tuviese constancia de que una vulnerabilidad estaba siendo activamente explotada. En la notificación se deben indicar los estados de la UE en los que se tenga constancia de que el producto se ha comercializado.
- Notificación de la vulnerabilidad. Esta notificación debe presentarse, como máximo, en un plazo de 72 horas, salvo que toda la información que debe contener ya se haya facilitado en la notificación de alerta temprana. ¿De qué información hablamos?
- a. Información general sobre el producto afectado.
- b. La naturaleza de la vulnerabilidad.
- c. El modo en que la vulnerabilidad está siendo aprovechada.
- d. Las medidas de mitigación adoptadas por el fabricante.
- e. Las medidas de mitigación que pueden llevar a cabo los usuarios.
- Informe final. Deberá presentarse dentro de los 14 días siguientes al momento en que se disponga de una medida correctora para subsanar la vulnerabilidad, salvo que ya se hayan incluido todos los datos que debe contener en las notificaciones anteriores. La información mínima que se debe transmitir es:
- a. Una descripción de la vulnerabilidad en la que se haga referencia a su nivel de gravedad y sus repercusiones sobre el producto y los usuarios.
- b. Información sobre el actor malicioso que ha explotado la vulnerabilidad, si se dispone de ella.
- c. Detalles sobre la actualización de seguridad desarrollada o sobre cualquier otra medida implementada para mitigar la vulnerabilidad.
2.2. Notificación de incidentes graves que afectan a la seguridad de los productos
El reglamento CRA establece la obligación de notificar incidentes graves que repercutan en la seguridad de un hardware o un software incluidos en la norma. ¿Cómo puede un fabricante saber si un incidente cumple las características fijadas por el reglamento? Básicamente, cuando se trate de un evento que:
- Afecte o pueda llegar a afectar a la capacidad del software o hardware de «proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes».
- O haya provocado o pueda provocar la introducción o ejecución de malware en el producto o en la red y los sistemas de los usuarios del producto.
El proceso de notificación de incidentes graves cuenta, también, con tres fases:
- Notificación de alerta temprana del incidente. Debe emitirse, como ya apuntamos antes, dentro de las 24 horas siguientes a que se tenga constancia del incidente. La notificación debe contener, como mínimo:
- a. Si se sospecha que el incidente es consecuencia de un ataque.
- b. Los países de la UE en los que se tenga constancia de que el producto se ha comercializado.
- Notificación del incidente. Dentro de las 72 horas siguientes a la detección del incidente se debe suministrar la siguiente información, salvo que se incluyese en la alerta temprana:
- a. Información general sobre la naturaleza del incidente.
- b. Un análisis inicial del incidente.
- c. Las medidas adoptadas para responder al incidente y ponerle fin.
- d. Las medidas que pueden adoptar los usuarios del producto.
- Informe final. Los fabricantes tienen un mes desde la presentación de la notificación del incidente para aportar un informe final en el que se:
- a. Describa de forma detallada el incidente, incluyendo su gravedad y repercusiones.
- b. Estipule el tipo de amenaza que haya provocado el incidente o su causa.
- c. Detalle las medidas implementadas para responder al incidente, incluidas las que sigan estando activas.
Más allá de los pasos que se deben dar para notificar vulnerabilidades explotadas e incidentes graves, la norma contempla que el CSIRT puede solicitar a los fabricantes informes provisionales en los que se actualice la situación de la vulnerabilidad o el incidente en cuestión.
3. ¿También hay que notificar vulnerabilidades explotadas e incidentes graves a las personas y organizaciones que usan los productos?
Sí. El reglamento CRA obliga a los fabricantes a notificar vulnerabilidades explotadas e incidentes graves que afectan a sus productos digitales a:
- Los usuarios afectados.
- A todos los usuarios, cuando proceda.
¿Cuándo se debe informar a los usuarios? La norma usa la fórmula «una vez tenga conocimiento», sin embargo, a diferencia de la notificación a las autoridades públicas, no se fija un plazo máximo para notificar a ciudadanos y empresas.
Eso sí, el reglamento CRA también estipula que, si el fabricante no informa en un «plazo oportuno a los usuarios del producto con elementos digitales», el CSIRT que haya sido notificado sobre la vulnerabilidad o el incidente puede informar directamente a los usuarios si considera que se trata de una medida necesaria y proporcional para «prevenir o mitigar las repercusiones de la vulnerabilidad o el incidente en cuestión».
Por lo tanto, los fabricantes tienen más margen de acción para notificar vulnerabilidades explotadas e incidentes graves a los usuarios de sus productos, pero no pueden eludir esta obligación legal y es conveniente que actúen con diligencia.
¿Qué se le debe comunicar a los usuarios?
- Informales sobre la vulnerabilidad activamente explotada o el incidente grave.
- Detallarles las medidas adoptadas para reducir los riesgos.
- Apuntar las medidas correctoras que los propios usuarios pueden implementar para mitigar las consecuencias de la explotación activa de la vulnerabilidad o del incidente.
¿Cómo se pueden notificar vulnerabilidades explotadas e incidentes graves a los usuarios de los productos afectados?
- Mediante la publicación de información en la web del fabricante.
- Comunicándose directamente con los usuarios cuando esto sea posible y los riesgos de ciberseguridad sean elevados.
4. ¿Qué se busca conseguir con la obligación de notificar vulnerabilidades explotadas e incidentes graves?
El reglamento CRA detalla algunos de los objetivos detrás de la obligación de notificar vulnerabilidades explotadas e incidentes graves que afectan a productos digitales:
- Garantizar que los CSIRT y la ENISA tienen toda la información que necesitan sobre vulnerabilidades e incidentes para proteger el mercado interior frente a las ciberamenazas.
- Facilitar la coordinación ágil y eficaz entre los diversos CSIRT de los estados de la UE, habida cuenta de que la mayoría de los productos se comercializan en todo el mercado común.
- Divulgar vulnerabilidades ya solucionadas para ayudar a los fabricantes a asegurarse de que comercializan productos seguros.
- Permitir a los usuarios de productos afectados por vulnerabilidades o incidentes adoptar las medidas necesarias para minimizar las consecuencias.
5. ¿Cuáles son las consecuencias de no notificar vulnerabilidades explotadas e incidentes graves en tiempo y forma?
El incumplimiento de la obligación de notificar vulnerabilidades explotadas e incidentes graves que afectan a software o hardware conlleva la imposición de multas administrativas.
Para ser precisos, el reglamento CRA contempla multas de hasta 15 millones de euros o equivalentes al 2,5% del volumen de negocio del fabricante en el año anterior.
Evidentemente, las multas en su nivel máximo se reservan para casos extremadamente graves protagonizados por grandes fabricantes y que han afectado a un gran número de ciudadanos y/o empresas.
Aun así, es evidente que incumplir la obligación de notificar vulnerabilidades explotadas e incidentes graves puede suponer un daño económico notable.
Además, debemos tener en cuenta el menoscabo de la confianza de los consumidores y el notable daño reputacional que supone ocultar la explotación activa de una vulnerabilidad o un incidente grave.
Igualmente, los fabricantes que no hayan procedido a notificar vulnerabilidades explotadas e incidentes graves también pueden verse expuestos a conflictos judiciales en caso de que una persona o una empresa haya sufrido un incidente que se podría haber prevenido si se hubiese dispuesto de la información necesaria.
6. La gestión de vulnerabilidades y la respuesta a incidentes son críticas para proteger a los productos y a quiénes los usan
¿Cómo pueden los fabricantes de software y hardware notificar vulnerabilidades explotadas e incidentes graves de acuerdo con el reglamento CRA? Resultan fundamentales dos servicios de ciberseguridad clave a la hora de proteger a las compañías:
- Gestión de vulnerabilidades. Mediante una gestión de vulnerabilidades integral se puede:
- Disponer de un inventario de activos y monitorizar continuamente su seguridad.
- Elaborar planes de detección y mitigación de vulnerabilidades, priorizando las que resulten más críticas, por ejemplo, las que ya están siendo explotadas activamente.
- Reducir los tiempos de detección de las nuevas vulnerabilidades y su subsanación.
- Garantizar el cumplimiento de las normativas de ciberseguridad y, en especial, de la obligación de notificar vulnerabilidades activamente explotadas en los plazos fijados y aportando toda la información solicitada.
- Facilitar medidas de remediación a los usuarios con la máxima celeridad.
- Respuesta a incidentes proactiva. Un equipo de respuesta a incidentes es clave para identificar, contener y eliminar la actividad maliciosa y facilitar la recuperación de la normalidad y la operatividad de un producto digital. Si se cuenta con un plan de respuesta a incidentes bien elaborado:
- Se acelera la orquestación de una respuesta eficaz.
- Se limita el alcance del compromiso y el impacto del incidente.
- Se garantiza el cumplimiento de la normativa en lo relativo a la notificación de los incidentes, estipulando quién debe informar, a quién, en qué plazos y qué información se debe aportar en cada notificación.
- Se facilita el trabajo de análisis posterior para evitar que vuelva a ocurrir.
7. Finales de 2027: La fecha límite en la que se deberá cumplir el reglamento CRA en su totalidad
La obligación de notificar vulnerabilidades explotadas e incidentes graves que afectan a software y hardware es uno de los pilares sobre los que se asienta el reglamento CRA, pero ¿cuáles son los otros?
- Fija requisitos esenciales de seguridad desde el diseño que deben tener los productos críticos e importantes. Dentro de estas categorías nos encontramos con un amplio abanico de hardware y software: routers, VPNs, sistemas operativos, navegadores, software de detección y eliminación de malware, contadores eléctricos inteligentes, juguetes conectados a internet, sistemas de vigilancia de bebés…
- Establece procesos de evaluación de conformidad de los productos críticos e importantes con el reglamento CRA.
- Obliga a los fabricantes a realizar evaluaciones de riesgos de ciberseguridad de sus productos de forma periódica.
- Mandata el deber de integrar componentes de terceros y de código abierto de forma segura para prevenir ataques de cadena de suministro.
- Impone que se gestionen las vulnerabilidades de los productos a lo largo de su ciclo de vida.
- Fija que la mitigación de las vulnerabilidades de los productos críticos e importantes debe realizarse de una manera rápida y eficiente.
- Obliga a realizar auditorías de seguridad de los productos críticos e importantes.
En definitiva, desde el 11 de septiembre de 2026 es obligatorio para los fabricantes de productos digitales notificar vulnerabilidades explotadas e incidentes graves de forma inmediata desde que son conscientes de ellos. Esta nueva obligación hace que resulte aún más crítico implementar una gestión de vulnerabilidades eficaz y contar con un plan de respuesta a incidentes bien trabajado y testeado.
Además, los fabricantes y comercializadores de software y hardware deben comenzar a implementar el resto de las medidas incluidas en el reglamento CRA para estar preparados para su obligatoriedad en poco más de un año.