Qué es el CRA y a quién afecta
El Cyber Resilience Act (Reglamento UE 2024/2847, publicado en el Diario Oficial de la Unión Europea el 23 de octubre de 2024) impone requisitos de seguridad a los productos con elementos digitales comercializados en el mercado europeo. Abarca el software, las aplicaciones web, los firmwares y los componentes conectados. Las agencias que desarrollan y entregan productos digitales a sus clientes, los editores de software SaaS, los proveedores que mantienen plataformas en producción: todos entran en el ámbito de aplicación desde el momento en que sus productos se comercializan o se ceden a título oneroso a entidades establecidas en la UE.
Lo que el CRA exige en concreto a las agencias y a los desarrolladores
- Notificación de las vulnerabilidades explotadas activamente en 24 h — aviso a ENISA en cuanto se descubre una explotación activa, incluso antes de que haya un parche disponible.
- Informe de incidente en 72 h — informe más detallado a ENISA en los tres días siguientes a la notificación inicial.
- Gestión activa de las vulnerabilidades durante todo el ciclo de vida — inventario de componentes (SBOM), seguimiento de las CVE y aplicación de los parches en plazos definidos.
- Documentación de seguridad entregada con el producto — guía de configuración segura, registro de actualizaciones y procedimiento de aviso para los usuarios finales.
- Diseño seguro por defecto — el producto debe arrancar en un estado seguro, sin credenciales predeterminadas sin modificar.
- Proceso de divulgación coordinada — mecanismo documentado que permita a terceros notificar vulnerabilidades.
El plazo del 11 de septiembre de 2026: la notificación de vulnerabilidades
El 11 de septiembre de 2026 es la fecha de aplicación de las obligaciones de notificación (artículo 14 del reglamento). No es la fecha de entrada en vigor de todo el reglamento —que se aplica de forma progresiva desde el 11 de diciembre de 2024—, sino el primer plazo operativo que afecta directamente a los equipos técnicos. A partir de esa fecha, una vulnerabilidad conocida como explotada activamente debe dar lugar a una notificación a ENISA en un plazo de 24 horas, haya o no un parche disponible. La guía de la Comisión Europea publicada el 27 de julio de 2026 precisa los canales de notificación y el contenido esperado del informe inicial.
Prepararse antes del 11 de septiembre de 2026
Inventariar los productos digitales incluidos en el ámbito
Elabore la lista del software, los SaaS y los componentes que desarrolla y entrega a clientes en la UE. Excluya los servicios puros y los productos de código abierto sin respaldo comercial, que se benefician de una exención parcial.
Elaborar un SBOM (Software Bill of Materials)
Inventaríe los componentes de terceros (bibliotecas, frameworks, dependencias) integrados en cada producto. Un SBOM estructurado (formatos SPDX o CycloneDX) es la base del seguimiento de las CVE. Integre su generación en su pipeline CI/CD.
Implantar una vigilancia de CVE y un procedimiento de escalado
Suscríbase a los flujos de vulnerabilidades pertinentes (NVD, CERT-EU, proveedores de sus dependencias). Defina un circuito de decisión interno: quién valida la notificación a ENISA, quién redacta el informe y qué canal se utiliza.
Preparar las plantillas de notificación
La notificación inicial en 24 h debe contener: identificación del producto, descripción de la vulnerabilidad, prueba de explotación activa y medidas de mitigación disponibles. Prepare una plantilla validada jurídicamente para no tener que redactarla con prisas.
Abrir un canal de divulgación para terceros
Publique una política de divulgación coordinada (security.txt en la raíz de su-dominio.com, página dedicada) con una dirección de contacto y un compromiso de plazo de respuesta.
Actualizar los contratos y la documentación entregada
Compruebe que sus contratos de mantenimiento identifican las obligaciones del CRA y definen el reparto de responsabilidades. La documentación técnica entregada debe incluir la guía de configuración segura.
CRA y NIS2: dos textos distintos
El CRA trata de la seguridad de los productos digitales (software, componentes y firmwares comercializados); NIS2 (Directiva UE 2022/2555) trata de la resiliencia de las entidades (operadores de servicios esenciales, proveedores críticos). Un mismo actor puede estar sujeto a ambos, pero las obligaciones, las autoridades competentes y los plazos de notificación difieren. No traslade las medidas de uno al otro sin comprobar su aplicabilidad.
Lo que cambia para su infraestructura
Adecuar un producto digital no es solo un ejercicio documental. La detección rápida de una explotación activa supone disponer de capacidad de monitorización de los comportamientos anómalos, de alertas sobre las CVE de los componentes en producción y de un acceso suficientemente detallado a los logs de la aplicación. Una infraestructura alojada en servidores que usted controla —con acceso root, logs completos y libertad para desplegar las herramientas de supervisión— está estructuralmente mejor posicionada que una infraestructura compartida. El alojamiento en VPS o en servidor dedicado también facilita la recogida y la conservación de las pruebas exigidas en el informe de las 72 h.
