[{"data":1,"prerenderedAt":227},["ShallowReactive",2],{"seo-verification":3,"blog-cra-2027-cyber-resilience-act-agencias-ma-es":6,"promo-bar-likely":226},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-cra-2027-cyber-resilience-act-agencias-ma-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":155,"ctaBody":156,"ctaButton":157,"ctaUrl":158,"relatedPosts":159},267,"cra-2027-cyber-resilience-act-agencias",{"fr":12,"en":13,"ar":14,"es":10},"cra-cyber-resilience-act-hebergement-2027","cra-2027-what-the-cyber-resilience-act-changes-for-your-agency","cra-2027-ما-يغيره-قانون-المرونة-الإلكترونية-لوكالتك","CRA 2027: qué cambia el Cyber Resilience Act para usted","El CRA ya exige notificar las vulnerabilidades explotadas y se aplica del todo el 11 de diciembre de 2027: obligaciones, sanciones y plan para su agencia.",18,3,false,"2026-08-15T00:00:00+00:00","2026-11-09T20:55:13+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},10,"Cumplimiento y normativa","conformite","bg-amber-500\u002F10 text-amber-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fcra-cyber-resilience-act-hebergement-2027-poster.svg","El Cyber Resilience Act (CRA) — Reglamento (UE) 2024\u002F2847, publicado en el Diario Oficial de la Unión Europea el 20 de noviembre de 2024 y en vigor desde el 10 de diciembre de 2024 — impone por primera vez obligaciones de ciberseguridad vinculantes a los **fabricantes de productos con elementos digitales** introducidos en el mercado europeo. Para una agencia web que desarrolla aplicaciones, plugins, extensiones o firmware, el calendario ya ha empezado: desde el **11 de septiembre de 2026**, toda vulnerabilidad explotada activamente debe notificarse en un plazo de 24 horas. El **11 de diciembre de 2027** se aplican todos los requisitos, y el incumplimiento expone a multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial.",[34,38,50,53,56,59,84,87,115,119,122,149,152],{"type":35,"title":36,"body":37},"h2","¿Qué es el Cyber Resilience Act?","El CRA (Reglamento (UE) 2024\u002F2847) es un texto horizontal que cubre **todos los productos con elementos digitales** comercializados en el mercado de la Unión cuyo uso previsto incluye una conexión directa o indirecta a un dispositivo o a una red: productos físicos (routers, cámaras IP, termostatos conectados) y también software puro (aplicaciones móviles, plugins, bibliotecas, sistemas operativos). Es la primera normativa europea que se aplica a la **seguridad del código** durante todo el ciclo de vida de un producto.\n\nNo es una directiva que cada Estado transpone a su manera: es un **reglamento**, de aplicación directa y uniforme en los 27 Estados miembros. Se aplica a partir del **11 de diciembre de 2027**, con dos escalones anticipados: las disposiciones sobre los organismos de evaluación de la conformidad (capítulo IV) desde el **11 de junio de 2026**, y la obligación de notificación del artículo 14 desde el **11 de septiembre de 2026**.\n\n**Tres niveles de producto, tres niveles de evaluación:**\n- **Productos por defecto**: la gran mayoría del software y de los objetos conectados. El fabricante demuestra la conformidad mediante **control interno** (módulo A, autoevaluación).\n- **Productos importantes (anexo III)**, en dos clases. **Clase I**: sistemas de gestión de identidades, navegadores, gestores de contraseñas, antimalware, productos VPN, SIEM, gestores de arranque, sistemas operativos, routers y conmutadores, entre otros. La autoevaluación solo sigue siendo posible si el fabricante aplica íntegramente una norma armonizada, una especificación común o un esquema de certificación; en caso contrario interviene un organismo notificado. **Clase II**: hipervisores y entornos de ejecución de contenedores, cortafuegos y sistemas de detección o prevención de intrusiones, microprocesadores y microcontroladores resistentes a la manipulación. La intervención de un organismo notificado (examen UE de tipo o aseguramiento total de la calidad) o una certificación europea es obligatoria.\n- **Productos críticos (anexo IV)**: dispositivos de hardware con cajas de seguridad, pasarelas de contadores inteligentes, tarjetas inteligentes y elementos seguros. Dependen de un esquema europeo de certificación de ciberseguridad cuando se exige, y si no, de los procedimientos de la clase II.",{"type":39,"title":40,"items":41},"ul","Lo que el CRA obliga en concreto",[42,43,44,45,46,47,48,49],"**Seguridad desde el diseño** (security by design): los riesgos de ciberseguridad se evalúan y documentan desde la fase de diseño, no se tratan como parches tras el lanzamiento.","**Configuración segura por defecto**: el producto se entrega en un estado seguro, sin credenciales por defecto sin cambiar y con la posibilidad de restablecer su estado original. Para un producto a medida, el fabricante y su cliente profesional pueden acordar otra configuración.","**Ausencia de vulnerabilidades explotables conocidas** en la introducción en el mercado: las dependencias están actualizadas, auditadas y pueden corregirse mediante actualizaciones de seguridad.","**Gestión de vulnerabilidades durante el periodo de soporte**, de al menos cinco años salvo que la vida útil prevista sea menor: correcciones publicadas sin demora y de forma gratuita, separadas de las nuevas funcionalidades cuando sea posible, y cada actualización de seguridad disponible durante al menos diez años.","**Lista de materiales de software (SBOM)** para **todos** los productos, en un formato habitual y legible por máquina, que cubra al menos las dependencias de primer nivel. Forma parte de la documentación técnica; el reglamento no obliga a publicarla.","**Política de divulgación coordinada de vulnerabilidades**, con una dirección de contacto para los avisos de terceros, e información a los usuarios sobre las vulnerabilidades corregidas.","**Notificación** de toda vulnerabilidad explotada activamente y de todo incidente grave, a través de la plataforma única de notificación, en **24 horas** (alerta temprana) y luego **72 horas** (notificación), desde el **11 de septiembre de 2026**.","**Marcado CE**: a partir del 11 de diciembre de 2027, los productos cubiertos llevan el marcado CE en virtud del CRA, acompañado de una declaración UE de conformidad.",{"type":35,"title":51,"body":52},"¿Afecta a su agencia?","El CRA se aplica si usted **comercializa un producto en el mercado de la UE** en el marco de una actividad comercial, lo que abarca mucho más que la venta directa:\n\n- **Publica software comercial** (aplicación móvil, software instalable, aplicación de escritorio) distribuido a empresas o particulares europeos: sí, usted es el fabricante.\n- **Distribuye plugins o extensiones** en mercados (WordPress.org, Shopify App Store, extensiones de Chrome\u002FFirefox) y los monetiza: sí.\n- **Desarrolla por encargo un producto que su cliente comercializará con su marca**: el fabricante es su cliente. Debe actuar con la diligencia debida respecto a los componentes de terceros que integra (artículo 13, apartado 5), así que le pedirá garantías: SBOM, correcciones, política de divulgación. Si usted vende un componente de software como producto independiente, ese componente es un producto en el sentido del CRA y usted es su fabricante.\n- **Integra bibliotecas de código abierto**: sigue siendo responsable de la seguridad del conjunto. Cuando descubre un fallo en un componente, debe comunicarlo a su mantenedor y corregirlo en su producto.\n- **Opera un SaaS o un sitio web**: el CRA solo cubre un servicio en línea si constituye la **solución de tratamiento de datos a distancia** de un producto (por ejemplo, la aplicación en la nube que controla un objeto conectado). Un sitio o un SaaS autónomo depende más bien de NIS2 y del RGPD.\n- **Hace I+D, prototipos no distribuidos o consultoría pura**: fuera del ámbito directo del CRA.\n\nEl **software libre y de código abierto que su fabricante no monetiza** no se considera suministrado en el marco de una actividad comercial y queda fuera del ámbito. Las fundaciones y entidades que apoyan de forma sostenida un proyecto de código abierto destinado a un uso comercial dependen de un régimen simplificado, el de los **administradores de software de código abierto** (artículo 24), cuyas obligaciones de notificación solo se aplican a partir del 11 de diciembre de 2027. Atención: en cuanto su agencia monetiza un plugin de código abierto que publica, el análisis cambia y hay que resolverlo caso por caso.",{"type":35,"title":54,"body":55},"Las sanciones y su lógica","El artículo 64 del CRA fija tres topes de multa administrativa, aplicándose el importe más alto:\n\n1. **Incumplimiento de los requisitos esenciales del anexo I y de las obligaciones de los artículos 13 y 14** (diseño seguro, gestión de vulnerabilidades, **notificación**): hasta **15 000 000 €** o el **2,5 % del volumen de negocios anual mundial**.\n2. **Incumplimiento de las demás obligaciones** de los operadores (importadores, distribuidores, representantes autorizados, marcado CE, declaración de conformidad, procedimientos de evaluación): hasta **10 000 000 €** o el **2 %**.\n3. **Información incorrecta, incompleta o engañosa** facilitada a los organismos notificados o a las autoridades de vigilancia del mercado: hasta **5 000 000 €** o el **1 %**.\n\nUn retraso u omisión en la notificación entra, por tanto, en el tramo más alto, no en el segundo. Hay dos excepciones: las **microempresas y pequeñas empresas** no son sancionadas por el mero incumplimiento del plazo de 24 horas de la alerta temprana, y los **administradores de software de código abierto** no están sujetos a multas.\n\nLas sanciones las imponen las **autoridades de vigilancia del mercado** que designa cada Estado miembro, teniendo en cuenta la naturaleza y la duración de la infracción, así como el tamaño de la empresa. Los CSIRT nacionales y ENISA reciben las notificaciones. El marco se parece al del RGPD: la autoridad modula la sanción, pero el incumplimiento constatado basta para hacerla posible.",{"type":35,"title":57,"body":58},"Notificar una vulnerabilidad explotada: lo que se aplica desde el 11 de septiembre de 2026","El artículo 14 es la primera obligación operativa del CRA, y también afecta a los productos **ya comercializados** antes del 11 de diciembre de 2027 (artículo 69, apartado 3). En cuanto tiene conocimiento de una vulnerabilidad **explotada activamente** en uno de sus productos, la notifica simultáneamente al **CSIRT coordinador** del Estado miembro de su establecimiento principal y a **ENISA**, a través de la **plataforma única de notificación** creada por ENISA y operativa desde el 11 de septiembre de 2026. Basta con un único envío: el CSIRT lo transmite después a los CSIRT de los demás países donde se distribuye el producto.\n\nLa notificación se hace en tres tiempos:\n\n- **Alerta temprana en 24 horas**, indicando si es posible los Estados miembros donde se distribuye el producto. Se envía aunque todavía no exista ninguna corrección.\n- **Notificación en 72 horas**: información general sobre el producto, naturaleza de la explotación y de la vulnerabilidad, medidas correctoras ya adoptadas y medidas que pueden aplicar los usuarios, grado de sensibilidad de la información.\n- **Informe final a más tardar 14 días después de que haya una corrección disponible**: descripción y gravedad de la vulnerabilidad, información sobre el agente malicioso si procede, detalle de la actualización de seguridad.\n\nUn **incidente grave** que afecte a la seguridad del producto sigue el mismo esquema de 24 h \u002F 72 h, con un informe final en el mes siguiente a la notificación. El CSIRT también puede pedir un informe intermedio. En todos los casos, usted informa a los usuarios afectados y de las medidas que pueden tomar, si procede en un formato estructurado y legible por máquina.\n\nPara aplicarlo en la práctica, la Comisión Europea publicó el **27 de julio de 2026** unas orientaciones sobre la aplicación del CRA, y mantiene una página dedicada a las obligaciones de notificación. Léalas antes de redactar sus propias plantillas.",{"type":60,"title":61,"steps":62},"steps","Preparar su agencia antes de diciembre de 2027",[63,66,69,72,75,78,81],{"title":64,"body":65},"Paso 1 — Cartografiar sus productos y su clasificación","Haga el inventario de todos los productos que introduce en el mercado de la UE (aplicaciones, plugins, componentes vendidos a terceros) y, por separado, de los que desarrolla para clientes que los comercializan. Para cada uno, determine:\n- ¿Producto por defecto, producto importante de clase I o II, o producto crítico?\n- ¿Quién es el fabricante en el sentido del CRA: usted o su cliente?\n- Modelo de distribución: venta directa, mercado, código abierto monetizado o no.\n- Vida útil prevista, que fija su periodo de soporte (al menos cinco años en la mayoría de los casos).\n\nLa clasificación determina el procedimiento de evaluación: control interno u organismo notificado.",{"title":67,"body":68},"Paso 2 — Generar y mantener una SBOM","La SBOM (Software Bill of Materials) recoge los componentes de software del producto: bibliotecas de terceros, dependencias directas y transitivas, versiones y licencias. El CRA la exige para **todos** los productos, al menos para las dependencias de primer nivel, en un formato legible por máquina como SPDX o CycloneDX. Genérela en cada build en lugar de una vez al año.\n\n```bash\n# Syft — genera una SBOM CycloneDX o SPDX a partir de una carpeta o de una imagen\ncurl -sSfL https:\u002F\u002Fget.anchore.io\u002Fsyft | sudo sh -s -- -b \u002Fusr\u002Flocal\u002Fbin\nsyft dir:\u002Fruta\u002Fa\u002Fsu\u002Fproyecto -o cyclonedx-json > sbom.json\n\n# Trivy — busca vulnerabilidades conocidas a partir de la SBOM\ntrivy sbom sbom.json\n\n# cdxgen — SBOM para proyectos Node.js, Python, PHP, Go\ncdxgen -t php -o sbom-php.json \u002Fruta\u002Fal\u002Fproyecto\n```",{"title":70,"body":71},"Paso 3 — Implantar la gestión de vulnerabilidades","El CRA impone un proceso activo durante todo el periodo de soporte. En concreto:\n\n1. **Vigilancia de CVE**: alertas sobre sus dependencias (GitHub Dependabot, npm audit, Composer audit, Trivy en CI\u002FCD), completadas con los flujos de NVD y CERT-EU y con los avisos de seguridad de los editores que integra.\n2. **Política de divulgación coordinada**: publique un archivo `security.txt` en la raíz de `su-dominio.com` y un `SECURITY.md` en cada repositorio, con una dirección de contacto y un compromiso de plazo de tratamiento.\n3. **Proceso de corrección**: defina un SLA interno (por ejemplo: vulnerabilidad CVSS ≥ 9 → corrección en 7 días) y publique las correcciones de seguridad aparte de las nuevas funcionalidades cuando sea posible.\n4. **Información a los usuarios**: con cada corrección, un aviso describe el fallo corregido, su gravedad y las versiones afectadas.",{"title":73,"body":74},"Paso 4 — Organizar el circuito de notificación y preparar las plantillas","El plazo de 24 horas no deja tiempo para descubrir el procedimiento. Designe quién califica una vulnerabilidad como «explotada activamente», quién valida el envío, quién lo redacta y quién lo presenta en la plataforma única de notificación, con un suplente para cada función.\n\nPrepare de antemano una plantilla por etapa: alerta temprana (producto, versiones, países de distribución, primeros elementos), notificación a 72 horas (naturaleza de la explotación, medidas de mitigación para los usuarios) e informe final (gravedad, causa, corrección). Haga que su asesor jurídico las revise y pruebe después el circuito con un simulacro.",{"title":76,"body":77},"Paso 5 — Documentar la conformidad","La documentación técnica incluye:\n- La descripción del producto y de su arquitectura de seguridad.\n- La evaluación de riesgos de ciberseguridad (threat modeling).\n- Las medidas de seguridad implementadas y las pruebas realizadas.\n- La política de gestión y divulgación de vulnerabilidades.\n- La SBOM.\n- Las instrucciones de uso seguro y la duración del periodo de soporte.\n\nSe conserva, junto con la declaración UE de conformidad, **al menos diez años** después de la introducción del producto en el mercado, o durante todo el periodo de soporte si este es más largo.",{"title":79,"body":80},"Paso 6 — Revisar los contratos y la documentación entregada","Para cada cliente, deje por escrito quién es el fabricante en el sentido del CRA y quién se encarga de qué durante el periodo de soporte: vigilancia de dependencias, plazos de corrección, entrega de la SBOM, participación en la notificación. Un contrato de mantenimiento que calla sobre estos puntos deja a su cliente solo ante el artículo 14, y a usted expuesto a sus reclamaciones.\n\nLa documentación entregada debe incluir una guía de configuración segura, el procedimiento de notificación destinado a los usuarios y la fecha de fin del periodo de soporte.",{"title":82,"body":83},"Paso 7 — Evaluar la necesidad de una auditoría externa","Para los productos **de clase II** y para los productos **de clase I** evaluados sin aplicar íntegramente una norma armonizada, un organismo notificado es obligatorio. Las normas sobre la notificación de estos organismos se aplican desde el 11 de junio de 2026: identifique pronto los que cubren su categoría, porque su capacidad estará muy solicitada a medida que se acerque 2027.\n\nPara los productos **por defecto**, basta con la autoevaluación, siempre que conserve un expediente técnico completo. Una auditoría voluntaria puede reforzar su credibilidad comercial ante grandes empresas clientes, que exigirán una prueba de conformidad con el CRA antes de firmar.",{"type":35,"title":85,"body":86},"El impacto en su infraestructura de alojamiento","El CRA no se dirige a los servicios de alojamiento como tales: un servicio en la nube que no se diseña bajo la responsabilidad del fabricante de un producto queda fuera de su ámbito, y el alojamiento depende de NIS2 (consulte \u003Ca href=\"\u002Fes\u002Fblog\u002Fnis2-obligaciones-hosting-clientes-2026\">lo que NIS2 impone a sus clientes alojados\u003C\u002Fa>). Los dos textos se suman sin confundirse: autoridades, plazos y ámbitos difieren, y una medida adoptada para uno no vale automáticamente para el otro. Aun así, su infraestructura interviene en su conformidad con el CRA en cuatro puntos:\n\n**1. Los componentes que usted opera forman parte del producto.** Si su aplicación incluye PostgreSQL, Redis o Nginx en su imagen, esos componentes entran en la superficie de ataque que se documenta en la SBOM y se vigila en busca de CVE.\n\n**2. El pipeline de CI\u002FCD lleva los controles.** Sus workflows de GitHub Actions, GitLab CI u otros lanzan sistemáticamente los análisis de dependencias (npm audit, Composer audit, Trivy) y bloquean un despliegue cuando queda una vulnerabilidad crítica sin resolver.\n\n**3. Detectar una explotación exige vigilar.** El plazo de 24 horas empieza a contar cuando usted tiene conocimiento de la explotación: sin alertas sobre comportamientos anómalos y sobre los CVE de los componentes en producción, se entera demasiado tarde. Una herramienta como \u003Ca href=\"\u002Fes\u002Fblog\u002Fproteger-vps-con-crowdsec\">CrowdSec\u003C\u002Fa> en sus servidores contribuye a ello.\n\n**4. La gestión de incidentes exige trazabilidad.** Sus registros deben ser lo bastante detallados y conservarse el tiempo suficiente para establecer cuándo y cómo se explotó un fallo: son los elementos de las notificaciones a 72 horas y del informe final. Un servidor del que usted tiene el acceso root, donde elige sus herramientas de registro y de detección, facilita esta recogida mucho más que un entorno compartido cerrado.",{"type":88,"title":89,"headers":90,"rows":96},"comparison","CRA vs NIS2 vs RGPD: las tres normativas clave",[91,92,93,94,95],"Texto","Ámbito","A quién se dirige","Fecha de aplicación","Multa máxima",[97,103,109],[98,99,100,101,102],"**CRA** (Reglamento 2024\u002F2847)","Productos con elementos digitales introducidos en el mercado de la UE","Fabricantes, importadores y distribuidores de productos de software y hardware","11 sept. 2026 (notificación) \u002F 11 dic. 2027 (todos los requisitos)","15 M€ o 2,5 % del volumen de negocios mundial",[104,105,106,107,108],"**NIS2** (Directiva 2022\u002F2555)","Entidades de los 18 sectores de los anexos I y II (energía, salud, infraestructuras digitales, nube, alojamiento…)","Entidades esenciales e importantes, incluidos proveedores de nube, centros de datos, CDN, DNS y servicios gestionados","18 oct. 2024, mediante las leyes nacionales de transposición","Al menos 10 M€ o 2 % (esenciales), 7 M€ o 1,4 % (importantes)",[110,111,112,113,114],"**RGPD** (Reglamento 2016\u002F679)","Tratamiento de datos personales de personas en la UE","Todo responsable o encargado del tratamiento","25 de mayo de 2018","20 M€ o 4 % del volumen de negocios mundial",{"type":116,"title":117,"body":118},"tip","Herramientas SBOM gratuitas para su CI\u002FCD","Generar automáticamente la SBOM en cada build es la medida más rentable para preparar el CRA: sirve a la vez para la documentación técnica y para la vigilancia de vulnerabilidades. Tres herramientas de código abierto para integrar desde ya:\n\n**Syft** (Anchore): genera SBOM en formatos SPDX y CycloneDX a partir de un directorio o de una imagen Docker:\n```bash\n# Instalar\ncurl -sSfL https:\u002F\u002Fget.anchore.io\u002Fsyft | sudo sh -s -- -b \u002Fusr\u002Flocal\u002Fbin\n# Generar la SBOM del repositorio actual\nsyft dir:. -o cyclonedx-json > sbom.json\n```\n\n**Trivy** (Aqua Security): produce una SBOM CycloneDX de una imagen Docker y luego busca vulnerabilidades en ella:\n```bash\ntrivy image --format cyclonedx --output sbom.cdx.json mi-app:latest\ntrivy sbom sbom.cdx.json\n```\n\n**cdxgen** (proyecto CycloneDX): especializado en proyectos Node.js, Python, PHP, Go, Java y Ruby:\n```bash\nnpx @cyclonedx\u002Fcdxgen -t php -o sbom-php.json \u002Fmi-proyecto\n```\n\nArchive la SBOM con el artefacto de cada versión entregada: cuando aparece un fallo, es ella la que le dice en pocos minutos qué versiones de qué producto están afectadas.",{"type":35,"title":120,"body":121},"Calendario de obligaciones: el primer escalón ya está superado","El CRA se aplica por etapas. Dos plazos intermedios preceden al 11 de diciembre de 2027, y el más exigente para un equipo técnico, la notificación, corre desde el 11 de septiembre de 2026.\n\n**El error que no debe cometer**: pensar que nada corre prisa antes de 2027. Si una vulnerabilidad de su producto se explota hoy y no la notifica dentro de plazo, ya está incumpliendo, también para un producto introducido en el mercado antes de que se apliquen los demás requisitos.",{"type":88,"title":123,"headers":124,"rows":128},"Los plazos del CRA",[125,126,127],"Plazo","Lo que se aplica","Lo que debe tener",[129,133,137,141,145],[130,131,132],"**10 dic. 2024**","Entrada en vigor del reglamento","Una primera cartografía de sus productos",[134,135,136],"**11 jun. 2026**","Normas sobre los organismos de evaluación de la conformidad (capítulo IV)","Los organismos notificados pertinentes identificados, para los productos importantes",[138,139,140],"**11 sept. 2026**","Notificación de vulnerabilidades explotadas activamente e incidentes graves (artículo 14), también para los productos ya comercializados","Un circuito de notificación operativo y probado",[142,143,144],"**11 dic. 2027**","Aplicación plena: requisitos esenciales, evaluación de la conformidad, marcado CE","Expediente técnico, SBOM, declaración UE de conformidad",[146,147,148],"**10 años después de la introducción en el mercado**, o fin del periodo de soporte si es posterior","Conservación de la documentación técnica y de la declaración de conformidad","Un archivo fechado, por versión de producto",{"type":35,"title":150,"body":151},"ServOrbit y su conformidad con el CRA","Ofrecemos VPS y servicios de alojamiento que constituyen la infraestructura sobre la que funcionan sus productos. Nuestro papel en su conformidad con el CRA es indirecto pero concreto:\n\n- **Aislamiento de los entornos**: nuestros VPS le permiten desplegar entornos separados por cliente y por criticidad, limitando la superficie de impacto en caso de compromiso.\n- **Copias de seguridad**: las instantáneas bajo demanda de nuestras ofertas le dan una base de restauración documentable en caso de incidente, información útil para los informes de notificación. Para una política completa, combínelas con \u003Ca href=\"\u002Fes\u002Fblog\u002Fcopias-de-seguridad-vps-con-restic\">copias de seguridad Restic externalizadas\u003C\u002Fa>.\n- **Acceso a los registros**: dispone de acceso completo a su VPS y configura los registros a nivel de su aplicación, de lo que depende la trazabilidad de los incidentes.\n- **Ubicación de los datos**: nuestros VPS están alojados en centros de datos en Europa, lo que le ayuda a documentar la ubicación de su infraestructura en su expediente de conformidad.",{"type":35,"title":153,"body":154},"Próximos pasos","La notificación es obligatoria desde el 11 de septiembre de 2026, y la conformidad plena se espera para el 11 de diciembre de 2027. Es poco tiempo para una agencia que nunca ha formalizado sus prácticas de seguridad.\n\n**En los próximos 30 días:**\n1. Cartografiar sus productos en el mercado de la UE, identificar su clasificación y quién es su fabricante.\n2. Designar a los responsables de la notificación, preparar las plantillas y familiarizarse con la plataforma única de notificación.\n3. Comprobar que sus repositorios tienen un `SECURITY.md` y su sitio un `security.txt`, e instalar Syft o Trivy en su pipeline de CI\u002FCD.\n\n**En los próximos 6 meses:**\n4. Generar una SBOM para cada producto y cada versión entregada.\n5. Formalizar su proceso de gestión de vulnerabilidades (responsable, SLA, información a los usuarios) y actualizar sus contratos de mantenimiento.\n6. Para los productos importantes: contactar con un organismo notificado para planificar la evaluación.\n\n**Antes del 11 de diciembre de 2027:**\n7. Completar el expediente técnico, la declaración UE de conformidad y el marcado CE de cada producto cubierto.","Alojamiento documentable para su conformidad con el CRA","Sus productos necesitan una infraestructura documentable y que le dé acceso a sus logs. Nuestros VPS le dan el control completo de su stack — y la trazabilidad que necesita su expediente CRA.","Ver los planes para agencias","\u002Fsolutions\u002Fagences",[160,177,202],{"id":161,"slug":162,"slugs":163,"title":167,"excerpt":168,"readTime":169,"views":170,"isPinned":19,"noindex":19,"publishedAt":171,"updatedAt":172,"category":173,"categories":174,"featuredImage":29,"bgImage":30,"posterImage":176,"relatedSolution":29},211,"nis2-obligaciones-hosting-clientes-2026",{"fr":164,"en":165,"ar":166,"es":162},"nis2-hebergement-obligations-clients-2026","nis2-what-the-directive-requires-from-your-hosted-clients","nis2-ما-تفرضه-التوجيهات-على-عملائكم-المستضافين","NIS2: lo que la directiva exige a sus clientes alojados","NIS2: a quién se aplica, las diez medidas del artículo 21, los plazos de 24 y 72 horas y lo que sus clientes exigirán a su alojamiento.",16,0,"2026-08-02T00:00:00+00:00","2026-11-09T20:55:14+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[175],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fnis2-hebergement-obligations-clients-2026-poster.svg",{"id":178,"slug":179,"slugs":180,"title":184,"excerpt":185,"readTime":186,"views":187,"isPinned":19,"noindex":19,"publishedAt":188,"updatedAt":189,"category":190,"categories":196,"featuredImage":29,"bgImage":30,"posterImage":198,"relatedSolution":199},108,"proteger-vps-con-crowdsec",{"fr":181,"en":182,"ar":183,"es":179},"securiser-vps-crowdsec","securing-your-vps-with-crowdsec","تأمين-خادمك-الافتراضي-vps-باستخدام-crowdsec","Proteger su VPS con CrowdSec","Despliegue CrowdSec en su VPS para bloquear los ataques gracias a una detección de comportamiento y a una blocklist comunitaria compartida.",4,2,"2026-03-04T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":191,"name":192,"slug":193,"color":194,"icon":195},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[197],{"id":191,"name":192,"slug":193,"color":194,"icon":195},"\u002Fblog\u002Fcovers\u002Fsecuriser-vps-crowdsec-poster.svg",{"categorySlug":200,"appSlug":201},"ciberseguridad-bastion","crowdsec",{"id":203,"slug":204,"slugs":205,"title":209,"excerpt":210,"readTime":211,"views":212,"isPinned":19,"noindex":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":221,"featuredImage":29,"bgImage":30,"posterImage":223,"relatedSolution":224},160,"como-autoalojar-infisical-en-un-vps",{"fr":206,"en":207,"ar":208,"es":204},"self-host-infisical-vps","how-to-self-host-infisical-on-a-vps","كيفية-استضافة-infisical-ذاتيا-على-خادم-vps","Cómo autoalojar Infisical en un VPS","Despliegue Infisical en su VPS en menos de 20 min: RBAC, rotación automática, integración con GitHub Actions y GitLab CI, y resolución de errores de Redis y TLS.",9,1,"2026-07-02T00:00:00+00:00","2026-10-16T01:57:38+00:00",{"id":216,"name":217,"slug":218,"color":219,"icon":220},7,"Autoalojamiento","self-hosting","bg-indigo-500\u002F10 text-indigo-400","cloud",[222],{"id":216,"name":217,"slug":218,"color":219,"icon":220},"\u002Fblog\u002Fcovers\u002Fself-host-infisical-vps-poster.svg",{"categorySlug":200,"appSlug":225},"infisical",true,1794270578859]