El Reglamento de Ciberresiliencia de la UE explicado: qué cambia y a quién afecta

Desde el 11 de septiembre de 2026, los fabricantes de productos conectados incluidos en el ámbito del Reglamento que se comercialicen en el mercado de la UE deben presentar una alerta temprana sobre una vulnerabilidad que se esté explotando activamente o sobre un incidente grave en las 24 horas siguientes a tener conocimiento de ello. La mayoría de las obligaciones de los fabricantes previstas en el CRA no se aplican hasta diciembre de 2027. Este artículo explica en qué consiste la obligación de notificación de septiembre, quién debe cumplirla y qué deben establecer las organizaciones al adquirir equipos conectados.

La obligación no se limita a los productos nuevos. Puede activarse por una vulnerabilidad o un incidente que afecte a un producto comercializado en el mercado de la UE años antes. El plazo de notificación empieza a contar cuando el fabricante tiene conocimiento de que una vulnerabilidad de uno de sus productos se está explotando activamente o de que se ha producido un incidente grave. Un incidente grave es aquel que afecta, o podría afectar, negativamente a la capacidad del producto para proteger datos o funciones sensibles o importantes. También lo es el que ha provocado, o podría provocar, la introducción o ejecución de código malicioso en el producto o en la red de un usuario.

La obligación se aplica también a los fabricantes de fuera de la UE que comercializan productos en ella. Las principales obligaciones de seguridad de los productos y de gestión de vulnerabilidades no se aplican hasta el 11 de diciembre de 2027. Para los fabricantes, septiembre trae consigo tanto la obligación de notificar como la de informar a los usuarios afectados.

En lo que respecta a la notificación, sí. En términos generales, el Reglamento abarca el hardware y el software cuyo uso previsto, o razonablemente previsible, incluye una conexión a un dispositivo o a una red. Quedan excluidos algunos productos regulados por legislación sectorial específica de la UE, entre ellos determinados productos sanitarios, productos del sector del automóvil, equipos de aviación certificados y equipos marítimos.

Los productos comercializados en el mercado de la UE antes del 11 de diciembre de 2027 quedan fuera de la mayor parte de la ley. Solo entran en su ámbito si más adelante se modifican de forma que afecte a su seguridad o a su finalidad. La notificación es la excepción: se aplica a todo producto cubierto que esté en el mercado de la UE, sea cual sea la fecha en que se comercializó. Un controlador de calefacción comercializado en la UE por primera vez en 2019 no necesita una nueva evaluación de conformidad ni el marcado CE en virtud del CRA solo porque haya empezado la obligación de notificar. Sin embargo, desde el 11 de septiembre su fabricante debe notificar cualquier vulnerabilidad explotada activamente o incidente grave que lo afecte.

La notificación corresponde al fabricante. Según el Reglamento, es la persona u organización que desarrolla o fabrica el producto, o lo hace diseñar, desarrollar o fabricar, y lo comercializa con su propio nombre o marca. Esto es así tanto si el producto se suministra a cambio de un pago, de una monetización o de forma gratuita. Instalar, utilizar o mantener el producto no convierte por sí solo a una organización en fabricante.

La obligación depende del lugar donde se comercializa el producto, no de dónde se encuentre el fabricante. Un fabricante del Reino Unido que comercializa productos en el mercado de la UE sigue siendo responsable de ellos. El Reino Unido cuenta con su propia ley de seguridad de productos, con un calendario propio, y ambas normativas son independientes.

En las 24 horas siguientes a tener conocimiento de la vulnerabilidad o del incidente, el fabricante presenta una alerta temprana en la que indica los países de la UE en los que sabe que el producto se ha puesto a disposición y, en el caso de un incidente, si se sospecha que se debe a actos ilícitos o malintencionados. En las 72 horas siguientes presenta una notificación más completa: qué es el producto, cuál es el problema, qué ha hecho el fabricante y qué pueden hacer los usuarios. Si se trata de una vulnerabilidad, el informe final se presenta como máximo 14 días después de que esté disponible una medida correctora o de mitigación. Si se trata de un incidente, se presenta en el plazo de un mes desde la notificación de las 72 horas. El equipo de respuesta a incidentes que recibe la notificación también puede solicitar un informe intermedio antes de que venza el informe final. El fabricante debe informar además a los usuarios afectados.

Las notificaciones se enviarán a través de una plataforma única en línea creada por ENISA, la Agencia de la Unión Europea para la Ciberseguridad. Según la Comisión Europea, la plataforma estará operativa el 11 de septiembre de 2026. Las notificaciones llegan al equipo nacional de respuesta a incidentes del país de la UE en el que el fabricante toma principalmente sus decisiones sobre seguridad de los productos. Si el fabricante no tiene establecimiento en la UE, el artículo 14 fija un orden distinto para determinar qué país las recibe.

A partir del 11 de diciembre de 2027, el fabricante deberá indicar el período de soporte de cada producto nuevo. Ese período debe ser de al menos cinco años, salvo que se prevea que el producto se utilice durante menos tiempo. La fecha de finalización debe indicarse en el momento de la compra. Durante el período de soporte, en cuanto exista una actualización de seguridad, debe distribuirse sin demora y, por defecto, de forma gratuita.

En los equipos gestionados de forma remota, distribuir esa actualización puede depender de que se mantenga el acceso al producto. Cinco años es tiempo suficiente para que cambien las redes móviles que utiliza esa conexión. En Europa, las fechas de cierre del 2G ya publicadas muestran que las redes disponibles durante el período de soporte de un producto pueden no ser las mismas que cuando se suministró por primera vez. Si la vía de gestión desaparece mientras el producto sigue dentro de su período de soporte, el fabricante necesita otra forma de entregar la actualización.

Una organización no adquiere la obligación de notificación del artículo 14 por el simple hecho de comprar o utilizar equipos conectados. Sigue dependiendo de fabricantes capaces de cumplirla y de productos que continúen siendo accesibles cuando haga falta una actualización de seguridad. Por ello, conviene dejar constancia de cuatro respuestas antes de firmar un contrato. Juntas establecen el período de soporte, las dependencias de red, la vía de actualización y la responsabilidad de la notificación.

1. ¿Cuál es el período de soporte de este producto y qué continúa cuando termina? La respuesta debe indicar la fecha de finalización, al menos el mes y el año, y precisar con claridad qué se mantiene después y qué deja de estar disponible.
2. ¿Qué redes móviles puede utilizar el producto y qué dependencias de red troncal siguen existiendo en esas rutas? El acceso a varias redes de radio puede seguir dependiendo del núcleo de un único operador.
3. ¿Cómo llega una actualización de seguridad a una unidad instalada y es necesario alguna vez que acuda un técnico? Si la respuesta es una visita, el coste de esa visita, multiplicado por el número de unidades, debe incluirse en la comparación.
4. ¿Quién notifica en virtud del Reglamento en el caso de este producto y quién es el contacto cuando se detecta un problema de seguridad? La respuesta debe indicar el nombre de una empresa y de una persona o equipo.

CSL diseña y gestiona conectividad multirred y de núcleo independiente para equipos conectados críticos en toda Europa. Para hablar de los requisitos de conectividad de un producto o de un parque de equipos concreto, póngase en contacto con nuestro equipo.

• Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), artículos 2, 3, 13, 14, 69 y 71, Diario Oficial de la Unión Europea.
• Comisión Europea (2026), «Cyber Resilience Act: reporting obligations», página actualizada por última vez el 31 de julio de 2026.