Un Plazo Que No Espera a Su Propia Herramienta
Desde el 11 de septiembre de 2026, todo fabricante que venda un producto con elementos digitales en la UE debe notificar una vulnerabilidad explotada activamente en un plazo de 24 horas desde que tiene conocimiento de ella, según el artículo 14 de la Ley de Ciberresiliencia. La propia guía de la Comisión Europea, publicada en marzo de 2026, fija el umbral del conocimiento en un grado razonable de certeza de que la explotación está ocurriendo, no en una investigación forense concluida. Una investigación abierta no es, en palabras de la propia Comisión, una defensa válida para incumplir el plazo de 24 horas.
El único canal para esa notificación, la Single Reporting Platform de la ENISA, solo queda plenamente operativa el mismo día en que entra en vigor la obligación. A 29 de junio de 2026 la plataforma no estaba activa, según el rastreador de cumplimiento cyberresilienceact.eu, y las propias preguntas frecuentes de la ENISA sobre la herramienta describen pruebas de usuario y de seguridad realizadas antes del lanzamiento, con revisión y nuevas pruebas planificadas según sea necesario después. Un plazo legal sin margen alguno coincide, el mismo día, con una herramienta de notificación sin historial de tráfico real de incidentes.
La Cobertura Va Más Allá De Un Lanzamiento Nuevo
La obligación alcanza mucho más allá del hardware recién certificado en la UE. El análisis legal de Crowell and Moring confirma que la Ley de Ciberresiliencia se aplica a fabricantes de dentro y fuera de la UE que comercializan productos conectados en el mercado europeo, y que los fabricantes de fuera de la UE quedan igualmente sujetos a la norma, incluida la notificación del artículo 14. Eso incluye a fabricantes británicos que exportan a la UE: la propia normativa de seguridad de productos del Reino Unido funciona por separado, pero no exime de este plazo a un router o una cámara fabricados en Gran Bretaña y vendidos a un cliente de la UE. La obligación tampoco depende de la antigüedad del producto, solo de si todavía se vende hoy a un comprador de la UE.
La categoría cubierta es deliberadamente amplia: dispositivos de hogar inteligente, sistemas de control industrial, sistemas operativos, routers, cortafuegos, gestores de contraseñas, software VPN, wearables con monitorización de salud y pasarelas de contadores inteligentes cuentan como productos con elementos digitales. Los productos regulados por sector, como equipos médicos, material de aviación y vehículos, quedan excluidos porque ya responden a sus propios regímenes de notificación, al igual que el software de código abierto sin fin comercial, el SaaS autónomo y los productos construidos exclusivamente para defensa nacional. Todo lo demás que se conecte a una red y llegue a un cliente de la UE entra dentro del alcance, ya sea el fabricante de Munich o de Michigan.
El Reloj, En Horas Y En Euros
| Etapa | Plazo desde el conocimiento |
|---|---|
| Alerta temprana | 24 horas |
| Notificación completa | 72 horas |
| Informe final, vulnerabilidad | 14 días tras disponer de una solución |
| Informe final, incidente | 1 mes |
| Tipo de infracción | Multa máxima |
|---|---|
| Fallo en ciberseguridad esencial o notificación del artículo 14 | 15.000.000 de euros o el 2,5 por ciento de la facturación mundial |
| Otras obligaciones de la Ley de Ciberresiliencia | 10.000.000 de euros o el 2 por ciento de la facturación mundial |
| Información falsa o engañosa | 5.000.000 de euros o el 1 por ciento de la facturación mundial |
Se aplica la cifra mas alta de cada par, y las autoridades cuentan con una segunda palanca además de la multa: pueden ordenar medidas correctoras, restringir o prohibir la venta de un producto no conforme, o forzar directamente su retirada del mercado de la UE. Para un fabricante con ingresos en la UE de miles de millones, la cláusula del porcentaje de facturación, no la cifra fija en euros, es la que realmente duele.
Qué Reduce El Riesgo Antes Del 11 De Septiembre
La guía de preparación de Crowell and Moring reduce la lista previa al plazo a unos pocos pasos concretos: identificar el CSIRT nacional que recibirá las notificaciones del fabricante, establecer una monitorización continua mediante fuentes de inteligencia de amenazas y bases de datos de vulnerabilidades, exigir por contrato que los proveedores de componentes aguas arriba notifiquen debilidades conocidas y activamente explotadas, e integrar el calendario de la CRA en los planes de respuesta a incidentes ya existentes para NIS2 y el RGPD, de modo que ciberseguridad, legal, producto y comunicación sepan ya quién tiene autoridad para notificar. Mantener una lista de materiales de software actualizada figura en la misma lista, porque un fabricante que no sepa qué producto usa qué componente no puede evaluar su exposición en 24 horas.
Un detalle subyace a todos estos consejos y premia actuar pronto en vez de esperar al propio día límite. La propia guía de la ENISA, publicada el 14 de agosto de 2026, limita las cuentas no verificadas de la Single Reporting Platform a 10 notificaciones, y la verificación de la cuenta no es instantánea. Un fabricante que deja el registro para su primer incidente real está convirtiendo un portal web nuevo, sin verificar y sin API en el único canal para un plazo de 24 horas jurídicamente vinculante. Registrar y verificar la cuenta ahora, cuando todavía no hay nada que notificar, es el único paso que no cuesta nada y elimina un fallo totalmente evitable.
Leer a continuación: El Próximo Día Cero de Chrome Llega a Bruselas | Google congela las notificaciones del bug bounty OSS
