Notificación de vulnerabilidades del Reglamento de Ciberresiliencia

El Reglamento de Ciberresiliencia (Reglamento (UE) 2024/2847) cubre los productos con elementos digitales: dispositivos conectados, las apps que los controlan y la mayor parte del software vendido en la UE. Casi todos sus requisitos se aplican desde el 11 de diciembre de 2027, pero las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026.

Qué deben notificar los fabricantes

Las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos, a través de la Plataforma Única de Notificación de ENISA:

• una alerta temprana en 24 horas desde que tienen conocimiento;
• una notificación en 72 horas;
• un informe final en los 14 días siguientes a disponer de una corrección para una vulnerabilidad, o en un mes para un incidente grave.

También hay que informar a los usuarios. La obligación cubre los productos que ya están en el mercado, y las multas pueden llegar a 15 millones de euros o al 2,5 % de la facturación mundial. Importadores y distribuidores tienen sus propias comprobaciones, y quien pone su marca en un producto pasa a ser su fabricante.

Qué entregamos

1. Alcance — qué productos tuyos tienen elementos digitales y quién es el fabricante.
2. SBOM — una lista de materiales de software por producto, con los componentes de terceros.
3. Canal de entrada — un contacto público para vulnerabilidades y un proceso interno de clasificación.
4. Protocolo — quién decide, quién redacta y quién envía cada aviso dentro de plazo, con plantillas.
5. Guardia — ayuda para preparar y enviar los avisos cuando ocurre algo.

Especialmente útil para marcas que importan productos conectados de fabricantes en China; atención en chino mandarín (中文服务).

Trabaja con nosotros

Indica tus productos conectados desde la página de contacto o por WhatsApp.