Entran en vigor las obligaciones de notificación del Reglamento de Ciberresiliencia de la UE

Los fabricantes de productos con elementos digitales (hardware y software, desde routers hasta aplicaciones de hogar inteligente) deben ahora notificar las vulnerabilidades explotadas activamente y los incidentes de seguridad graves a través de la Plataforma Única de Notificación gestionada por ENISA: una alerta temprana en 24 horas, una notificación completa en 72 horas y un informe final en un plazo de 14 días o un mes, respectivamente. La obligación también cubre los productos comercializados antes de que el Reglamento de Ciberresiliencia sea plenamente aplicable en diciembre de 2027.

La fecha se deriva del artículo 71 del Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), que entró en vigor el 10 de diciembre de 2024: las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026, las normas sobre organismos de evaluación de la conformidad desde junio de 2026, y los requisitos completos de producto desde el 11 de diciembre de 2027. ENISA puso en marcha ese mismo día la Plataforma Única de Notificación; desde allí las notificaciones se remiten a los CSIRT nacionales competentes (Crowell & Moring, Freshfields, 11 de septiembre de 2026).