ARTÍCULO 14 DEL CRA: LA REGLA DE LAS 24 HORAS QUE YA CAMBIA LAS REGLAS DEL SOFTWARE Y HARDWARE EN LA UE

El Reglamento (UE) 2024/2847 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (Cyber Resilience Act o CRA) es la primera normativa comunitaria que exige garantizar la seguridad digital de cualquier producto conectado, tanto software como hardware, durante toda su vida útil como requisito obligatorio para obtener el marcado CE (artículo 30). La norma acaba con una brecha histórica: hasta ahora, la seguridad física de los productos era obligatoria por ley, pero la digital dependía de la autorregulación. A partir de ahora, las mismas exigencias se aplican a todo el ecosistema digital, desde sistemas operativos y componentes industriales hasta aplicaciones móviles y dispositivos inteligentes para el hogar (artículo 3.1).

Aunque la mayoría de los requisitos de diseño y certificación técnica del Reglamento Europeo de Ciberresiliencia no se aplicará hasta el 11 de diciembre de 2027 (artículo 71), las obligaciones de notificación fijadas en el artículo 14 pasan a ser exigibles desde el 11 de septiembre de 2026. La gran relevancia práctica de este adelanto radica en el régimen transitorio establecido en el artículo 69, apartado 3: a diferencia del diseño seguro, el deber de reporte no cuenta con moratoria y resulta directamente aplicable a todos los productos que ya estén comercializados y continúen funcionando en el mercado de la Unión.

En concreto, el artículo 14 obliga a los fabricantes a reportar dos supuestos específicos. Por un lado, cualquier vulnerabilidad explotada activamente (artículos 14.1 y 3.42), entendida como aquel fallo del que existan pruebas fiables de haber sido aprovechado por un atacante en un sistema real sin autorización. Por otro lado, cualquier incidente grave que repercuta en la seguridad del producto (artículo 14.3 y 14.5), considerando como tal aquel que comprometa la confidencialidad, integridad, disponibilidad o autenticidad de datos o funciones sensibles o importantes, o que permita o pueda provocar la ejecución de código malicioso en el dispositivo o en los sistemas del usuario final.

La comunicación debe remitirse de forma simultánea a ENISA y al equipo de respuesta a incidentes (CSIRT) nacional coordinador a través de la plataforma única prevista en el artículo 16. La autoridad nacional de referencia será la del Estado miembro donde la empresa tome sus principales decisiones de ciberseguridad o, si es un fabricante extracomunitario, la que corresponda según el país donde se ubique su representante autorizado, su importador, su distribuidor o su mayor volumen de usuarios (artículo 14.7).

En cuanto a los tiempos de respuesta, el proceso exige cumplir tres plazos estrictos: una alerta temprana en menos de 24 horas tras detectar el suceso detallando indicios de intencionalidad y países afectados (artículo 14, apartados 2.a y 4.a); una notificación técnica en 72 horas con una evaluación preliminar, vías de explotación y medidas paliativas (artículo 14, apartados 2.b y 4.b); y un informe final de cierre que debe presentarse como máximo 14 días después de tener la solución técnica en el caso de vulnerabilidades (artículo 14.2.c), o en el plazo de 1 mes tras la notificación técnica de 72 horas en casos de incidentes graves (artículo 14.4.c).

Además, los fabricantes tienen la obligación legal de informar directamente a los usuarios afectados sobre el problema y las medidas correctoras que deben tomar, facilitando la información en formatos legibles por máquina (artículo 14.8). Si la empresa no lo comunica a tiempo, el propio CSIRT coordinador podrá publicar la alerta de oficio, con el consiguiente golpe a la reputación corporativa.

Para adaptarse a este marco y prevenir sanciones que pueden alcanzar hasta los 15 millones de euros o el 2,5 % de la facturación anual global (artículo 64.2), las organizaciones deben activar tres medidas urgentes: auditar técnicamente los productos ya comercializados para monitorizar fallos de seguridad (CVE), actualizar los contratos de proveedores y licencias exigiendo reportes espejo en menos de 12 horas, e implantar protocolos internos de escalado ágil que permitan autorizar la alerta oficial de 24 horas sin bloqueos burocráticos.