Resumen

  • Desde el 11 de septiembre de 2026, los fabricantes deben notificar vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad de un producto. La alerta inicial vence a las 24 horas; la notificación completa, a las 72.
  • En RIPE 93, Mandalari pidió llevar casos concretos de equipos de red, distribución de software y ciclos de soporte al trabajo de normalización del CRA.

El Cyber Resilience Act puso en marcha un reloj de 24 horas para los fabricantes. No asignó automáticamente la misma tarea a todas las empresas que operan redes. Esa frontera fue el punto útil de la intervención de Anna Maria Mandalari en RIPE 93: cuando aparece una vulnerabilidad, la empresa ya debería saber qué productos comercializa en Europa, qué papel ocupa en cada cadena y quién puede preparar el aviso.

La transcripción de la sesión IoT de RIPE 93 identifica a Mandalari como ponente remoto de la última charla. Ella vinculó la norma con los equipos corrientes de una red —routers, módems y conmutadores— y con el software que los operadores utilizan. Su petición principal fue que la comunidad aportara casos reales al debate de las normas: cuánto dura el despliegue de un equipo, quién entrega las actualizaciones y dónde cambia la responsabilidad entre fabricante, distribuidor y cliente.

El calendario explica la urgencia. Las principales disposiciones del CRA se aplican desde el 11 de diciembre de 2027, pero el artículo 14 sobre notificaciones rige desde el 11 de septiembre de 2026. Si un fabricante conoce una vulnerabilidad explotada activamente o un incidente grave que afecta la seguridad de un producto, debe enviar una alerta en 24 horas y una notificación más completa en 72. El informe final vence, como máximo, 14 días después de que haya una medida correctiva para la vulnerabilidad; para un incidente grave, dentro del mes posterior a la notificación de 72 horas. El envío se hace por la plataforma única del CRA.

La obligación es del fabricante. Comprar un router no convierte por sí solo a un operador en fabricante. La guía que la Comisión Europea publicó en julio aborda el alcance de los productos y las modificaciones sustanciales. Su resumen define al fabricante como quien desarrolla o fabrica un producto, o encarga su fabricación, y lo coloca en el mercado de la UE con su nombre o marca. Venderlo con marca propia o modificarlo sustancialmente puede cambiar el análisis; cuentan el producto y el modelo de distribución concretos.

Ahí entran las normas. El 13 de agosto, ETSI anunció 17 proyectos finales de normas verticales sometidos a consulta pública. Su objetivo es convertirse en normas armonizadas; todavía eran borradores. Según el área de producto, el proceso de aprobación debía extenderse desde mediados de septiembre hasta mediados de noviembre de 2026. Mandalari invitó a los participantes del RIPE a aportar ejemplos sobre plazos de soporte, equipos de red, distribución de software y gestión de actualizaciones.

Una promesa de actualizaciones no basta. Los operadores necesitan saber cómo se prueba, audita y despliega una actualización de seguridad, y cómo se mide su impacto. El CRA exige que el fabricante determine e indique un periodo de soporte, pero el equipo puede permanecer en la red durante otro ciclo. Si el soporte termina antes de la renovación prevista, una decisión de compra puede convertirse en una migración urgente.

El puesto de Mandalari conecta investigación, operación y normalización. UCL la identifica como subdirectora de su Institute of Communications and Connected Systems; ETSI la registra como secretaria del grupo CYBER EUSR y presidenta del grupo de trabajo IoT del RIPE. Su propuesta a la comunidad cabe en una pregunta operativa: quién responde por la próxima actualización y quién presenta el primer aviso cuando falla el producto.

La Comisión ya publicó orientación de implementación y la plataforma de notificación está operativa. El trabajo pendiente es conectar la identidad del producto, el papel del proveedor, el periodo de soporte y la autoridad sobre incidentes antes de que una vulnerabilidad obligue a reconstruir esa información contra reloj.

Fuentes