• Las obligaciones de notificación del Reglamento de Ciberresiliencia de la UE entran en vigor el 11 de septiembre
  • Los fabricantes disponen de 24 horas para la primera advertencia y de 72 horas para un informe más completo

El hecho

Las obligaciones de notificación del Reglamento de Ciberresiliencia de la UE entraron en vigor el 11 de septiembre y exigen que los fabricantes de productos con elementos digitales notifiquen las vulnerabilidades explotadas activamente y los incidentes graves que afectan a la seguridad de sus productos. La primera advertencia debe enviarse dentro de las 24 horas siguientes a la toma de conocimiento de un evento notificable.

Una notificación más completa sigue dentro de las 72 horas. El plazo final depende después del evento. Para una vulnerabilidad explotada activamente, el informe final vence a más tardar 14 días después de que esté disponible una medida correctiva o paliativa. Para un incidente grave, el informe final debe presentarse dentro del mes siguiente a la notificación de 72 horas y debe cubrir el incidente, su impacto, la probable causa y las medidas adoptadas o previstas.

Los informes se envían a través de la plataforma única de notificación de ENISA al CSIRT nacional correspondiente, y la información se pone generalmente a disposición de ENISA al mismo tiempo. Las obligaciones recaen en los fabricantes, en lugar de imponer la misma obligación de notificación a cada cliente que utilice el producto. El Reglamento también aborda la notificación a los usuarios afectados y la provisión de información sobre medidas correctivas o paliativas. La mayoría de sus requisitos de producto más amplios se aplican a partir de diciembre de 2027.

El análisis

Una vez que un fabricante sabe que una vulnerabilidad se está explotando activamente, puede tener que notificar el problema antes de que los ingenieros lo comprendan plenamente. Por lo tanto, la primera advertencia de 24 horas podría emitirse antes de que se hayan identificado todas las versiones afectadas o de que una corrección se haya probado. Más detalles siguen después de 72 horas, mientras la investigación técnica continúa.

En la práctica, la notificación y la remediación suelen ocurrir al mismo tiempo. Los fabricantes deben decir a los reguladores lo que saben sin presentar suposiciones tempranas como conclusiones consolidadas. Mientras tanto, sus clientes necesitan información suficiente para decidir si están afectados y si es necesaria alguna acción inmediata.

Para los lectores de BTW, lo que importa es la rapidez con que esa primera advertencia se convierte en orientación útil. Los operadores necesitan información clara sobre las versiones afectadas, mitigaciones seguras y, con el tiempo, una corrección con soporte. Cumplir el plazo de notificación es importante, pero los clientes aún tienen que saber qué hacer con los equipos que están operando.

Qué observar

Observar si los avisos de los proveedores separan con claridad los hechos confirmados, las conclusiones provisionales y las mitigaciones disponibles después de la primera advertencia. La orientación específica por versión, las actualizaciones posteriores a la notificación de 72 horas y una vía clara hacia una corrección con soporte mostrarán si el nuevo calendario ayuda a los operadores a tomar decisiones de mantenimiento en lugar de limitarse a presentar informes regulatorios oportunos.