¿Qué exige el CRA cuando se explota una vulnerabilidad?

El artículo 14 del Reglamento de Ciberresiliencia obliga a los fabricantes de productos con elementos digitales a notificar, en varias fases, las vulnerabilidades explotadas activamente en sus productos y los incidentes graves que afecten a la seguridad de esos productos. Para las fases, sus plazos y quién recibe las notificaciones, véase el Reglamento (UE) 2024/2847, artículo 14. Estas obligaciones de notificación se aplican desde el 11 de septiembre de 2026. Afectan a los fabricantes, no a las empresas que solo usan los productos, aunque el propio incidente de un usuario puede tener que notificarse según NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas. o el RGPDRGPD: Reglamento General de Protección de Datos. La ley europea de protección de datos (Reglamento (UE) 2016/679)..

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 35 preguntas sobre Plazos de notificaciónTodos los temas