# ¿Qué exige el CRA cuando se explota una vulnerabilidad?

El artículo 14 del Reglamento de Ciberresiliencia obliga a los fabricantes de productos con elementos digitales a notificar, en varias fases, las vulnerabilidades explotadas activamente en sus productos y los incidentes graves que afecten a la seguridad de esos productos. Para las fases, sus plazos y quién recibe las notificaciones, véase el Reglamento (UE) 2024/2847, artículo 14. Estas obligaciones de notificación se aplican desde el 11 de septiembre de 2026. Afectan a los fabricantes, no a las empresas que solo usan los productos, aunque el propio incidente de un usuario puede tener que notificarse según NIS2 o el RGPD.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

FAQ: [Plazos de notificación](https://netsenx.com/es/faq/reporting) · https://netsenx.com/es/faq/what-does-the-cra-require-when-a-vulnerability-is-exploited

## Siga leyendo

- https://netsenx.com/es/nis2-incident-reporting-deadlines
- https://netsenx.com/es/nis2-network-monitoring

## Preguntas relacionadas

- [¿Se nos aplica DORA?](https://netsenx.com/es/faq/does-dora-apply-to-us)
- [¿Qué se considera un incidente significativo según NIS2?](https://netsenx.com/es/faq/what-counts-as-a-significant-incident-under-nis2)
- [¿Hay que notificar según NIS2 un ataque fallido o bloqueado?](https://netsenx.com/es/faq/is-a-blocked-attack-reportable-under-nis2)
- [¿Cómo puede un equipo pequeño cumplir el plazo de 24 horas de la alerta temprana de NIS2?](https://netsenx.com/es/faq/how-can-a-small-team-meet-the-nis2-24-hour-deadline)
- [¿Qué debemos tener listo antes de que venza el plazo de 24 horas de NIS2?](https://netsenx.com/es/faq/what-should-we-have-ready-before-the-nis2-24-hour-deadline)