El Cyber Resilience Act arranca el reloj de 24 horas para las vulnerabilidades

Los fabricantes que comercializan productos con elementos digitales en la UE ya están obligados a notificar las vulnerabilidades explotadas activamente y los incidentes graves de seguridad. El artículo 14 del Cyber Resilience Act se aplica desde el 11 de septiembre y fija el primer plazo en 24 horas.

Plazos y a quién obliga

La obligación alcanza a cualquier fabricante que ponga un producto con elementos digitales en el mercado comunitario, tenga la sede dentro o fuera de la Unión. Desde el momento en que tiene conocimiento de una vulnerabilidad explotada, dispone de 24 horas para enviar un aviso temprano y 72 para una notificación más detallada. Los mismos plazos rigen para los incidentes graves que afecten a la seguridad del producto.

La única diferencia está en el informe final: 14 días desde que se pone a disposición una corrección o medida de mitigación en el caso de las vulnerabilidades explotadas, y un mes desde el primer informe en el de los incidentes graves.

Los avisos se presentan a través de la plataforma única de notificación de ENISA y van dirigidos al CSIRT coordinador, que para un fabricante europeo suele ser el del estado miembro donde tiene su establecimiento principal. Para los de fuera hay reglas específicas. También hay que informar a los usuarios afectados, que deben conocer sin demora indebida las correcciones y mitigaciones disponibles.

Las multas no son simbólicas. Estas obligaciones están clasificadas como responsabilidades esenciales dentro del reglamento, así que incumplirlas puede acarrear el tramo máximo: 15 millones de euros (17,4 millones de dólares) o el 2,5% de la facturación anual, la cifra que sea mayor.

El SBOM deja de ser un extra

El resto del reglamento llega en bloque el 11 de diciembre de 2027: seguridad por diseño y por defecto, prohibición de contraseñas por defecto, actualizaciones de seguridad obligatorias, evaluación de conformidad y marcado CE, además de la lista de materiales de software (SBOM) como requisito.

El problema de fondo es que el reloj empieza a contar cuando el fabricante se entera del problema, y para cumplir los plazos hay que tener ya mapeado el producto afectado y cualquier otro que comparta el fallo. Eran Kinsbruner, vicepresidente de marketing de producto en Checkmarx, señala que las aplicaciones se arman hoy con una mezcla de código propietario, paquetes open source, componentes de terceros y, cada vez más, modelos y servicios de IA interconectados, y que las organizaciones deben entender esas dependencias y el riesgo que introducen.

A eso se añade el solapamiento normativo. Heidi Waem, socia de DLA Piper, recuerda que el CRA aterriza cuando las empresas ya bregan con NIS2, DORA, la Ley de Datos y el Reglamento de IA, y que el reto ya no es entender cada norma por separado sino cómo encajan entre ellas. John Magee, de la misma firma, apunta que muchas siguen asociando el reglamento al IoT de consumo cuando el alcance es mucho mayor.

Queda por ver cuántos fabricantes tienen esa visibilidad de su producto y de su cadena de suministro. A los que no la tengan, conseguirla no se les va a resolver en 24 horas.