CRA Artículo 14: qué debe notificar y en qué plazo
Desde el 11 de septiembre de 2026, el fabricante que tiene conocimiento de una vulnerabilidad aprovechada activamente en su producto, o de un incidente grave que afecta a su seguridad, dispone de 24 horas para la alerta temprana, 72 horas para la notificación y, después, un informe final. Esta página expone el deber tal como lo formulan el Reglamento, las directrices de la Comisión y la plataforma de ENISA, con la fuente de cada punto.
- Norma
- Reglamento (UE) 2024/2847 (Cyber Resilience Act), artículo 14
- Se aplica desde
- 11 de septiembre de 2026 (Art. 71(2))
- Directrices
- Directrices de la Comisión C(2026) 5252 sobre las obligaciones de notificación
- Dónde presentar
- ENISA Single Reporting Platform · portal.cra-srp.enisa.europa.eu
- Última revisión
- 2026-10-21 · Cambios normativos
Quién debe notificar
El artículo 14 se dirige a los fabricantes y cubre dos supuestos: una vulnerabilidad aprovechada activamente en su producto (Art. 14(1)) y un incidente grave que repercute en su seguridad (Art. 14(3)).
Tres preguntas. Si las tres respuestas son sí, el artículo 14 se le aplica.
- ✓Usted introduce en el mercado de la UE hardware o software con un elemento digital, con su propio nombre o marca.
- ✓No está ya cubierto por normas sectoriales que desplazan al CRA, como los productos sanitarios, la aviación civil o los vehículos homologados.
- ✓Usted le sigue dando soporte después del 11 de septiembre de 2026. Los productos que vendió hace años también cuentan (Art. 69(3)).
Artículo 69(3): los deberes de notificación se aplican también a los productos introducidos en el mercado antes del 11 de diciembre de 2027, de modo que un producto al que aún da soporte está dentro del ámbito por antiguo que sea. Estar establecido fuera de la UE no elimina el deber; cambia qué CSIRT coordinador recibe la notificación.
Los tres plazos
| Fase | Vulnerabilidad aprovechada activamente (Art. 14(2)) | Incidente grave (Art. 14(4)) |
|---|---|---|
| Alerta temprana | 24 horas desde el conocimiento · Art. 14(2)(a) | 24 horas desde el conocimiento · Art. 14(4)(a) |
| Notificación | 72 horas desde el conocimiento · Art. 14(2)(b) | 72 horas desde el conocimiento · Art. 14(4)(b) |
| Informe final | 14 días desde que se disponga de una medida correctora o paliativa · Art. 14(2)(c) | Un mes después de la notificación de 72 horas · Art. 14(4)(c) |
- Alerta temprana. Art. 14(2)(a) y 14(4)(a). Indica que ha ocurrido, en qué Estados miembros está disponible el producto y si se sospecha que hay actos ilegales o malintencionados.
- Notificación. Art. 14(2)(b) y 14(4)(b). La naturaleza del aprovechamiento o del incidente, las medidas que usted adoptó, las medidas que pueden adoptar sus usuarios y una valoración de la sensibilidad de la información.
- Informe final. Art. 14(2)(c): en el plazo de 14 días desde que se disponga de una medida correctora o paliativa. Para incidentes graves: en el plazo de un mes desde la notificación de 72 horas.
Destinatarios: el CSIRT designado como coordinador en su Estado miembro y ENISA.
Conocimiento, no publicación del CVE
Los tres plazos dependen de un único instante: aquel en que usted tiene conocimiento. No la detección, ni el día en que se publicó el CVE, ni el día en que se entregó la corrección.
Directrices de la Comisión C(2026) 5252 §213: usted tiene conocimiento cuando, tras una evaluación inicial, alcanza un grado razonable de certeza de que la vulnerabilidad se está aprovechando activamente o de que se ha producido un incidente grave. El §214 exige que esa evaluación sea rápida.
Figurar en CISA KEV o en la lista de vulnerabilidades aprovechadas de ENISA EUVD suele ser el comienzo de esa evaluación, no su final: aún debe confirmar que el código vulnerable está presente y es alcanzable en su producto.
El contador de 72 horas del portal y el plazo legal
FAQ Q26 de ENISA: el contador de 72 horas de la plataforma muestra un vencimiento 48 horas después de presentar la alerta temprana. Si presenta la alerta temprana con prontitud, el portal le marcará como vencido antes de que se agoten las 72 horas legales. Desde el 21 de octubre de 2026 el formulario de vulnerabilidades tiene un campo obligatorio para el momento del conocimiento (glosario v1.6), y ENISA ha dicho que una versión posterior contará desde el conocimiento.
Si tiene conocimiento el lunes a las 09:00 y presenta la alerta temprana el lunes a las 17:00, el portal marca la notificación como vencida desde el miércoles a las 17:00, mientras que el art. 14(2)(b) le da hasta el jueves a las 09:00.
Guíese por el plazo legal y trate el contador del portal como un recordatorio; indique la hora del conocimiento con palabras en su resumen y conserve su propio registro fechado. Comprobación de plazos: introduzca sus dos instantes y vea ambos vencimientos.
Presentar en la Single Reporting Platform sin API
"No Application Programming Interface (API) will be provided at the initial release of the SRP, so notifications must be submitted through the platform interface." — En español: en la versión inicial de la SRP no habrá interfaz de programación (API), por lo que las notificaciones deben presentarse a través de la interfaz de la plataforma.
En la práctica, su Assigned Representative inicia sesión con EU Login y autenticación multifactor y rellena el formulario. Cada fabricante registra un Primary Assigned Representative y hasta 20 Secondary Assigned Representatives. Puede presentar hasta 20 notificaciones antes de que su Assigned Representative esté validado, así que registrarse hoy no retrasa nada.
Un correo a un CSIRT es una solución de emergencia para cuando la plataforma no funciona, no una notificación formal (NCSC Irlanda, directrices nacionales sobre el CRA, agosto de 2026). Todos los campos que pide la plataforma, con su límite y su estado en cada fase, están en la Referencia de campos de la SRP.
Informar a sus usuarios
Art. 14(8): tras tener conocimiento, y cuando proceda, usted informa sin demora indebida a los usuarios afectados sobre la vulnerabilidad o el incidente y, cuando sea necesario, sobre las medidas paliativas y correctoras que pueden adoptar. Esto corre en paralelo a las notificaciones y no espera a la presentación de las 72 horas.
Directrices de la Comisión C(2026) 5252 §§219–221: qué comunica a los usuarios, y cómo, se basa en el riesgo y en la proporcionalidad. Un aviso CSAF 2.0 más una nota legible por personas es la forma habitual; el Reglamento no impone ninguna de las dos ni fija una hora concreta.
Sanciones y la exención para pequeñas empresas
El art. 64(2) sitúa las obligaciones de los artículos 13 y 14, incluida la notificación, en el tramo de hasta 15 M€ o el 2,5 % del volumen de negocios anual mundial. Los 10 M€ o el 2 % (Art. 64(3)) se aplican a otros deberes de los agentes económicos. Las microempresas y pequeñas empresas están exentas de multas por una alerta temprana de 24 horas no presentada (Art. 64(10)); la obligación en sí sigue vigente.
Lo que ya sabía antes del 11 de septiembre
El aprovechamiento del que ya tenía conocimiento antes del 11 de septiembre no debe notificarse con carácter retroactivo (Directrices de la Comisión C(2026) 5252 §217). Todo lo que conozca a partir de ahora, sí.
La línea divisoria es el conocimiento del aprovechamiento, no la antigüedad de la vulnerabilidad: enterarse después del 11 de septiembre de 2026 de que una vulnerabilidad conocida desde hace tiempo se aprovecha ahora activamente es un conocimiento nuevo.
Fuentes oficiales
- Reglamento (UE) 2024/2847 en EUR-Lex: English · Deutsch
- Directrices de la Comisión C(2026) 5252 sobre las obligaciones de notificación
- ENISA Single Reporting Platform: preguntas frecuentes
- ENISA Single Reporting Platform: el portal
Esta página no es asesoramiento jurídico. Sigue el Reglamento y las directrices de la Comisión y cita la fuente de cada regla; el registro fechado de los cambios es el Cambios normativos. Sus notificaciones siguen siendo sus declaraciones jurídicas y conviene que las revise alguien.