Simulacro de 24 horas
Un componente de su producto acaba de aparecer en el catálogo CISA KEV. Ensaye los primeros días de la respuesta del artículo 14 contra un reloj acelerado: decidir el conocimiento, elegir el CSIRT coordinador, rellenar la alerta temprana y la notificación de 72 horas en los campos de la propia plataforma y, después, las decisiones que siguen. Al final, una puntuación sobre 100.
Hora del simulacro
Firmware de router: resolutor BIND
- Fabricante
- Nordwind Networks GmbH
- Organización
- Sede central y equipo de seguridad de producto en Linz, Austria. Centro de desarrollo en Múnich; la mayoría de los clientes están en Alemania.
- Producto
- NW-R200 router, firmware 4.2 and 4.3
- Componente
- ISC BIND 9.16.23
- Disponible en
- AT, DE, IT, SI
- Señal
- Día 1, 09:00 UTC. CISA añade CVE-2099-1001 a su catálogo Known Exploited Vulnerabilities: respuestas DNS manipuladas bloquean el resolutor BIND y pueden ejecutar código en el dispositivo. Su SBOM incluye la versión afectada en ambas versiones del firmware.
Pasarela industrial: OpenSSL
- Fabricante
- Polderlink Industrial B.V.
- Organización
- Sede central, ingeniería y seguridad de producto en Eindhoven, Países Bajos. Oficina comercial en Düsseldorf.
- Producto
- PL-G5 industrial IoT gateway, 2.0 to 2.3
- Componente
- OpenSSL 3.0.7
- Disponible en
- NL, BE, DE, PL
- Señal
- Día 1, 09:00 UTC. CISA añade CVE-2099-2002 a su catálogo Known Exploited Vulnerabilities: un certificado malformado en el protocolo de enlace TLS corrompe la memoria de OpenSSL y se está usando contra dispositivos expuestos. El puerto de gestión remota de su pasarela usa la versión afectada.
Interfaz de gestión: framework web
- Fabricante
- Arvel Stockage SAS
- Organización
- Sede central y seguridad de producto en Lyon, Francia. Equipo de soporte en Barcelona; clientes en toda la UE.
- Producto
- ArvelBox NAS, management interface 5.1
- Componente
- Django 3.2.12
- Disponible en
- FR, ES, IT, BE, LU
- Señal
- Día 1, 09:00 UTC. CISA añade CVE-2099-3003 a su catálogo Known Exploited Vulnerabilities: las peticiones a las rutas de administración del framework eluden la autenticación. Su interfaz de gestión se basa en la versión afectada y a menudo es accesible desde Internet.
1. Decidir el conocimiento
Su SBOM coincide con la entrada. Antes de que empiece el plazo, usted evalúa: ¿está el código vulnerable en su compilación, puede alcanzarlo un atacante, es real el aprovechamiento?
Certeza razonable tras una evaluación inicial, según las directrices de la Comisión C(2026) 5252 §213. No la fecha de publicación del CVE.
2. Elegir el CSIRT coordinador
La alerta temprana va al CSIRT designado como coordinador, y a ENISA, a través de la Single Reporting Platform. ¿Qué coordinador elige para esta empresa?
3. Rellenar la alerta temprana
Los campos de la propia plataforma para una vulnerabilidad aprovechada activamente, en su orden y con sus límites. Rellene lo obligatorio; marque las estimaciones.
ENISA CRA SRP Glossary v1.6 (21 October 2026) · Referencia de campos de la SRP
Vulnerability or Incident
Short, specific: product + vulnerability/incident. No confidential technical detail. (max 255)
What is affected, what is known now, what you are doing. Facts only; mark estimates. State when you became aware. (max 4000)
System-generated from SRP registration — must match. (max 255)
Art. 14(2)(a)/(4)(a). Your coordinating CSIRT's state is auto-added; add all others you know of.
(max 255)
All affected versions or a range. (max 255)
When you reached a reasonable degree of certainty (Commission guidance C(2026) 5252 §213). If estimated, say so in the summary. Asked on the early warning only; it starts your 24h and 72h clocks and the evidence trail records it.
Campos opcionales de este paso (21)
About the manufacturer: anything the standard fields do not cover that helps your coordinating CSIRT identify you, for example the group you belong to. Facts only. (max 255)
Default / Important / Critical (Annex III/IV)
Class I / Class II (important products only)
Annex III/IV category name, if applicable.
Is the product past its support period?
Affected third-party or open-source component and version. (max 255)
Is a corrective/mitigating measure expected in the near term?
Concrete steps users can take now. (max 4000)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
(max 255)
ENISA European Vulnerability Database id, if known. (max 255)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Known or estimated date and time since when the vulnerability exists. Asked on the early warning and carried to the 72-hour notification, where you can update it. If you estimate, say so.
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
4. Presentar la notificación de 72 horas
Dos días después. Sus ingenieros han reproducido el ataque y han dado a los clientes una solución provisional de configuración; la corrección upstream aún no ha salido. La notificación de 72 horas añade la naturaleza general de la vulnerabilidad y del exploit, y cuándo se produjo la vulnerabilidad.
Copiados de su alerta temprana; actualícelos en la plataforma si algo ha cambiado: Date and time when the Actively Exploited Vulnerability occurred (UTC time)
Art. 14(2)(b): general nature of the exploit and of the vulnerability. No unverified attribution. (max 4000)
Campos opcionales de este paso (13)
Art. 14(2)(b)/(4)(b): your assessment of how sensitive the notified information is. (max 255)
What the manufacturer has done so far. (max 2000)
Updates, configuration changes, workarounds. (max 4000)
E.g. network / adjacent / local / physical; protocol or interface. Not asked on the early warning. (max 255)
Free-text note from the Assigned Representative for anything no structured field covers. Use a structured field whenever one fits.
Starts the 14-day final-report clock (Art. 14(2)(c)).
Art. 14(2)(c): what the update or measure is, which versions carry it, how users obtain it. (max 2000)
Rating (e.g. CVSS), classification (CWE), rationale. (max 4000)
Systems, components, data and users affected. (max 4000)
Art. 14(2)(c)(ii). Mark unconfirmed. (max 100)
Art. 16(2) third subpara. Only at 72h. Restricts dissemination; justify below.
Tick at least one ground (Art. 16(2) third subparagraph): exploited in no Member State other than your coordinating CSIRT's; further dissemination contrary to that Member State's essential interests; or an imminent high cybersecurity risk from further dissemination.
Shown once PEC is on: the facts that support your PEC request, for the coordinating CSIRT's decision. Free text. (max 800)
5. Informar a los usuarios, y al mantenedor upstream
6. La corrección y el informe final
Día 5: el mantenedor publica una versión corregida. Día 6, 10:00 UTC: su actualización que la incluye está disponible para todos los clientes. ¿Cuándo vence el informe final?
Su puntuación
0/ 100
Qué salió bien y qué corregir
Conocimiento decidido sobre los hechos
0 / 15
Confirmó el conocimiento tras una breve evaluación de su propia compilación. Esa decisión pone en marcha el plazo de 24 horas.
El conocimiento es un grado razonable de certeza tras una evaluación inicial (directrices de la Comisión §213): no la publicación del CVE, no la queja de un cliente, no la corrección. Designe quién lo decide y deje constancia de cuándo.
CSIRT coordinador
0 / 10
Correcto: el CSIRT designado como coordinador en el Estado miembro de su establecimiento principal (Art. 14(7)).
El coordinador es el CSIRT del Estado miembro de su establecimiento principal, donde se toman principalmente las decisiones sobre la ciberseguridad de sus productos (Art. 14(7)). No donde están la mayoría de los clientes, no ENISA, no cada CSIRT por separado: el coordinador transmite la notificación a los demás Estados miembros afectados.
Alerta temprana: campos obligatorios
0 / 15
Todos los campos obligatorios de la alerta temprana estaban rellenados.
Había campos obligatorios vacíos. La plataforma no acepta la alerta temprana sin ellos, y un formulario en blanco en la hora 23 es como se incumplen los plazos. Tenga preparados fabricante, producto, versiones y mercados antes de necesitarlos.
Momento del conocimiento introducido
0 / 5
Introdujo cuándo tuvo conocimiento, con fecha y hora. El campo de la plataforma para ello es obligatorio en la alerta temprana, y la ley cuenta sus plazos desde ese instante.
Introduzca el momento en que tuvo conocimiento en el campo correspondiente, con fecha y hora en UTC. Es obligatorio en la alerta temprana, y el contador de la plataforma no mide desde ese instante.
Alerta temprana dentro de las 24 horas
0 / 15
Presentada dentro de las 24 horas siguientes al conocimiento (Art. 14(2)(a)).
Tarde. La alerta temprana vence 24 horas después de tener conocimiento (Art. 14(2)(a)). Puede ser escueta: presente lo que sabe, marque las estimaciones y deje el detalle para la notificación de 72 horas.
Notificación de 72 horas: campos obligatorios
0 / 10
Todos los campos obligatorios de la notificación de 72 horas estaban rellenados.
Había campos obligatorios vacíos. Para vulnerabilidades, la notificación de 72 horas pide la naturaleza general de la vulnerabilidad y del exploit.
Notificación de 72 horas dentro de las 72 horas
0 / 10
Presentada dentro de las 72 horas siguientes al conocimiento (Art. 14(2)(b)), mostrara lo que mostrara el contador de la plataforma.
Tarde. El plazo legal es de 72 horas desde que tuvo conocimiento (Art. 14(2)(b)). El contador de la plataforma muestra un vencimiento 48 horas después de su alerta temprana; tómelo como un recordatorio, la ley cuenta desde el conocimiento.
Usuarios afectados informados
0 / 8
Los usuarios se enteran ahora, con lo que pueden hacer (Art. 14(8)). La corrección no tiene que existir antes.
Art. 14(8): tras tener conocimiento, informe a los usuarios afectados y, cuando proceda, a todos los usuarios de la vulnerabilidad y de las medidas que pueden adoptar. Esperar a la corrección no es la regla, y que el CSIRT les informe es la solución de reserva cuando usted no lo hace.
Mantenedor del componente
0 / 5
Dio el paso upstream (Art. 13(6)). Para un CVE público y conocido como aprovechado, «no hace falta» es una buena respuesta, siempre que quede registrada.
Art. 13(6): comunique una vulnerabilidad que detecte en un componente integrado a quien lo mantiene. Si ya es pública, deje constancia de que no hace falta comunicarla. En cualquier caso, decida y déjelo por escrito.
Plazo del informe final
0 / 7
Correcto: 14 días después de que se dispusiera de la medida correctora (Art. 14(2)(c)).
Para una vulnerabilidad aprovechada activamente, el informe final vence a más tardar 14 días después de que se disponga de una medida correctora o paliativa (Art. 14(2)(c)). Un mes después de la notificación es la regla de los incidentes graves (Art. 14(4)(c)).
El mismo simulacro con su propio SBOM
En ExploitClock, un simulacro abre un caso sobre su propio producto: plazos reales, borradores rellenados a partir de su SBOM y su configuración, avisos a sus canales, la cadena de pruebas y una puntuación con un informe posterior.