Notificación CRA: plazos y lista de preparación

Qué casos están incluidos

La obligación afecta a los fabricantes de productos con elementos digitales incluidos en el ámbito del Cyber Resilience Act. Abarca vulnerabilidades explotadas activamente e incidentes graves que afectan a la seguridad del producto. Tener una web de empresa no convierte por sí solo a su operador en un fabricante sujeto a estas obligaciones.

Identifique primero el producto, su función y el suceso concreto. Un hallazgo de un escáner no demuestra explotación activa. Separe observaciones, hechos confirmados y preguntas abiertas al tomar la decisión interna. [1] [2]

El plazo comienza al tener conocimiento

Los períodos de 24 y 72 horas parten del mismo momento. Regístrelo con la zona horaria y la base de la evaluación. Añada los nuevos datos al mismo expediente con su propia marca de tiempo. [1] [5]

Asignar responsables de la notificación

Las notificaciones se envían mediante la Single Reporting Platform (SRP) de ENISA al CSIRT coordinador y, por regla general, a ENISA. Los representantes designados necesitan una cuenta personal de EU Login con autenticación multifactor.

Designe un responsable y un sustituto. Prepare EU Login y los medios de acceso. ENISA recomienda actualmente iniciar el registro y la validación del fabricante en la SRP solo cuando exista una necesidad real de notificar. Consulte las instrucciones oficiales vigentes antes de utilizarla. [3] [4]

Mantener un expediente único

Nuestra recomendación práctica: reúna el producto y las versiones afectadas, el momento del conocimiento, las pruebas técnicas, el impacto, las medidas tomadas y las preguntas abiertas. Asigne a cada siguiente acción un responsable y una fecha límite.

Así, el sustituto distinguirá los hechos establecidos de los puntos en investigación. Conserve las notificaciones tal como se enviaron y sus horas de envío. Las actualizaciones serán trazables sin convertir una valoración inicial en una certeza retrospectiva.

Aviso actual: comprobar el contador de la plataforma

Las preguntas frecuentes de ENISA del 3 de octubre de 2026 describen una particularidad de la SRP: el contador de 72 horas muestra actualmente una fecha límite 48 horas después del envío de la alerta temprana. Puede señalar un retraso antes de que hayan pasado 72 horas desde el conocimiento.

Lleve también un control interno del plazo aplicable. La indicación de la plataforma no sustituye la evaluación del plazo legal. ENISA prevé modificar el cálculo; compruebe las instrucciones vigentes cuando se presente un caso real. [4]

Detectar carencias con un ensayo breve

Recorra internamente un caso ficticio sin enviar una notificación a una autoridad. ¿Quién recibe el aviso, evalúa qué productos están afectados, decide y cubre los casos fuera del horario habitual? Compruebe que el sustituto encuentra el expediente.

Termine con una lista breve de mejoras concretas: falta de acceso, sustitución poco clara, inventario desactualizado o decisión sin documentar. Resuelva estos puntos antes del próximo caso real.

Lista editable para preparar la notificación CRA

Utilice la hoja para la preparación interna: asigne cada punto pendiente, registre su evidencia y acuerde una fecha de revisión. Refleja la preparación; no es una notificación a ENISA ni una relación completa de obligaciones legales.

Ensaye un relevo con una referencia de caso ficticia. Indique dónde puede consultar el suplente el estado actualizado del expediente interno. Guarde las evidencias en un espacio de acceso restringido y añada solo referencias en la hoja. No introduzca credenciales ni datos personales sin tratar.

Deslice la tabla horizontalmente para leerla.

Descargar la lista de preparación CRA