¿Un fallo explotado o un incidente grave en tu producto? Notifícalo a tiempo
Desde el 11 de septiembre de 2026, si fabricas software o aparatos conectados, tienes que avisar a las autoridades por la plataforma de ENISA en tres pasos: 24 horas, 72 horas e informe final. Aquí tienes el reloj de los tres plazos y los tres borradores, con los campos de la plataforma. Todo se escribe en tu navegador: no nos llega nada.
Cómo funciona, en cinco pasos
- Apunta la hora en que lo supiste. Los plazos cuentan desde que tienes constancia, no desde que ocurrió: son horas seguidas desde ese momento. Si no sabes la hora exacta, pon la mejor estimación y di en la descripción que es estimada.
- Alerta temprana, en 24 horas. Lo esencial: qué es, qué producto y versión, en qué países se vende y cuándo lo supiste. No esperes a saberlo todo.
- Notificación, en 72 horas. La información general y cuándo ocurrió; en un incidente, también una primera valoración.
- Informe final. Para una vulnerabilidad, a más tardar 14 días después de que haya un parche u otra medida; para un incidente grave, en un mes desde la notificación de 72 horas. Con las medidas, la gravedad y el impacto.
- Todo por la plataforma de ENISA. Una sola vez, al CSIRT del país de tu establecimiento principal; ENISA lo recibe a la vez. Necesitas una cuenta de EU Login con verificación en dos pasos.
La plataforma está en portal.cra-srp.enisa.europa.eu. ¿No sabes si tu producto entra en el CRA? Hazte antes el Diagnóstico CRA.
Preguntas frecuentes
¿Me afecta si mi producto se vendió antes del 11 de septiembre de 2026?
Sí. La obligación se aplica desde el 11 de septiembre de 2026 a todos los productos con elementos digitales dentro del CRA, también a los que ya estaban en el mercado. Una vulnerabilidad explotada activamente de la que supiste antes de esa fecha no hay que notificarla hacia atrás; si te enteras después de que se está explotando, sí, aunque el fallo ya se conociera.
¿A qué CSIRT va la notificación?
Al del Estado miembro de tu establecimiento principal en la UE, y lo eliges en la plataforma. Si no está claro, al del país de la UE donde tengas más empleados. Si eres de fuera de la UE, ENISA da un orden: tu representante autorizado, tu importador, tu distribuidor y, por último, donde tengas más usuarios. Si eliges uno equivocado, la notificación puede invalidarse y tendrás que repetirla.
¿Qué necesito para entrar en la plataforma?
Una cuenta personal de EU Login con verificación en dos pasos (no una cuenta compartida). El primero que se registra por tu empresa es el representante principal; cuando la empresa figure como verificada, puede invitar hasta a 20 más. Puedes enviar notificaciones mientras se verifica tu registro. ENISA aconseja registrarse en la plataforma cuando haga falta notificar. Nuestro consejo: como el reloj corre desde el primer minuto, ten al menos la cuenta de EU Login con la verificación en dos pasos lista desde hoy.
¿En qué idioma está la plataforma?
De momento, solo en inglés. Por eso los borradores llevan el nombre de cada campo en inglés, para que copies cada respuesta en su sitio.
La plataforma me marca la notificación de 72 horas como atrasada, ¿por qué?
Su contador pone el vencimiento 48 horas después de enviar la alerta temprana, así que puede marcarla antes de tiempo; y si enviaste la alerta temprana tarde, su contador te dará más margen del real. Lo que cuenta es el momento en que tuviste constancia: guíate por el reloj de esta página, que parte de ahí.
Soy una microempresa o pequeña empresa: ¿qué pasa si no llego en 24 horas?
La Comisión Europea indica que a las microempresas y pequeñas empresas no se las puede multar por no cumplir el plazo de 24 horas de la alerta temprana. La obligación de notificar sigue ahí: envíala en cuanto puedas, y la notificación de 72 horas y el informe final, en su plazo.
¿Y si la plataforma no funciona?
ENISA indica que esperes a que vuelva y entonces envíes la notificación; mientras, puedes contactar directamente con tu CSIRT. Aun así, hay que presentarla por la plataforma. Apunta la hora de cada intento.
¿Puedo notificar un fallo que no se está explotando?
La notificación voluntaria llegará en una fase posterior de la plataforma, según ENISA. Hoy la plataforma recoge las obligatorias: vulnerabilidades explotadas activamente e incidentes graves.
¿Me lo guardáis?
No. Todo se escribe en tu navegador y no nos llega nada. Descarga o imprime los borradores antes de cerrar la página: nosotros no podremos recuperarlos.
¿Esto sustituye a mi asesor o a mi equipo de seguridad?
No. Te ahorra el papel en blanco y te recuerda los plazos y los campos de la plataforma; qué se notifica y cuándo lo decides tú. Si no sabes si tu producto entra en el CRA, empieza por el Diagnóstico CRA: /diagnostico-cra
Fuentes oficiales
- Comisión Europea: obligaciones de notificación del CRA
- Comisión Europea: resumen del Reglamento de Ciberresiliencia
- ENISA: plataforma única de notificación (SRP)
- ENISA: preguntas frecuentes de la plataforma
- ENISA: glosario de campos de la plataforma
Consultadas el 14 de octubre de 2026. Los plazos y los campos son los de la plataforma en esa fecha: ENISA avisa de que su material puede cambiar, así que revisa la plataforma al notificar.