El Reglamento de Ciberresiliencia es la norma europea que impone requisitos obligatorios de ciberseguridad a los productos con elementos digitales, desde una aplicación móvil hasta una cámara conectada. Se aprobó como Reglamento (UE) 2024/2847 y entró en vigor el 10 de diciembre de 2024, pero sus obligaciones llegan escalonadas. La primera vence el 11 de septiembre de 2026. Desde ese día, todo fabricante que comercialice productos digitales en la Unión Europea debe notificar las vulnerabilidades explotadas activamente y los incidentes graves, con una alerta inicial de 24 horas. El grueso del reglamento no se aplica hasta el 11 de diciembre de 2027. Durante quince meses convivirá un deber de notificar plenamente exigible con un régimen de requisitos técnicos todavía inaplicable.
Si necesitas abogados de ciberseguridad para empresas, solicita una valoración inicial gratuita.
El artículo 14 impone dos deberes de notificación distintos. El primero cubre las vulnerabilidades del producto que estén siendo explotadas activamente. El segundo cubre los incidentes graves que afecten a la seguridad del producto. Ambos se activan desde que el fabricante tiene conocimiento del hecho, no desde que lo confirma o lo diagnostica.
La distinción importa porque los plazos son idénticos pero el contenido de los informes no lo es, y porque un mismo suceso puede encajar en los dos supuestos a la vez.
Una vulnerabilidad se considera explotada activamente cuando existe evidencia fiable de que un tercero la ha aprovechado en un sistema sin autorización de su titular. La definición no exige daño consumado ni exfiltración de datos. Basta con la ejecución del ataque.
El deber alcanza a las vulnerabilidades del producto en su conjunto, incluidas las que residen en componentes de terceros integrados en él. Un fabricante no se libera alegando que el fallo está en una biblioteca de código abierto que no ha escrito. Si esa biblioteca viaja dentro de su producto, la vulnerabilidad es suya a efectos de notificación.
Además de avisar a la autoridad, el fabricante debe informar sin demora indebida a los usuarios afectados del producto y, cuando proceda, indicarles las medidas correctoras o de mitigación que pueden aplicar.
Un incidente es grave cuando afecta negativamente a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de los datos o funciones que maneja. También lo es cuando permite la ejecución de código no autorizado o el acceso a datos sensibles.
El umbral se mide sobre el producto, no sobre la organización. Una intrusión en los sistemas corporativos del fabricante que no degrade la seguridad del producto comercializado queda fuera del artículo 14, aunque pueda activar otras normas como la Directiva NIS2 o el deber de notificación de brechas del RGPD.
El régimen se articula en tres comunicaciones sucesivas sobre el mismo hecho. Una alerta temprana en 24 horas, una notificación completa en 72 horas y un informe final cuyo plazo depende de si se notificó una vulnerabilidad o un incidente. Los tres plazos se cuentan desde que el fabricante tuvo conocimiento.
| Plazo | Comunicación | Contenido mínimo |
|---|---|---|
| 24 horas | Alerta temprana | Indicación de que existe explotación activa o incidente grave y Estados miembros donde el producto está disponible |
| 72 horas | Notificación completa | Datos técnicos, gravedad e impacto, y medidas correctoras adoptadas o disponibles para los usuarios |
| 14 días | Informe final de vulnerabilidad | Se cuenta desde que hay medida correctora disponible. Descripción del fallo, gravedad, impacto y solución aplicada |
| 1 mes | Informe final de incidente grave | Se cuenta desde la notificación de las 72 horas. Naturaleza, causa probable y medidas de mitigación |
El reloj de las 24 horas es el punto de fricción real. Empieza a correr con el conocimiento, no con el diagnóstico. Una empresa que recibe un aviso de un investigador externo un viernes por la tarde tiene hasta el sábado por la tarde para emitir la alerta temprana, aunque su equipo técnico no haya podido reproducir el fallo todavía.
La obligación de notificar recae en exclusiva sobre el fabricante, entendido como quien desarrolla o encarga el producto y lo comercializa bajo su nombre o marca. Importadores y distribuidores no notifican a la autoridad. Deben informar al fabricante sin demora indebida cuando detecten una vulnerabilidad, pero no activan el reloj de 24 horas.
El reglamento sitúa a los administradores de software libre en una categoría propia, con un deber más limitado que el del fabricante. Notifican las vulnerabilidades explotadas activamente de los productos que desarrollan, sin quedar sujetos al resto del régimen de conformidad.
Ser fabricante no depende de tener una fábrica. Una empresa de software que vende una aplicación de gestión bajo su marca es fabricante a efectos del reglamento, aunque el desarrollo esté subcontratado y no haya un solo componente físico en el producto.
Las notificaciones se presentan a través de la plataforma única de notificación, un sistema gestionado por ENISA que abre el mismo 11 de septiembre de 2026. El acceso exige una cuenta EU Login. El envío se dirige al CSIRT designado como coordinador en el Estado miembro del establecimiento principal del fabricante y queda accesible para ENISA de forma simultánea.
Escribir por correo al CSIRT nacional no cumple la obligación, aunque exista relación previa con ese equipo. La plataforma es el canal único y el reenvío a los demás Estados miembros afectados se produce dentro del propio sistema, sin que el fabricante tenga que replicar la notificación país por país.
Según la documentación publicada por la Comisión Europea, el arranque será manual. No habrá interfaz de programación disponible en el momento de la apertura, de modo que la integración automática con las herramientas internas de gestión de vulnerabilidades tendrá que esperar.
Cuando el fabricante no tiene establecimiento en la Unión, la atribución sigue una cadena. Primero el representante autorizado, después el importador, luego el distribuidor y, en último término, el Estado miembro donde se concentre el mayor número de usuarios.
España llega al 11 de septiembre sin haber designado formalmente a sus autoridades del reglamento. El proyecto de real decreto que debe hacerlo atribuye la vigilancia del mercado a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y la condición de autoridad notificante al Centro Criptológico Nacional. La CNMC emitió su informe IPN/CNMC/007/26 el 13 de mayo de 2026 y el texto continúa en tramitación.
La ausencia de designación no suspende nada. El Reglamento de Ciberresiliencia es directamente aplicable y no necesita norma nacional de desarrollo para obligar. Lo que queda en el aire es quién instruye y quién sanciona en territorio español, no si la obligación existe.
Es el mismo patrón que ya se ha visto con la transposición de NIS2, donde el retraso normativo nacional convivió con obligaciones europeas plenamente exigibles. Conviene no confundir una cosa con la otra. El repaso completo de este solapamiento está en nuestra guía del marco regulatorio digital en España y la Unión Europea.
El artículo 64 fija tres tramos de multa administrativa y en todos ellos se aplica el importe que resulte mayor entre la cifra fija y el porcentaje del volumen de negocio anual mundial. El incumplimiento del deber de notificación se sitúa en el tramo más alto.
Las multas las imponen las autoridades nacionales de vigilancia del mercado, lo que en España vuelve a remitir al real decreto pendiente. El riesgo práctico a corto plazo no es tanto la multa inmediata como la acumulación de incumplimientos documentados que una autoridad podrá revisar una vez constituida.
La preparación es organizativa antes que técnica. En tres semanas no da tiempo a rediseñar un producto, pero sí a montar el circuito que permite cumplir un plazo de 24 horas. Estos son los siete puntos que conviene tener cerrados.
Una empresa valenciana, que llamaremos Domotek, fabrica termostatos conectados y los vende en España, Portugal y Francia. Un investigador independiente le escribe un viernes a las 18.00 con evidencias de que un fallo en el módulo de emparejamiento se está usando para acceder a la red doméstica de varios clientes.
El reloj arranca a las 18.00 del viernes, no el lunes cuando el equipo de producto lea el correo. Domotek tiene hasta las 18.00 del sábado para emitir la alerta temprana, indicando que hay explotación activa y que el producto se comercializa en tres Estados miembros. Hasta el lunes a las 18.00 tiene la notificación completa, con datos técnicos y medidas disponibles. La notificación se presenta ante el CSIRT coordinador español, que la traslada a Portugal y Francia sin que Domotek tenga que hacer tres envíos.
En paralelo, y sin esperar al informe final, debe avisar a los usuarios afectados y decirles qué pueden hacer mientras llega el parche.
En nuestra práctica de ciberseguridad el punto de fallo rara vez es técnico. Es de gobierno interno. La vulnerabilidad se detecta a tiempo, pero nadie tiene atribuida por escrito la competencia para declarar que eso es una explotación activa y arrancar el reloj. Recomendamos fijar quién toma esa decisión, quién la toma si esa persona no está localizable y en qué momento exacto se considera que la empresa tuvo conocimiento.
Sí. El Reglamento de Ciberresiliencia cubre los productos con elementos digitales, categoría que incluye el software comercializado de forma independiente. Una aplicación, un plugin o una herramienta SaaS distribuida como producto quedan dentro. Si se vende bajo tu marca, eres fabricante y te corresponde notificar.
No. El deber del artículo 14 se limita a las vulnerabilidades explotadas activamente y a los incidentes graves. Una vulnerabilidad detectada en auditoría interna y corregida antes de que nadie la aproveche no se notifica, aunque sí debe gestionarse conforme a los requisitos que serán exigibles desde diciembre de 2027.
El plazo de 24 horas corre igual. El reglamento no contempla suspensión por fines de semana ni por festivos. Por eso el procedimiento de escalado tiene que designar personas localizables fuera del horario de oficina y dejar por escrito quién puede emitir la alerta temprana en ausencia del responsable principal.
Puedes delegar la ejecución material del envío, pero no la responsabilidad. Frente a la autoridad responde el fabricante. Si el proveedor incumple el plazo, la multa la recibe la empresa que comercializa el producto, de modo que el contrato debe recoger plazos internos más cortos que los del reglamento.
Si comercializas productos con elementos digitales en la Unión Europea y no tienes cerrado el circuito de notificación, quedan pocas semanas. En Innovatech ayudamos a fabricantes y empresas de software a montar el procedimiento, revisar los contratos con la cadena de suministro y responder cuando el reloj ya ha empezado a correr. Cuéntanos tu caso y lo revisamos.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada especializada en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.