normakte / Gestión de vulnerabilidades
El CRA no solo exige un producto seguro en el momento de la venta, sino un proceso durante todo el periodo de soporte.
Registrar los componentes en una SBOM, corregir las vulnerabilidades sin demora, ofrecer gratis actualizaciones de seguridad, separadas de las funcionales cuando sea posible, probar con regularidad y publicar las vulnerabilidades corregidas.
El fabricante adopta una política de divulgación coordinada de vulnerabilidades e indica una dirección de contacto por la que terceros pueden notificarlas. Esta información forma parte también de la información para los usuarios.
Se aplican las obligaciones de notificación: alerta temprana en 24 horas, notificación en 72 horas, informe final, a través de la plataforma de ENISA.
Registro con todos los requisitos del CRA, clasificación, SBOM, notificaciones con plazos, periodo de soporte y página de destino para la información a los usuarios: un expediente de prueba gratis hasta el 20.01.2027.
Fuente. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.