normakte / CRA y NIS2
Ambas normas tratan de ciberseguridad y tienen plazos de notificación parecidos, pero se refieren a cosas distintas: el CRA al producto, la NIS2 a la empresa.
| CRA | NIS2 | |
|---|---|---|
| Objeto | productos con elementos digitales | entidades y sus redes y servicios |
| Quién | fabricantes, importadores, distribuidores | entidades medianas y grandes de los sectores citados |
| Forma jurídica | reglamento, directamente aplicable | directiva, transposición nacional |
| Notificaciones | a través de la plataforma de ENISA | a la autoridad nacional competente |
| Plazos | 24 h, 72 h, informe final | 24 h, 72 h, informe final al mes |
La Directiva NIS2 (UE) 2022/2555 obliga a las entidades medianas y grandes de determinados sectores a proteger sus propias redes y servicios y a notificar los incidentes significativos. Se transpone mediante leyes nacionales, cuyo estado varía de un Estado miembro a otro.
Entre los sectores figura también la fabricación de maquinaria, equipos eléctricos y productos informáticos y electrónicos. Un fabricante de tamaño mediano o mayor puede, por tanto, entrar en la NIS2 por su actividad y en el CRA por sus productos.
Dos canales de notificación: los incidentes en la propia actividad según la NIS2, a la autoridad nacional; las vulnerabilidades explotadas activamente y los incidentes del producto según el CRA, a través de la plataforma de ENISA. Las entidades NIS2 cuidan además la seguridad de su cadena de suministro y piden cada vez más productos conformes al CRA.
Registro, clasificación, SBOM, notificaciones con plazos y página para los usuarios: un expediente de prueba gratis hasta el 20.01.2027.
Fuente. Reglamento (UE) 2024/2847, DO L, 2024/2847 de 20.11.2024. Resumido; solo da fe el texto oficial. normakte no sustituye el asesoramiento jurídico.