normakte / Obligación de notificación CRA
La obligación de notificación del CRA rige desde el 11 de septiembre de 2026. Dos vías de notificación, cuatro plazos, y una obligación con los usuarios que corre por separado.
Novedad: las notificaciones pasan por la plataforma CRA de ENISA →
El CRA para todos los productos con elementos digitales: visión general →
Todas las obligaciones del CRA para fabricantes de máquinas
¿Qué ha ocurrido?
No son notificables las vulnerabilidades halladas de buena fe, sin intención maliciosa, con fines de prueba, investigación, corrección o divulgación (considerando 68). La notificación voluntaria está prevista en el art. 15 – compruebe en el sitio de ENISA si la plataforma ya las admite.
La Comisión concreta las obligaciones de notificación mediante actos delegados, y la lista de los CSIRT designados como coordinadores se mantiene actualizada. Le escribimos si algo cambia.
Desde el 11 de septiembre de 2026, los fabricantes de productos con elementos digitales deben notificar las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación en 72 horas y después un informe final.
El fabricante, también para los productos introducidos en el mercado antes del 11 de diciembre de 2027. La obligación cubre por tanto ya los productos que hoy están en el mercado.
A través de la CRA Single Reporting Platform de ENISA: el fabricante elige el CSIRT coordinador del Estado miembro de su establecimiento principal en la Unión, y ENISA recibe la notificación al mismo tiempo.
No. Deben notificarse las vulnerabilidades explotadas activamente. Las demás se corrigen dentro de la gestión de vulnerabilidades; el art. 15 prevé notificaciones voluntarias.
Registro, clasificación, SBOM, notificaciones con plazos y página para los usuarios: un expediente de prueba gratis hasta el 20.01.2027.