Cyber Resilience Act, Artículo 14: el Plazo de 24 Horas Ya Ha Empezado y También Alcanza al Software Vendido
Desde el 11 de septiembre de 2026, quien comercializa software en el mercado europeo tiene 24 horas para emitir la alerta temprana de una vulnerabilidad explotada activamente, también en productos ya vendidos. Qué exige el artículo 14 del Cyber Resilience Act y qué debe existir en ingeniería para cumplirlo.
El 11 de septiembre de 2026 empezó a aplicarse la primera obligación del Reglamento de Ciberresiliencia de la Unión Europea, el Cyber Resilience Act. La mayor parte del reglamento solo se aplica a partir de diciembre de 2027. La notificación de vulnerabilidades e incidentes no esperó.
Para una empresa que vende software, el cambio no está en el texto jurídico. Está en el tiempo que tarda el equipo de ingeniería en responder a una pregunta sencilla: qué productos, y qué versiones, contienen la vulnerabilidad que acaba de ser explotada.
Qué cambió el 11 de septiembre
El artículo 14 del Reglamento (UE) 2024/2847 obliga a los fabricantes de productos con elementos digitales a notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de esos productos. La secuencia es fija:
- Alerta temprana en 24 horas, desde que el fabricante tiene conocimiento.
- Notificación en 72 horas, con la información disponible hasta ese momento.
- Informe final, a más tardar 14 días después de que exista una medida correctora, en el caso de vulnerabilidades, o en el plazo de un mes desde la notificación de 72 horas, en el caso de incidentes graves.
Las notificaciones se dirigen al equipo nacional de respuesta a incidentes (CSIRT) del Estado miembro donde el fabricante tiene su establecimiento principal, a través de la plataforma única de notificación gestionada por la ENISA, que recibe la misma información.
Una vulnerabilidad se considera explotada activamente cuando existen pruebas fiables de que un actor malicioso la ha explotado en un sistema sin autorización de su responsable, según el análisis de Freshfields sobre las orientaciones de la Comisión. El plazo empieza cuando el fabricante tiene un grado razonable de certeza de que eso ha ocurrido.
Quién es fabricante y qué queda incluido
La Comisión Europea define fabricante como la persona física o jurídica que desarrolla o fabrica productos con elementos digitales, o que los encarga, y que los comercializa con su propio nombre o marca, ya sea mediante pago, monetización o a título gratuito.
Dos puntos pesan más de lo que parece en una primera lectura.
La notificación cubre productos ya introducidos en el mercado. Las demás obligaciones del reglamento solo alcanzan a productos antiguos si sufren una modificación sustancial a partir de diciembre de 2027. Las obligaciones de notificación, en cambio, se aplican a todos los productos incluidos, también a los vendidos antes de esa fecha. Una versión entregada hace tres años ya está hoy dentro del ámbito.
Hay exclusiones, pero son específicas. Quedan fuera los productos ya cubiertos por otra legislación de la Unión, como ocurre en algunos sectores regulados. La aplicación del reglamento al software disponible únicamente como servicio remoto depende de un encaje que este artículo no aborda, y conviene confirmarla con asesoramiento jurídico antes de darla por hecha.
Por qué el plazo es de ingeniería y no jurídico
La alerta temprana tiene que identificar el producto afectado. Parece trivial. No lo es cuando la misma biblioteca vive en varias versiones de varios productos, instaladas en clientes distintos.
El mismo informe muestra por qué el problema crece con el tiempo en lugar de reducirse.
Leídas junto al artículo 14, las cifras describen una situación concreta. Un producto no deja de envejecer cuando se entrega. Las dependencias se quedan atrás, algunas pierden a quien las mantiene, y el equipo que construyó la versión original ya trabaja en otra cosa. Cuando una vulnerabilidad en una de esas dependencias empieza a ser explotada, el reloj de 24 horas empieza igualmente.
La diferencia entre cumplir y no cumplir rara vez está en saber que el plazo existe. Está en poder, dentro de él, relacionar una vulnerabilidad con todos los productos y versiones que la contienen.
Qué debe existir antes de la primera alerta
Nada de esto se construye en 24 horas. Tiene que estar listo antes.
- Inventario de componentes por producto y por versión. Sin él, identificar el producto afectado es arqueología. Con él, es una consulta.
- Un camino definido entre la alerta y un responsable designado. Quién recibe la señal de explotación, quién la confirma y quién tiene autoridad para declarar que el plazo ha empezado.
- Un criterio escrito para «explotada activamente». La definición legal exige pruebas fiables. El equipo necesita saber, antes del caso real, qué tipo de prueba cuenta.
- Acceso probado a la plataforma única de notificación. Credenciales, responsable y suplente, antes de que haya prisa.
- Comunicación preparada a los usuarios afectados. Goodwin subraya que el fabricante también debe informar sin demora a los usuarios afectados. Un mensaje modelo y una lista de contactos por producto ahorran horas.
- Un periodo de soporte definido por producto. El reglamento pide que el fabricante determine durante cuánto tiempo gestionará las vulnerabilidades de cada producto, con la fecha de finalización indicada con claridad en el momento de la compra.
La relación con NIS2
El Cyber Resilience Act recae sobre productos. NIS2, transpuesta a la legislación de cada Estado miembro, recae sobre entidades y sobre los servicios que prestan. Una empresa de software puede estar sujeta a ambos, con plazos, autoridades y plataformas distintos. Para quien también suministra a entidades esenciales o importantes en Portugal, conviene leer NIS2 en Portugal: qué cambia para los proveedores de entidades esenciales.
Preguntas frecuentes
¿El Cyber Resilience Act ya se aplica por completo? No. Entró en vigor el 10 de diciembre de 2024. Las obligaciones de notificación se aplican desde el 11 de septiembre de 2026 y las demás obligaciones principales, a partir del 11 de diciembre de 2027.
¿La notificación se aplica a productos vendidos antes de 2027? Sí. Las obligaciones de notificación cubren todos los productos incluidos, también los que ya estaban en el mercado, según la Comisión Europea.
¿Cuáles son las multas? Las sanciones se fijan a nivel nacional. Los análisis jurídicos publicados apuntan a un máximo de 15 millones de euros o el 2,5% del volumen de negocio mundial anual, si esta cifra es superior. La Comisión indica que las microempresas y las pequeñas empresas están exentas de multa por incumplir el plazo de 24 horas de la alerta temprana.
¿Qué hay que tener listo primero? El inventario de componentes por producto y versión. Todos los demás elementos, del responsable designado a la comunicación con los usuarios, dependen de saber con rapidez qué está afectado.
Conclusión
El artículo 14 del Cyber Resilience Act ha convertido la gestión de vulnerabilidades en un compromiso con plazo en horas, que alcanza también al software ya vendido. El texto legal es breve. El trabajo que permite cumplirlo es de ingeniería: inventario, responsables, criterios y accesos definidos antes de la primera alerta.
Para analizar cómo estructurar ese inventario y el camino entre la alerta y el responsable, con capacidad sénior que refuerza el equipo interno, es posible reservar una Sesión de Orientación, sin compromiso.