# La Ley de Ciberresiliencia de la UE impone notificación de fallos en 24 horas Source: TechNewsList (https://technewslist.com) Canonical URL: https://technewslist.com/es/article/la-ley-de-ciberresiliencia-de-la-ue-impone-notificacion-de-fallos-en-24-horas-es Section: Software (https://technewslist.com/es/software) Author: TechNewsList Language: es Published: 2026-09-11T06:12:26.715+00:00 Updated: 2026-09-11T06:12:26.881947+00:00 > La plataforma de la ENISA centraliza alertas sobre vulnerabilidades explotadas activamente. ## TL;DR - La Ley de Ciberresiliencia (CRA) de la Unión Europea entra en una fase regulatoria decisiva. - Los fabricantes de software y hardware deben reportar vulnerabilidades explotadas en un plazo de 24 horas. - La agencia ENISA y los CSIRT nacionales coordinarán alertas a través de la plataforma centralizada SRP. ## Key points - La obligación abarca todos los dispositivos y productos con elementos digitales comercializados en la UE. - Las empresas que omitan notificar incidentes graves se enfrentan a sanciones de hasta 15 millones de euros. - La plataforma única SRP (Single Reporting Platform) canaliza alertas simultáneamente a la ENISA y a los equipos nacionales. - Los desarrolladores de código abierto cuentan con cláusulas de exención si no perciben beneficios comerciales directos. - El marco legal redefine la gestión de parches y la cadena de suministro de software a nivel mundial. # La Ley de Ciberresiliencia de la UE impone notificación de fallos en 24 horas El panorama normativo de la seguridad digital en el continente europeo ha experimentado un cambio de época. La Comisión Europea y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) han puesto en marcha de manera oficial la Plataforma Única de Notificación (Single Reporting Platform, SRP), activando la cláusula más exigente de la Ley de Ciberresiliencia (Cyber Resilience Act, CRA). A partir de este momento, todos los fabricantes de productos con elementos digitales comercializados en el mercado único deben notificar cualquier vulnerabilidad explotada activamente en un plazo improrrogable de 24 horas. ![Enterprise cybersecurity operations monitoring real-time digital infrastructure vulnerabilities](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789104512716-0m4gir-eu-cyber-resilience-act-mandatory-vulnerability-reporting-srp-2026-09-11-morning-inside-1-5b51a78f37.webp) ## Qué pasó El despliegue de la plataforma SRP materializa las disposiciones de alerta temprana contempladas en el reglamento europeo. Cualquier entidad corporativa que venda software, dispositivos conectados, sistemas embebidos o componentes de hardware en territorio de la Unión Europea está obligada legalmente a remitir una notificación inicial dentro de las 24 horas posteriores a tener conocimiento de una vulnerabilidad explotada activamente o un incidente de seguridad grave. La notificación se realiza a través de un canal criptográfico unificado que distribuye de forma simultánea la información sensible al Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT) nacional designado y a la ENISA, permitiendo una evaluación rápida del impacto transfronterizo. ## Por qué importa Hasta la promulgación de este reglamento, las políticas de divulgación de fallos de seguridad quedaban en gran medida al arbitrio voluntario de los proveedores de software o se gestionaban de manera fragmentada entre distintas normativas sectoriales. Esta dispersión permitía que actores de amenazas estatales y grupos de ciberdelincuentes explotasen vulnerabilidades de día cero durante meses sin que las autoridades comunitarias tuvieran visibilidad del problema. La CRA transforma radicalmente esta dinámica al imponer una disciplina de transparencia estricta respaldada por un régimen sancionador severo. Las multas por incumplimiento o notificación tardía pueden alcanzar los 15 millones de euros o el 2,5% del volumen de negocios mundial total de la empresa infractora, lo que obliga a los comités de dirección a situar la ciberseguridad en el centro de sus prioridades operativas. ## Detalles técnicos La arquitectura de la plataforma SRP ha sido diseñada por la ENISA con los más estrictos estándares de confidencialidad y resiliencia informática. Emplea cifrado de extremo a extremo basado en algoritmos poscuánticos para salvaguardar la información sobre vulnerabilidades críticas que aún no disponen de parche público de mitigación. ![Digital product compliance and software supply chain assurance certification review](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789104514643-e1hs63-eu-cyber-resilience-act-mandatory-vulnerability-reporting-srp-2026-09-11-morning-inside-2-2874fb08c5.webp) El protocolo de reporte exige una primera alerta concisa a las 24 horas que detalle los indicadores de compromiso básicos, seguida de un informe exhaustivo de evaluación a las 72 horas que incluya el análisis forense, las versiones de software afectadas y las recomendaciones preliminares de contención. Transcurridos 14 días o tan pronto como esté disponible una corrección, el fabricante debe presentar el informe final de remediación. ## Impacto en el mercado / la industria El impacto de esta regulación trasciende ampliamente las fronteras de la Unión Europea y genera el denominado 'efecto Bruselas' en la industria tecnológica global. Gigantes tecnológicos estadounidenses y asiáticos que comercializan sus soluciones en Europa se ven forzados a rediseñar sus canalizaciones de integración continua (CI/CD) y sus protocolos de auditoría de dependencias para cumplir con las ventanas temporales exigidas. Asimismo, los proveedores de software empresarial deben implementar listas exhaustivas de materiales de software (SBOM) legibles por máquina, permitiendo identificar al instante si un componente de código abierto vulnerable forma parte de sus productos finales. ## Qué observar ahora Las autoridades supervisoras de los 27 Estados miembros comenzarán las auditorías de conformidad y la verificación de los canales de comunicación durante los próximos meses. Las asociaciones industriales seguirán de cerca cómo gestiona la ENISA la confidencialidad de los datos sensibles para prevenir que la plataforma centralizada se convierta en un objetivo de ciberespionaje prioritario. ## Fuentes - Diario Oficial de la Unión Europea, Reglamento de Ciberresiliencia (CRA). - Portal de comunicación técnica de la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Mentions: Unión Europea, ENISA, CRA, Ciberseguridad, CSIRT ## Sources - [ENISA Official Portal](https://www.enisa.europa.eu/topics/cybersecurity-act/cra-reporting-platform) - [Infosecurity Magazine](https://www.infosecurity-magazine.com/news/eu-cra-reporting-deadline-enforcement/) - [BSI Group Compliance Briefing](https://www.bsigroup.com/en-GB/blog/digital-trust-blog/navigating-the-eu-cyber-resilience-act/)