Los fabricantes comerciales de carteras de hardware conectadas y de aplicaciones de cartera que entren en el ámbito de la normativa europea deberán avisar a las autoridades de ciberseguridad en un máximo de 24 horas cuando detecten una vulnerabilidad explotada activamente o un incidente grave de seguridad. La obligación empezó a aplicarse el 11 de septiembre de 2026 en virtud de la Ley de Ciberresiliencia de la Unión Europea (CRA).
El plazo figura en las directrices de la Comisión Europea para la notificación de incidentes y vulnerabilidades. La norma es horizontal y se aplica a productos con elementos digitales que se comercialicen en la Unión Europea, tanto hardware como software. Para quedar cubierto, el uso previsto o razonablemente previsible del producto debe incluir una conexión directa o indirecta de datos con otro dispositivo o con una red.
Ese criterio puede alcanzar a una cartera física conectada que se venda comercialmente o a una aplicación de cartera descargable. No obstante, la Comisión no identifica marcas concretas ni declara que todos los servicios, proyectos o productos de este sector estén sujetos a la norma. La cobertura depende de las características de cada producto, de cómo se comercialice y de las posibles exclusiones aplicables.
Qué deben comunicar los fabricantes
El primer aviso debe enviarse sin demora indebida y, en todo caso, dentro de las 24 horas siguientes a que el fabricante tenga conocimiento de la vulnerabilidad o del incidente. Cuando proceda, la comunicación debe indicar en qué Estados miembros se sabe que el producto ha estado disponible. Si se trata de un incidente grave, también debe precisar si se sospecha que ha sido causado por actos ilícitos o maliciosos.
La notificación inicial no agota las obligaciones. En un plazo de 72 horas debe remitirse una comunicación más completa, salvo que toda la información relevante ya se hubiera facilitado. En el caso de una vulnerabilidad explotada activamente, ese segundo aviso debe incluir datos generales sobre el producto, la vulnerabilidad y el modo en que se ha explotado, además de las medidas correctivas o de mitigación disponibles.
Para los incidentes graves, la información adicional debe describir la naturaleza del suceso, ofrecer una primera evaluación e incorporar las medidas de mitigación conocidas. El informe final depende del tipo de evento: para una vulnerabilidad, debe presentarse como máximo 14 días después de que esté disponible una medida correctiva o de mitigación. En los incidentes graves, el plazo final es de un mes desde la notificación de 72 horas.
Un régimen que también afecta a productos ya existentes
Los fabricantes realizarán el trámite una sola vez a través de la Plataforma Única de Notificación puesta en marcha por ENISA, la agencia de ciberseguridad de la Unión Europea. El sistema remite el aviso al equipo de respuesta a incidentes de seguridad informática designado por cada Estado y permite que ENISA y otros equipos nacionales competentes accedan a la información.
Además, las empresas deberán informar a los usuarios afectados y, cuando sea necesario, al conjunto de sus usuarios. Esa comunicación tendrá que incluir las actuaciones que deben adoptar para protegerse o mitigar el problema.
La obligación alcanza a los productos incluidos en el ámbito de la norma que se hubieran puesto en el mercado antes del 11 de diciembre de 2027. Por tanto, el plazo de 24 horas no se limita a las nuevas carteras que se comercialicen después de esa fecha, sino que también puede afectar a líneas de producto ya existentes.
La licencia de código abierto tampoco supone una exención general. La Comisión contempla obligaciones para productos gratuitos y de código abierto suministrados con carácter comercial. En cambio, el software que su fabricante distribuya sin monetización no debería considerarse actividad comercial, y los colaboradores individuales no tienen la consideración de fabricantes respecto del software que queda fuera de su responsabilidad. Los responsables de proyectos de código abierto constituyen una categoría jurídica diferenciada y sus obligaciones de notificación comenzarán el 11 de diciembre de 2027.
La modificación de septiembre activa el régimen de avisos rápidos, pero no el conjunto de requisitos de seguridad desde el diseño y durante todo el ciclo de vida del producto, cuya aplicación principal también está prevista para diciembre de 2027.
