¿Cuándo empiezan las 24 horas? El ancla del conocimiento
Los plazos del art. 14 no corren desde que un responsable abre el correo, ni desde el lunes por la mañana, ni desde la reunión de coordinación. Corren desde el momento en que la empresa tiene conocimiento del hecho. Ese instante es el primer dato que comprueba una autoridad — y es un problema organizativo antes que técnico.
El momento del conocimiento, y por qué una autoridad lo mira primero
El art. 14(1) ancla cada plazo a un solo instante: el momento en que el fabricante tiene conocimiento de una vulnerabilidad explotada activamente o de un incidente grave que afecta a la seguridad del producto. Desde ese instante empiezan a correr las 24 horas de la alerta temprana, y toda la cadena posterior cuelga de él. Es lo que llamamos el momento del conocimiento.
Es lo primero que comprueba una autoridad precisamente porque es una sola fecha y hora, no una interpretación. Para decidir si se cumplió un plazo, el inspector no necesita entrar en el fondo de la vulnerabilidad: basta comparar dos marcas temporales — el instante del conocimiento y el de la presentación. Todo lo demás sale de esa resta.
Un reloj técnico que se gana o se pierde en la organización
Entendida el ancla, el problema se desplaza: del terreno técnico al organizativo. Las 24 horas no se gastan entendiendo el fallo — se gastan en darse cuenta, a tiempo, de que alguien le ha escrito. Para que esa ventana no se cierre sola hacen falta tres cosas: un canal de entrada único y atendido; una regla escrita que diga quién evalúa la notificación y con qué criterios; y una cadena de guardia con umbrales horarios y suplentes con nombre.
A las empresas que hemos visto en apuros no les faltaba competencia: sus ingenieros habrían analizado la vulnerabilidad en una hora. Les faltaba disponibilidad. La notificación llegó por un canal que nadie vigilaba, o alcanzó a una persona de fin de semana sin suplente detrás. El plazo se perdió no en el fondo, sino en el cuadrante de turnos.
Fijar y documentar el instante, para que resista meses después
Saber que el plazo corre desde el conocimiento vale poco si no puede probar cuándo ocurrió. El instante hay que fijarlo cuando sucede, no reconstruirlo después de memoria. En la práctica: una recepción que marca automáticamente la hora de cada notificación entrante, y una entrada de registro a prueba de manipulación — que anota la llegada, la hora, la fuente y quién la tomó en mano, y que nadie puede editar después en silencio.
El sentido de la prueba de manipulación es la defendibilidad. Meses después, ante un inspector, no quiere discutir cuándo lo supo: quiere un registro producido en el momento, cuya fecha no haya podido moverse hacia atrás ni hacia delante para cuadrar el relato. Una recepción con marca temporal y un registro de solo escritura convierten un recuerdo discutible en un hecho.
23:40 de un sábado: recorrer el reloj
Una notificación llega al buzón público a las 23:40 de un sábado: un investigador escribe que una vulnerabilidad de su producto se está explotando en el mundo real. Esa marca — sábado 23:40 — es el instante que tendrá que defender. Las 24 horas no esperan a que reabra la oficina: la alerta temprana vence el domingo a las 23:40.
Recorra el reloj. Si la cadena de guardia funciona, a las 23:45 la notificación está sellada y registrada; a las 00:30 la persona de turno ha confirmado que hay evidencia fiable de explotación; a media mañana del domingo la alerta temprana está presentada, con catorce horas de margen. Si en cambio el mensaje queda sin leer hasta el lunes a las 09:00, el conocimiento sigue fijado en el sábado a las 23:40 — la ley no mueve el ancla — y han pasado treinta y tres horas, nueve de ellas más allá del plazo, antes de que alguien haya leído una línea.
El ancla y el registro son la misma disciplina
El instante del conocimiento es la primera entrada de una cadena de evidencias que recorre toda la vida de una notificación: conocimiento, calificación, alerta temprana, actualización a las 72 horas, informe final. Cada una tiene su plazo, contado desde el ancla o desde el paso anterior, y cada una solo puede defenderse si se registró cuando ocurrió. El registro con marca temporal no es burocracia — es lo que hace demostrable cada plazo posterior.
Las cadenas exactas de plazos — cuál se aplica a una vulnerabilidad explotada y cuál a un incidente grave, y en qué difieren los informes finales — están en nuestro pilar sobre el art. 14. Lea el ancla y las cadenas juntas: la primera dice cuándo empieza la cuenta, las segundas hacia qué cuenta atrás.
Este artículo describe nuestra lectura del texto normativo y no constituye asesoramiento jurídico.
Clase de riesgo