Las preguntas que nos hacen antes de firmar

Las obligaciones de notificación del art. 14 se aplican desde el 11 de septiembre de 2026. Las demás obligaciones del fabricante y los requisitos esenciales del anexo I se aplican desde el 11 de diciembre de 2027. Si ya tiene productos en el mercado, el deber de notificar las vulnerabilidades explotadas se aplica desde la primera fecha, con independencia de cuándo se comercializó el producto.

Dos categorías: las vulnerabilidades explotadas activamente contenidas en el producto y los incidentes graves que afecten a la seguridad del producto. No hay que notificar las vulnerabilidades solo descubiertas o divulgadas sin pruebas de explotación, ni los fallos sin relevancia de seguridad. La diferencia debe documentarse: un «no» motivado vale como diligencia, un «no» silencioso no.

Elementos fiables de que alguien ha explotado la vulnerabilidad en un sistema sin autorización: registros de ejecución no autorizada, un exploit funcional en circulación, la confirmación de un CSIRT o de un cliente con evidencias. La sospecha teórica no basta; la confirmación de un solo caso real sí.

Sí. Tras notificar a las autoridades, el fabricante informa a los usuarios del producto afectado sin demora indebida y, cuando proceda, indica las medidas correctoras o de mitigación que pueden adoptar. El aviso debe conservarse: es la prueba de que el mercado fue informado.

Hay que notificarla al mantenedor del componente, además de las obligaciones hacia las autoridades si se cumple el presupuesto de explotación. En la aplicación la tarea aparece automáticamente cuando la SBOM del producto contiene componentes de terceros, con el contacto del mantenedor ya disponible.

No, y es deliberado. La presentación en la Single Reporting Platform de ENISA es un acto del fabricante, con sus propias credenciales EU Login y su propia firma. La aplicación prepara el texto final, lo bloquea con marca temporal, le guía campo a campo por el formulario y guarda el acuse que usted sube. Ningún intermediario se interpone entre usted y la autoridad.

Media jornada. Registra los productos, también importándolos de CSV; designa los contactos con niveles de escalado y umbrales de aviso; publica el formulario público de notificación; crea las credenciales EU Login. El modo de simulacro permite probar todo el flujo sin producir actos con valor legal.

El plazo corre desde el momento del conocimiento, que en el triaje se registra con fecha y hora exactas. Desde ese momento el caso muestra el tiempo restante, la barra del tiempo transcurrido y los recordatorios a −12, −8, −4 y −1 hora, enviados al contacto del nivel correspondiente por Slack, Teams o correo.

Un único PDF ordenado: ficha del caso y del producto, la notificación tal como se recibió con los adjuntos, el recorrido de triaje con la base normativa aplicada, la comunicación redactada y presentada, acuses y confirmaciones, obligaciones conexas (arts. 14(8) y 13(6)) y la cronología completa con los identificadores de verificación de integridad de cada entrada.

Sí. Cada sociedad tiene registro, productos y usuarios separados; el mismo usuario cambia entre ellas desde el selector y cada cambio se registra. Cada sociedad cuenta sus propios Productos gestionados, y la separación puede hacerse contractual además de técnica con un acuerdo enterprise.

La calificación sigue siendo suya, pero no queda implícita. Cada paso registra la respuesta, el artículo aplicado, el autor y la hora: si decide que la obligación no surge, el razonamiento queda escrito y es defendible. Es lo contrario del silencio, que no puede explicarse ante una inspección.

No. Las integraciones SBOM y las API son opcionales. Quien ya usa Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend o el grafo de dependencias de GitHub los conecta y ve aparecer los componentes de terceros en los casos; quien no, trabaja con el registro de productos rellenado a mano o por CSV.

Sí, con un iframe para pegar: campos configurables (producto y versión, adjuntos, clave PGP, notificación anónima), texto introductorio editable, un alias de correo dedicado y apariencia white-label. Cada envío abre un caso con marca temporal y devuelve un número de seguimiento al notificante.

Sí: endpoints para casos, triaje, notificaciones y registro, más webhooks firmados con HMAC-SHA256 para los eventos (caso creado, triaje completado, plazo próximo, notificación presentada). Cada clave tiene permisos seleccionables y puede rotarse con 24 horas de solapamiento.

Roles (administrador, evaluador, solo facturación, solo lectura), solicitudes de acceso con aprobación del administrador, verificación en dos pasos con códigos de recuperación, gestión de sesiones activas y un registro de cada cambio de permisos.

En la Unión Europea. El registro de actividad se conserva cinco años, en línea con la necesidad de demostrar la diligencia debida. El tratamiento se rige por un acuerdo conforme al art. 28 del RGPD, con lista pública de subencargados.

Sí. Cada entrada lleva un identificador calculado a partir de su marca temporal, su contenido y sus referencias: cambiar un solo carácter produce un identificador distinto, de modo que cualquier alteración es evidente al comparar. El registro se exporta a CSV y se reproduce íntegro en el expediente de pruebas.

Solo para proponer el borrador descriptivo del suceso a partir de la notificación recibida, y el texto debe validarlo siempre una persona. La calificación, el cálculo de plazos y la presentación no se confían a modelos generativos. Los detalles están en la página sobre el uso de la IA.

Los incumplimientos de las obligaciones de los artículos 13 y 14 del Cyber Resilience Act pueden acarrear multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial total, según el incumplimiento, el sujeto y las circunstancias previstas en el reglamento. A ello se suman las medidas de retirada del mercado y el daño comercial ante los clientes que exigen conformidad en las licitaciones.

Suscripción mensual o anual con dos meses incluidos, pago con tarjeta vía Stripe; bajo petición, transferencia, factura a 30 días, adeudo SEPA o pedidos por resolución administrativa. Sin compromiso plurianual: la cancelación surte efecto al final del período pagado y usted exporta el registro y los expedientes.

Sí, con un uso distinto: rastrean las notificaciones recibidas, las reenvían al fabricante y documentan que lo han hecho. El precio sigue los Productos gestionados que declara, así que un catálogo pequeño cuesta poco; si vende productos de terceros con su propia marca, se aplican las obligaciones del fabricante.

Realizamos simulacros guiados sobre su proceso y acompañamos al equipo en las primeras notificaciones reales. No somos un despacho de abogados ni damos asesoramiento jurídico: en la calificación de los casos límite trabajamos con su asesor.