{"product_id":"cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","title":"CRA Open Source Steward 2027 – política de ciberseguridad, procedimientos de vulnerabilidad y certificación gubernamental | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" style=\"color:#183A55;line-height:1.7\"\u003e\n\u003cp\u003e\u003cstrong\u003e¿Su fundación, asociación u organización impulsa el desarrollo y la gestión a largo plazo de proyectos de código abierto utilizados con fines comerciales?\u003c\/strong\u003e En ese caso, su función puede ser la de \u003cstrong\u003eopen-source software steward\u003c\/strong\u003e según la \u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eLey de Ciberresiliencia de la UE – Reglamento (UE) 2024\/2847\u003c\/a\u003e. El artículo 24 exige, entre otros requisitos, una \u003cstrong\u003epolítica de ciberseguridad verificablemente documentada\u003c\/strong\u003e que favorezca el desarrollo seguro, la documentación y la corrección de vulnerabilidades, así como la notificación voluntaria y el intercambio coordinado de información con la comunidad de código abierto.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eDiferencia importante con respecto a las plantillas CRA habituales:\u003c\/strong\u003e Un steward es una \u003cstrong\u003epersona jurídica distinta del fabricante\u003c\/strong\u003e que apoya de forma sistemática y duradera el desarrollo y desempeña un papel fundamental en la continuidad de determinados productos de código abierto destinados a actividades comerciales. Ser mantenedor, escribir código en el tiempo libre o dirigir una asociación no implica automáticamente estar sujeto a esta normativa. Una organización puede ser \u003cstrong\u003esteward de un proyecto y fabricante de otro\u003c\/strong\u003e. Se debe comprobar esta función para cada producto\/versión.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eFechas:\u003c\/strong\u003e La obligación de los fabricantes de presentar informes conforme al artículo 14 entró en vigor el \u003cstrong\u003e11 de septiembre de 2026\u003c\/strong\u003e. Las obligaciones específicas y condicionadas de notificación de los stewards conforme al \u003cstrong\u003eartículo 24.3 comienzan el 11 de diciembre de 2027\u003c\/strong\u003e. ENISA ha verificado esta distinción. Por lo tanto, este paquete está diseñado específicamente para una preparación adecuada, no para afirmar que todos los stewards deben notificar incidentes ya en 2026.\u003c\/p\u003e\n\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e01 · Contenido del paquete\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eCinco plantillas operativas de trabajo en sueco con tareas y referencias de pruebas propias, una guía de usuario en sueco y una guía de usuario separada en inglés. Los siete archivos están disponibles en Word (DOCX) editable y PDF con función de búsqueda. Además, se incluye un registro en Excel en sueco con nueve pestañas. \u003cstrong\u003eTotal: 7 DOCX + 7 PDF + 1 XLSX = 15 archivos para clientes\u003c\/strong\u003e en un archivo ZIP sin macros.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e02 · Contenido de los archivos\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eEvaluación de la función (steward o fabricante), adopción de una política de seguridad verificable, recepción de vulnerabilidades y rutinas de parcheo, delimitación precisa del artículo 24.3, respuesta a solicitudes justificadas de las autoridades y una cadena de pruebas y medidas trazable. \u003cstrong\u003eEl archivo de Excel contabiliza partidas administrativas: no incluye certificados CE, aprobaciones de SBOM ni notificaciones automáticas a las autoridades.\u003c\/strong\u003e\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003e¿Qué actividades se benefician realmente del producto?\u003c\/h2\u003e\n\n\u003cp\u003eEl público objetivo son \u003cstrong\u003efundaciones de código abierto, asociaciones sectoriales, personas jurídicas sin ánimo de lucro o comerciales\u003c\/strong\u003e que gestionan infraestructuras de repositorios\/desarrollo, proporcionan asistencia organizativa o técnica a largo plazo y garantizan la continuidad de un producto FOSS relevante. Un ejemplo es una fundación que gestiona varias bibliotecas y mantiene un proceso documentado de seguridad y divulgación.\u003c\/p\u003e\n\n\u003cp\u003e**El producto difiere de nuestras plantillas existentes:** \u003ca href=\"\/es\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003eCRA Compliance para fabricantes, evaluación de riesgos y SBOM\u003c\/a\u003e se centra en las obligaciones generales de los productos, y \u003ca href=\"\/es\/products\/cra-psirt-sarbarhetsrapportering-artikel14\"\u003eCRA PSIRT – 24\/72h y notificación de vulnerabilidades\u003c\/a\u003e apoya la gestión real de incidentes del fabricante. Este producto está especialmente destinado a la \u003cstrong\u003epolítica del artículo 24 del steward, su función de gobernanza y sus limitadas obligaciones de notificación y respuesta ante las autoridades\u003c\/strong\u003e.\u003c\/p\u003e\n\n\u003ch2\u003e¿Qué exige el artículo 24.1 a un steward de software de código abierto?\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eEl artículo 24.1\u003c\/a\u003e exige una \u003cstrong\u003epolítica de ciberseguridad\u003c\/strong\u003e documentada y \u003cstrong\u003everificable\u003c\/strong\u003e que fomente un desarrollo seguro y que los desarrolladores gestionen eficazmente las vulnerabilidades. La política debe cubrir especialmente la detección, documentación, evaluación, gestión y corrección, así como fomentar la notificación voluntaria conforme al artículo 15 y el intercambio de información dentro de la comunidad de código abierto. Debe adaptarse a la estructura jurídica y organizativa real de la organización. No basta con escribir «cumplimos la CRA»: se deben indicar responsabilidades, un contacto de seguridad, el proceso, el número de versión y pruebas reales.\u003c\/p\u003e\n\n\u003ch2\u003e¿Qué ocurre ante una solicitud de las autoridades?\u003c\/h2\u003e\n\n\u003cp\u003eConforme al artículo 24.2, un steward debe colaborar con las autoridades de control del mercado para reducir los riesgos de seguridad. Ante una \u003cstrong\u003esolicitud justificada\u003c\/strong\u003e, el steward debe poder entregar la política documentada del punto 1 en papel o electrónicamente, en un idioma que la autoridad pueda comprender fácilmente. El paquete incluye material para verificar al remitente, recopilar los documentos adecuados, proteger los datos sensibles y conservar un acuse de recibo real de la respuesta.\u003c\/p\u003e\n\n\u003ch2\u003eNotificación conforme al artículo 24.3 – dos situaciones distintas\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eVulnerabilidad activamente explotada:\u003c\/strong\u003e La referencia al artículo 14.1 se aplica a un steward en la medida en que la organización participe realmente en el desarrollo del producto digital afectado. \u003cstrong\u003eIncidente grave:\u003c\/strong\u003e Las referencias a los artículos 14.3 y 14.8 se aplican en la situación delimitada en la que el incidente afecte a los sistemas de red e información que el propio steward proporciona para el desarrollo de los productos. Por lo tanto, no todos los errores, ataques contra terceros o interrupciones internas de TI implican automáticamente la obligación de notificación conforme al artículo 24.3.\u003c\/p\u003e\n\n\u003cp\u003eEl responsable debe documentar el momento en que tuvo conocimiento, su función exacta, el incidente, la evaluación jurídica y el canal de notificación real. La \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003ePlataforma Única de Notificación (SRP) de ENISA\u003c\/a\u003e es la vía oficial para las notificaciones aplicables. Las plantillas no pueden enviar ningún mensaje en nombre del cliente ni generar acuses de recibo reales de la SRP. Planifique para cumplir los plazos vigentes y verifique la aplicación jurídica actual con ENISA antes de realizar la notificación.\u003c\/p\u003e\n\n\u003ch2\u003e¿Qué requisitos no se aplican automáticamente a un steward?\u003c\/h2\u003e\n\n\u003cp\u003eLa categoría de steward constituye un marco normativo independiente y proporcionado. La organización \u003cstrong\u003eno debe, únicamente por ser steward\u003c\/strong\u003e, emitir la declaración CE del fabricante, crear un SBOM del fabricante ni cumplir todas las obligaciones técnicas del producto del anexo I de la CRA. La \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eguía de la Comisión Europea\u003c\/a\u003e distingue expresamente las obligaciones del steward de las del fabricante. Sin embargo, desempeñar una función de fabricante separada en otro proyecto sí cambia la situación.\u003c\/p\u003e\n\n\u003ch2\u003eÍndice completo de archivos\u003c\/h2\u003e\n\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:640px;border-collapse:collapse\"\u003e\n\n\u003cthead\u003e\u003ctr style=\"background:#DDEEF5\"\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eArchivo\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003ePropósito\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eFormato\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e01. Evaluación de la función – steward\/fabricante\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDocumentar la persona jurídica, el apoyo real al proyecto FOSS, la posición en el mercado, el lanzamiento y la decisión sobre la función.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e02. Política de ciberseguridad verificable\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eArt. 24.1: desarrollo seguro, contacto de seguridad, responsabilidades, parcheo, notificación voluntaria e intercambio con la comunidad.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e03. Recepción de vulnerabilidades y divulgación coordinada\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eRecepción, ID del caso, triaje, canal de comunicación seguro, parche\/lanzamiento y pruebas de corrección.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e04. Art. 24.3 – evaluación de la notificación\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDistinguir las explotaciones activas en las que el steward participa del desarrollo de incidentes graves en su infraestructura de desarrollo.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e05. Solicitud de las autoridades y pruebas\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eAutenticidad de la solicitud, la política verificable, referencias de pruebas reales y respuesta documentada a las autoridades.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e06. Guía de usuario en sueco\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSiete pasos prácticos con fechas y límites jurídicos.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e07. Guía de usuario en inglés\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eGuía de instrucciones en inglés de las plantillas de trabajo en sueco; no cinco traducciones en inglés de las plantillas.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e08. Registro en Excel\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eNueve pestañas y ocho KPI administrativos basados en fórmulas.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eXLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\n\u003ch2\u003eExcel con nueve pestañas y ocho medidas administrativas probadas\u003c\/h2\u003e\n\n\u003cp\u003eLas pestañas se denominan \u003cstrong\u003eVisión general, Proyecto y funciones, Políticas, Vulnerabilidades, Incidentes, Notificación, Asuntos con las autoridades, Medidas y Fuentes y guía\u003c\/strong\u003e. La visión general contabiliza proyectos registrados, evaluaciones de función poco claras, políticas ausentes, vulnerabilidades abiertas, incidentes que requieren investigación, asuntos de notificación poco claros, asuntos con las autoridades sin respuesta y medidas abiertas.\u003c\/p\u003e\n\n\u003cp\u003eLos ocho valores están \u003cstrong\u003een 0 en el archivo original\u003c\/strong\u003e. Partidas de prueba sintéticas separadas dieron el esperado \u003cstrong\u003e1\u003c\/strong\u003e para las ocho medidas. Las tareas de prueba no están incluidas en la versión para clientes. No se realiza ninguna clasificación jurídica, verificación externa, notificación ni aprobación de las autoridades de forma automática.\u003c\/p\u003e\n\n\u003ch2\u003eCómo utilizar los documentos\u003c\/h2\u003e\n\n\u003col\u003e\n\n\u003cli\u003eInventarie cada proyecto FOSS, editor, organización de apoyo, contexto de licencia y de actividad comercial.\u003c\/li\u003e\n\n\u003cli\u003eCompruebe si cada relación real es \u003cstrong\u003esteward, fabricante o no está cubierta\u003c\/strong\u003e. Guarde la base y la fuente.\u003c\/li\u003e\n\n\u003cli\u003eAdapte, adopte y versione la política de ciberseguridad con un canal de seguridad concreto y pruebas de código\/lanzamiento.\u003c\/li\u003e\n\n\u003cli\u003eImplemente la recepción privada de vulnerabilidades, el triaje, el parcheo, las pruebas de regresión y la divulgación segura a la comunidad.\u003c\/li\u003e\n\n\u003cli\u003ePrepare la evaluación de notificación para el \u003cstrong\u003e11 de diciembre de 2027\u003c\/strong\u003e. Distinga la explotación activa de los incidentes graves en la infraestructura de desarrollo del steward.\u003c\/li\u003e\n\n\u003cli\u003eCree un proceso para solicitudes justificadas de las autoridades y recopile pruebas verificables y protegidas de datos.\u003c\/li\u003e\n\n\u003cli\u003eActualice el Excel, haga un seguimiento de las medidas y deje que la persona adecuada dé la aprobación manual de cada asunto.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\n\u003ch2\u003ePreguntas frecuentes sobre la CRA y los stewards de código abierto\u003c\/h2\u003e\n\n\u003ch3\u003e¿Una asociación sin ánimo de lucro está automáticamente exenta de la CRA?\u003c\/h3\u003e\n\n\u003cp\u003eNo. La función jurídica y la actividad lo determinan. Una persona jurídica que apoya sistemáticamente proyectos OSS relevantes puede ser un steward incluso sin ánimo de lucro propio, pero se requiere una evaluación individual por proyecto.\u003c\/p\u003e\n\n\u003ch3\u003e¿Se aplican los mismos requisitos CE a los stewards y a los fabricantes de productos?\u003c\/h3\u003e\n\n\u003cp\u003eNo. El artículo 24 comprende obligaciones separadas. Un steward no debe cumplir automáticamente todas las obligaciones CE, SBOM y de producto del fabricante. Si la organización también es fabricante de otro producto, pueden aplicarse otros requisitos allí.\u003c\/p\u003e\n\n\u003ch3\u003e¿Cuándo comienza la obligación del steward de notificar a ENISA?\u003c\/h3\u003e\n\n\u003cp\u003eEl artículo 24.3 comienza a aplicarse el \u003cstrong\u003e11 de diciembre de 2027\u003c\/strong\u003e. Las obligaciones de los fabricantes conforme al artículo 14 entraron en vigor ya el \u003cstrong\u003e11 de septiembre de 2026\u003c\/strong\u003e. No debe confundirse el grupo de las dos fechas.\u003c\/p\u003e\n\n\u003ch3\u003e¿Deben enviarse todos los errores de seguridad a ENISA?\u003c\/h3\u003e\n\n\u003cp\u003eNo. Se requiere una evaluación jurídica de, entre otros factores, la explotación activa real, la participación del steward o un incidente grave especial en la infraestructura de desarrollo del steward.\u003c\/p\u003e\n\n\u003ch3\u003e¿Basta con una política de seguridad genérica?\u003c\/h3\u003e\n\n\u003cp\u003eNo, si no documenta los procesos reales de seguridad y vulnerabilidades que exige el artículo 24.1, y no puede demostrarse mediante responsabilidades reales, versiones y pruebas de trabajo. La plantilla debe adaptarse a la organización.\u003c\/p\u003e\n\n\u003ch3\u003e¿El paquete genera una notificación real a ENISA?\u003c\/h3\u003e\n\n\u003cp\u003eNo. El documento 04 proporciona preparación jurídica y técnica interna. La notificación real debe realizarla una persona autorizada a través del canal oficial adecuado, y solo se introducen acuses de recibo reales.\u003c\/p\u003e\n\n\u003ch3\u003e¿Qué ocurre si las autoridades exigen nuestra política?\u003c\/h3\u003e\n\n\u003cp\u003eVerifique la identidad de la autoridad y qué solicitud jurídica se ha realizado. Utilice el documento 05 para recopilar la política adoptada, la cadena de pruebas real, la decisión de respuesta y el acuse de recibo conforme al artículo 24.2.\u003c\/p\u003e\n\n\u003ch3\u003e¿Están las cinco plantillas de trabajo disponibles en inglés?\u003c\/h3\u003e\n\n\u003cp\u003eNo. Las cinco plantillas de trabajo y el Excel están en sueco. Se incluye una guía de usuario en sueco y una \u003cstrong\u003eGuía de usuario en inglés\u003c\/strong\u003e separada, no una traducción completa de todos los documentos de trabajo.\u003c\/p\u003e\n\n\u003ch2\u003eFuentes jurídicas, transparencia y control jurídico\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eReglamento (UE) 2024\/2847 – texto original, artículos 3.14\/24\/71\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eComisión Europea: CRA y código abierto\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\"\u003eComisión Europea: notificación CRA\u003c\/a\u003e · \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA SRP – fechas y notificación\u003c\/a\u003e · \u003ca href=\"https:\/\/policy.openssf.org\/CRA\/stewards-playbook.html\"\u003eLinux Foundation\/OpenSSF – trabajo práctico del steward (no vinculante)\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eVersión 1.0, control de fuentes jurídicas asistido por IA el 11 de noviembre de 2026.\u003c\/strong\u003e No se ha realizado ninguna revisión jurídica externa, clasificación real de una organización, prueba de penetración, auditoría cibernética, certificado CE ni notificación real a las autoridades. Revise las fuentes ante futuras guías y cambios jurídicos. Entrega en ZIP solo cuando la versión preliminar se publique eventualmente y los archivos de Shopify Digital Products se vinculen por separado.\u003c\/p\u003e\n\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56581000626518,"sku":"CRA-OSS-STEWARD-2027-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/01_CRA_OSS_Steward_Huvudbild_1600.png?v=1794396447","url":"https:\/\/mallbutiken.se\/es\/products\/cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","provider":"Mallbutiken","version":"1.0","type":"link"}