CRA PSIRT – Recepción de vulnerabilidades, notificación en 24/72 h y cadena de custodia | Word/PDF/Excel

Reciba, evalúe y documente una vulnerabilidad de seguridad o un incidente concreto en un producto digital: desde el primer informe hasta la notificación real a la CRA y la comunicación a los clientes. Este paquete especializado para fabricantes de productos con elementos digitales se centra en el artículo 14 de la CRA y la Plataforma Única de Notificación (SRP) de ENISA. No sustituye a una evaluación de riesgos general de la CRA, a un SBOM ni a una notificación real a las autoridades.

Datos rápidos: 5 documentos de trabajo en sueco, 1 guía de usuario en sueco y 1 guía de usuario en inglés, todos en Word (DOCX) editable y en PDF imprimible y con función de búsqueda (no formularios interactivos), además de 1 libro de trabajo de Excel en sueco con 9 pestañas. Un total de 15 archivos para clientes: siete documentos independientes en dos formatos más un XLSX. Entrega digital en ZIP tras la activación futura.

¿Quién debe elegir la plantilla y cuándo?

Para desarrolladores de productos y fabricantes que comercializan software, equipos conectados u otros productos con elementos digitales en el mercado de la UE y deben gestionar indicios de explotación activa o un incidente de seguridad grave. Dos casos: un informante aporta pruebas de ataques contra una versión específica de firmware o un fabricante tiene conocimiento de un incidente que afecta gravemente a la seguridad del producto. Si es un distribuidor habitual, un proveedor de servicios de TI o gestiona únicamente incidentes internos de TI, es posible que otros documentos y otras normativas sean más adecuados. Primero debe comprobarse la condición jurídica de fabricante y la aplicabilidad de la CRA.

Archivo por archivo

El archivo de Excel en la práctica

El libro de trabajo incluye registros filtrables, campos de estado, vínculos de ID y un resumen basado en fórmulas. Cuando se introduce un valor real de hora UTC que indique el momento en que el fabricante tuvo conocimiento de un evento sujeto a notificación, muestra las fechas indicativas de 24 h y 72 h. Estas son límites técnicos absolutos, no un plazo de espera: notifique sin demora innecesaria. La fecha del informe final se introduce manualmente porque el activador difiere: cuando una medida está disponible (AEV) o cuando realmente se ha presentado la notificación de 72 h (SI). El registro distingue entre borrador, evaluación, notificación enviada y comprobante real.

Procedimiento paso a paso

1. Identifique al fabricante legal, el producto, la versión y el rol PSIRT/SRP autorizado.
2. Registre las fuentes y pruebas sin almacenar secretos ni código de explotación en archivos de oficina no seguros.
3. Evalúe por separado AEV e SI según el artículo 14 de la CRA y documente el momento de detección.
4. Si existe la obligación: prepare la documentación y notifique sin demora innecesaria a través de la SRP oficial de ENISA.
5. Guarde los ID y las marcas de tiempo reales de presentación de 24 h, 72 h y del informe final aplicable.
6. Documente la medida correctiva, los usuarios afectados, la comunicación y la verificación posterior.

Límites legales y responsabilidades

El artículo 14 de la CRA (UE) 2024/2847 comenzó a aplicarse a los fabricantes el 11 de septiembre de 2026. La obligación de notificar una vulnerabilidad explotada activamente requiere pruebas pertinentes de explotación real; un número CVE o una puntuación de riesgo elevada no bastan automáticamente. Los incidentes graves deben evaluarse según el artículo 14.5. La alerta temprana debe presentarse en un plazo de 24 h y la notificación en un plazo de 72 h desde la detección pertinente, sin demora innecesaria en ambos casos. Para AEV, el informe final debe presentarse como tarde como 14 días después de que la medida correctiva o limitativa esté disponible. Para SI, el informe final debe presentarse en el plazo de un mes desde la notificación real de 72 h. El artículo 14.8 trata la información a los usuarios afectados.

Debe comprobarse directamente la sección de preguntas frecuentes de la SRP y el glosario de campos de ENISA en el momento de realizar una notificación real, ya que los campos y las funciones de la plataforma se actualizan. El estado de un archivo Word o Excel nunca se considera una notificación presentada. Por lo general, los demás requisitos principales de la CRA entrarán en vigor el 11 de diciembre de 2027, y el artículo 24.3 para los responsables de software de código abierto tendrá una fecha de inicio diferente. Si es necesario, se requerirá una evaluación específica conforme, por ejemplo, a NIS2, el RGPD y DORA.

Diferencias con nuestros otros documentos

Nuestro paquete más amplio de cumplimiento de la CRA incluye la evaluación de riesgos, el SBOM, los requisitos de seguridad y la notificación general según la CRA. Este nuevo paquete es, en cambio, una cadena de trabajo especializada para un informe o incidente recibido realmente, los comprobantes de la SRP, las pruebas y la información a los clientes.

Preguntas frecuentes

¿Se debe notificar cada vulnerabilidad de seguridad?

No. El artículo 14 establece umbrales específicos para vulnerabilidades explotadas activamente e incidentes graves. Otras vulnerabilidades pueden requerir un manejo interno, pero no son automáticamente notificaciones obligatorias a la SRP.

¿La plantilla envía la notificación a ENISA?

No. La documentación prepara y registra el trabajo; un representante autorizado debe enviar la notificación a través de la plataforma real de la SRP.

¿Los archivos PDF son editables?

Son imprimibles y tienen función de búsqueda, pero no son formularios interactivos. Utilice los archivos Word para editarlos.

¿Todo el material está traducido al inglés?

No. Los cinco documentos de trabajo y el archivo de Excel están en sueco. La guía en inglés explica cómo utilizar los documentos en sueco.

Versión, fuentes y transparencia

Versión 1.0, 9 de noviembre de 2026. Revisión jurídica asistida por IA de las fuentes del artículo 14 de la CRA, la información de notificación de la Comisión y el material de la SRP de ENISA el 9 de noviembre de 2026. No se ha llevado a cabo ninguna revisión jurídica externa e independiente, evaluación por parte de las autoridades ni certificación técnica del producto. El paquete es una ayuda administrativa, no una garantía de cumplimiento.