{"product_id":"cra-psirt-sarbarhetsrapportering-artikel14","title":"CRA PSIRT – Recepción de vulnerabilidades, notificación en 24\/72 h y cadena de custodia | Word\/PDF\/Excel","description":"\u003cp\u003e\u003cstrong\u003eReciba, evalúe y documente una vulnerabilidad de seguridad o un incidente concreto en un producto digital: desde el primer informe hasta la notificación real a la CRA y la comunicación a los clientes.\u003c\/strong\u003e Este paquete especializado para fabricantes de productos con elementos digitales se centra en el artículo 14 de la CRA y la Plataforma Única de Notificación (SRP) de ENISA. No sustituye a una evaluación de riesgos general de la CRA, a un SBOM ni a una notificación real a las autoridades.\u003c\/p\u003e\n\u003cp\u003e\u003cstrong\u003eDatos rápidos:\u003c\/strong\u003e 5 documentos de trabajo en sueco, 1 guía de usuario en sueco y 1 guía de usuario en inglés, todos en Word (DOCX) editable y en PDF imprimible y con función de búsqueda (no formularios interactivos), además de 1 libro de trabajo de Excel en sueco con 9 pestañas. Un total de \u003cstrong\u003e15 archivos para clientes\u003c\/strong\u003e: siete documentos independientes en dos formatos más un XLSX. Entrega digital en ZIP tras la activación futura.\u003c\/p\u003e\n\u003csection aria-label=\"Contenido del paquete\" style=\"border:1px solid #b7c8dc;border-radius:10px;background:#f0f6fc;padding:18px;margin:22px 0\"\u003e\u003ch2\u003eContenido del paquete\u003c\/h2\u003e\n\n\u003cp\u003eCinco documentos operativos independientes en Word, una guía en sueco y otra en inglés, siete copias correspondientes en PDF con función de búsqueda y un libro de trabajo de Excel. Un total de 7 tipos de documentos y 15 archivos. Los documentos de trabajo y el archivo de Excel están en sueco; solo la guía en inglés está en inglés.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection aria-label=\"Contenido de los archivos\" style=\"border:1px solid #b7c8dc;border-radius:10px;background:#fff;padding:18px;margin:22px 0\"\u003e\u003ch2\u003eContenido de los archivos\u003c\/h2\u003e\n\n\u003cp\u003eResponsabilidad y autoridad PSIRT, recepción de vulnerabilidades, pruebas y control de fuentes, dos tipos de activadores de notificación, momento de detección, base para la notificación y comprobantes reales de la SRP, actualizaciones de seguridad, comunicaciones a los clientes y verificaciones posteriores. El archivo de Excel ofrece una visión administrativa trazable; no realiza ninguna notificación automática a las autoridades.\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003e¿Quién debe elegir la plantilla y cuándo?\u003c\/h2\u003e\u003cp\u003ePara desarrolladores de productos y fabricantes que comercializan software, equipos conectados u otros productos con elementos digitales en el mercado de la UE y deben gestionar indicios de explotación activa o un incidente de seguridad grave. Dos casos: un informante aporta pruebas de ataques contra una versión específica de firmware o un fabricante tiene conocimiento de un incidente que afecta gravemente a la seguridad del producto. Si es un distribuidor habitual, un proveedor de servicios de TI o gestiona únicamente incidentes internos de TI, es posible que otros documentos y otras normativas sean más adecuados. Primero debe comprobarse la condición jurídica de fabricante y la aplicabilidad de la CRA.\u003c\/p\u003e\n\u003ch2\u003eArchivo por archivo\u003c\/h2\u003e\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable\u003e\n\n\u003cthead\u003e\u003ctr\u003e\n\n\u003cth\u003eDocumento\u003c\/th\u003e\n\n\u003cth\u003eObjetivo práctico\u003c\/th\u003e\n\n\u003cth\u003eIdioma\u003c\/th\u003e\n\n\u003cth\u003eFormato\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e1. PSIRT: responsabilidad y preparación\u003c\/td\u003e\n\n\u003ctd\u003eRoles, representante autorizado, CSIRT, escalada y procedimiento de reserva.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e2. Recepción de informe de vulnerabilidad\u003c\/td\u003e\n\n\u003ctd\u003eRecepción segura, vinculación con el producto\/versión, control de fuentes y pruebas.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e3. Evaluación de notificabilidad según la CRA\u003c\/td\u003e\n\n\u003ctd\u003eEvaluación independiente de vulnerabilidad explotada activamente e incidente grave.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e4. Base para la notificación a la SRP\u003c\/td\u003e\n\n\u003ctd\u003eBase para el informe de 24 h, el de 72 h, el informe final de AEV\/SI y el comprobante real de la SRP.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e5. Corrección coordinada e información a los clientes\u003c\/td\u003e\n\n\u003ctd\u003eHistorial de parches y medidas, coordinación con proveedores y carta a los clientes.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e6. Guía de usuario en sueco\u003c\/td\u003e\n\n\u003ctd\u003eFinalización, lógica de fechas, delimitaciones, manejo seguro y fuentes.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e7. Guía de usuario en inglés\u003c\/td\u003e\n\n\u003ctd\u003eInstrucciones en inglés para las plantillas en sueco; no son formularios legales traducidos.\u003c\/td\u003e\n\n\u003ctd\u003eInglés\u003c\/td\u003e\n\n\u003ctd\u003eDOCX + PDF con función de búsqueda\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd\u003e8. Registro PSIRT\/SRP de la CRA\u003c\/td\u003e\n\n\u003ctd\u003e9 pestañas: visión general, productos, recepción, triaje, notificación a la SRP, medidas, comunicación, pruebas y fuentes.\u003c\/td\u003e\n\n\u003ctd\u003eSueco\u003c\/td\u003e\n\n\u003ctd\u003eXLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\u003ch2\u003eEl archivo de Excel en la práctica\u003c\/h2\u003e\u003cp\u003eEl libro de trabajo incluye registros filtrables, campos de estado, vínculos de ID y un resumen basado en fórmulas. Cuando se introduce un valor real de hora UTC que indique el momento en que el fabricante tuvo conocimiento de un evento sujeto a notificación, muestra las fechas indicativas de 24 h y 72 h. Estas son \u003cstrong\u003elímites técnicos absolutos, no un plazo de espera\u003c\/strong\u003e: notifique sin demora innecesaria. La fecha del informe final se introduce manualmente porque el activador difiere: cuando una medida está disponible (AEV) o cuando realmente se ha presentado la notificación de 72 h (SI). El registro distingue entre borrador, evaluación, notificación enviada y comprobante real.\u003c\/p\u003e\n\u003ch2\u003eProcedimiento paso a paso\u003c\/h2\u003e\u003col\u003e\n\n\u003cli\u003eIdentifique al fabricante legal, el producto, la versión y el rol PSIRT\/SRP autorizado.\u003c\/li\u003e\n\n\u003cli\u003eRegistre las fuentes y pruebas sin almacenar secretos ni código de explotación en archivos de oficina no seguros.\u003c\/li\u003e\n\n\u003cli\u003eEvalúe por separado AEV e SI según el artículo 14 de la CRA y documente el momento de detección.\u003c\/li\u003e\n\n\u003cli\u003eSi existe la obligación: prepare la documentación y notifique sin demora innecesaria a través de \u003ca href=\"https:\/\/portal.cra-srp.enisa.europa.eu\/\"\u003ela SRP oficial de ENISA\u003c\/a\u003e.\u003c\/li\u003e\n\n\u003cli\u003eGuarde los ID y las marcas de tiempo reales de presentación de 24 h, 72 h y del informe final aplicable.\u003c\/li\u003e\n\n\u003cli\u003eDocumente la medida correctiva, los usuarios afectados, la comunicación y la verificación posterior.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\u003ch2\u003eLímites legales y responsabilidades\u003c\/h2\u003e\u003cp\u003eEl artículo 14 de la \u003ca href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/?uri=CELEX%3A32024R2847\"\u003eCRA (UE) 2024\/2847\u003c\/a\u003e comenzó a aplicarse a los fabricantes el 11 de septiembre de 2026. La obligación de notificar una vulnerabilidad explotada activamente requiere pruebas pertinentes de explotación real; un número CVE o una puntuación de riesgo elevada no bastan automáticamente. Los incidentes graves deben evaluarse según el artículo 14.5. La alerta temprana debe presentarse en un plazo de 24 h y la notificación en un plazo de 72 h desde la detección pertinente, sin demora innecesaria en ambos casos. Para AEV, el informe final debe presentarse como tarde como 14 días después de que la medida correctiva o limitativa esté disponible. Para SI, el informe final debe presentarse en el plazo de un mes desde la notificación real de 72 h. El artículo 14.8 trata la información a los usuarios afectados.\u003c\/p\u003e\n\u003cp\u003eDebe comprobarse directamente la \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003esección de preguntas frecuentes de la SRP\u003c\/a\u003e y el \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/single-reporting-platform-srp\/cra-srp-glossary2\"\u003eglosario de campos\u003c\/a\u003e de ENISA en el momento de realizar una notificación real, ya que los campos y las funciones de la plataforma se actualizan. El estado de un archivo Word o Excel nunca se considera una notificación presentada. Por lo general, los demás requisitos principales de la CRA entrarán en vigor el 11 de diciembre de 2027, y el artículo 24.3 para los responsables de software de código abierto tendrá una fecha de inicio diferente. Si es necesario, se requerirá una evaluación específica conforme, por ejemplo, a NIS2, el RGPD y DORA.\u003c\/p\u003e\n\u003ch2\u003eDiferencias con nuestros otros documentos\u003c\/h2\u003e\u003cp\u003eNuestro \u003ca href=\"\/es\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003epaquete más amplio de cumplimiento de la CRA\u003c\/a\u003e incluye la evaluación de riesgos, el SBOM, los requisitos de seguridad y la notificación general según la CRA. Este nuevo paquete es, en cambio, una cadena de trabajo especializada para un informe o incidente recibido realmente, los comprobantes de la SRP, las pruebas y la información a los clientes.\u003c\/p\u003e\n\u003ch2\u003ePreguntas frecuentes\u003c\/h2\u003e\u003ch3\u003e¿Se debe notificar cada vulnerabilidad de seguridad?\u003c\/h3\u003e\u003cp\u003eNo. El artículo 14 establece umbrales específicos para vulnerabilidades explotadas activamente e incidentes graves. Otras vulnerabilidades pueden requerir un manejo interno, pero no son automáticamente notificaciones obligatorias a la SRP.\u003c\/p\u003e\u003ch3\u003e¿La plantilla envía la notificación a ENISA?\u003c\/h3\u003e\u003cp\u003eNo. La documentación prepara y registra el trabajo; un representante autorizado debe enviar la notificación a través de la plataforma real de la SRP.\u003c\/p\u003e\u003ch3\u003e¿Los archivos PDF son editables?\u003c\/h3\u003e\u003cp\u003eSon imprimibles y tienen función de búsqueda, pero no son formularios interactivos. Utilice los archivos Word para editarlos.\u003c\/p\u003e\u003ch3\u003e¿Todo el material está traducido al inglés?\u003c\/h3\u003e\u003cp\u003eNo. Los cinco documentos de trabajo y el archivo de Excel están en sueco. La guía en inglés explica cómo utilizar los documentos en sueco.\u003c\/p\u003e\n\u003ch2\u003eVersión, fuentes y transparencia\u003c\/h2\u003e\u003cp\u003eVersión 1.0, 9 de noviembre de 2026. Revisión jurídica asistida por IA de las fuentes del artículo 14 de la CRA, la información de notificación de la Comisión y el material de la SRP de ENISA el 9 de noviembre de 2026. \u003cstrong\u003eNo se ha llevado a cabo ninguna revisión jurídica externa e independiente, evaluación por parte de las autoridades ni certificación técnica del producto.\u003c\/strong\u003e El paquete es una ayuda administrativa, no una garantía de cumplimiento.\u003c\/p\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56558770979158,"sku":"CRA-PSIRT-ART14-2026-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/cra-psirt-artikel14-huvudbild-1600.jpg?v=1794221631","url":"https:\/\/mallbutiken.se\/es\/products\/cra-psirt-sarbarhetsrapportering-artikel14","provider":"Mallbutiken","version":"1.0","type":"link"}