Preparación para la notificación del artículo 14 de la CRA

Preparación antes de una notificación

Antes de que ocurra un incidente, el fabricante debería saber qué productos están dentro del ámbito de aplicación, quién puede presentar notificaciones, qué CSIRT coordinador las recibe y en qué Estados miembros se han suministrado los productos.

CSIRT coordinador

La notificación se presentará mediante el punto de entrada electrónico de notificación del CSIRT designado como coordinador del Estado miembro en el que los fabricantes tengan su establecimiento principal en la Unión, y deberá ser accesible simultáneamente para ENISA.

Reglamento (UE) 2024/2847, artículo 14(7)

Para un fabricante de la UE, el establecimiento principal es el Estado miembro en el que se toman principalmente las decisiones sobre ciberseguridad del producto. Si no puede determinarse, se recurre al Estado miembro donde el fabricante tenga su establecimiento en la Unión con el mayor número de empleados.

Para un fabricante sin establecimiento principal en la Unión, el artículo 14(7) exige determinar el Estado miembro del CSIRT coordinador en el siguiente orden, utilizando la información de que disponga el fabricante:

1. El Estado miembro donde esté establecido el representante autorizado que actúe para el mayor número de productos de ese fabricante.
2. El Estado miembro donde esté establecido el importador que introduzca en el mercado el mayor número de productos de ese fabricante.
3. El Estado miembro donde esté establecido el distribuidor que ponga a disposición en el mercado el mayor número de productos de ese fabricante.
4. El Estado miembro donde se encuentre el mayor número de usuarios de los productos de ese fabricante.

Productos suministrados por Estado miembro

La alerta temprana de 24 horas solicita los Estados miembros en los que el fabricante sabe que se ha puesto a disposición el producto afectado. La SRP también remite información a otros CSIRT de los Estados miembros donde esté disponible el producto.

• ventas directas y canales de distribución en la UE;
• mercados en línea, tiendas de aplicaciones y canales de descarga utilizados por usuarios de la UE;
• importadores y distribuidores que introducen o ponen el producto a disposición en Estados miembros concretos;
• versiones del producto, versiones de firmware, funciones dependientes de la nube o variantes de modelo que afecten a la notificación.

Preparación de los datos de notificación

ENISA describe la SRP como un punto de entrada único. El fabricante presenta la notificación una sola vez y la plataforma la remite al CSIRT coordinador y a ENISA. La notificación sigue dependiendo de que estén preparados los datos internos del producto y de seguridad.

• quién está autorizado para presentar la notificación;
• qué producto, versión, componente o función de servicio está afectado;
• si el suceso se considera una vulnerabilidad explotada activamente o un incidente grave;
• qué se sabe, qué sigue investigándose y qué medidas de mitigación están disponibles;
• qué usuarios o Estados miembros pueden estar afectados;
• cómo informará el fabricante a los usuarios afectados cuando lo exija el artículo 14.

Reconocimiento de sucesos notificables

Los criterios que hacen obligatoria una notificación se explican en Notificación de vulnerabilidades. El fabricante debe reconocer esos sucesos con suficiente rapidez para cumplir los plazos de 24 y 72 horas.