Notificación de vulnerabilidades con arreglo a la Ley de Ciberresiliencia de la UE

Cuándo es obligatorio notificar

El supuesto de notificación no depende de la categoría del producto, de la puntuación CVSS ni de la mera existencia de una vulnerabilidad. El artículo 14 pregunta si el fabricante ha tenido conocimiento de un suceso notificable en un producto con elementos digitales.

Otras vulnerabilidades, ciberamenazas, incidentes evitados por poco e incidentes de menor impacto pueden seguir siendo pertinentes para la gestión de vulnerabilidades o la notificación voluntaria. No constituyen automáticamente notificaciones obligatorias con arreglo al artículo 14.

Vulnerabilidad explotada activamente

«Vulnerabilidad explotada activamente» significa una vulnerabilidad respecto de la cual existen pruebas fiables de que un agente malicioso la ha explotado en un sistema sin permiso de su propietario;

Reglamento (UE) 2024/2847, artículo 3(42)

La definición tiene tres elementos. Debe haber una vulnerabilidad, pruebas fiables de explotación y una explotación maliciosa y no autorizada. Una posible vía de explotación teórica o el resultado de un análisis automatizado no bastan por sí solos.

Una vulnerabilidad de día cero puede ser notificable, pero solo si el fabricante tiene pruebas fiables de que un agente malicioso la ha explotado. Una notificación de buena fe mediante un programa de recompensas por errores o un hallazgo de laboratorio sin pruebas de explotación maliciosa previa no activa la obligación del artículo 14, aunque todavía pueda ser posible una notificación voluntaria.

El conocimiento fiable puede proceder de varias fuentes:

• un cliente o socio notifica una vulneración y aporta pruebas de que se explotó la vulnerabilidad del producto;
• un organismo público, un investigador de seguridad o un informe de inteligencia sobre amenazas identifica la explotación en el producto;
• la propia telemetría, supervisión o investigación del fabricante encuentra pruebas de explotación.

La vulnerabilidad también debe estar contenida en el producto con elementos digitales. Si un componente integrado presenta una vulnerabilidad que no puede explotarse en el producto del fabricante, no se convierte por ello en una vulnerabilidad explotada activamente en ese producto solo porque el componente esté afectado en otro contexto.

Incidente grave que afecte a la seguridad del producto

El incidente grave también debe referirse al producto. Por sí solo, un incidente general de TI corporativa no basta. El incidente debe afectar a la seguridad del producto con elementos digitales.

El artículo 14 considera grave un incidente cuando se cumple alguna de estas condiciones:

• afecta negativamente, o puede afectar negativamente, a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes;
• ha provocado, o puede provocar, la introducción o ejecución de código malicioso en el producto o en las redes y sistemas de información de un usuario.

24 horas, 72 horas e informe final

El artículo 14 establece notificaciones por etapas. La primera es una alerta temprana y no tiene que ser un expediente técnico completo. Las etapas posteriores añaden la información disponible a medida que el fabricante investiga y mitiga el suceso.

1. Alerta temprana: sin demora indebida y en un plazo de 24 horas desde que el fabricante tenga conocimiento.
2. Notificación principal: sin demora indebida y en un plazo de 72 horas desde que tenga conocimiento, salvo que ya se haya facilitado la información pertinente.
3. Informe final de una vulnerabilidad explotada activamente: a más tardar 14 días después de que esté disponible una medida correctiva o de mitigación.
4. Informe final de un incidente grave: en el plazo de un mes desde la notificación del incidente de 72 horas.

Los plazos de 24 y 72 horas empiezan a contar desde que se tiene conocimiento del suceso notificable. No son períodos de espera: las notificaciones deben presentarse sin demora indebida. Los plazos del informe final tienen distintos puntos de inicio: que esté disponible una medida correctiva o de mitigación para una vulnerabilidad y la presentación de la notificación del incidente para un incidente grave.

Plataforma Única de Notificación

A efectos de las notificaciones contempladas en el artículo 14(1) y (3) y en el artículo 15(1) y (2), y para simplificar las obligaciones de notificación de los fabricantes, ENISA establecerá una plataforma única de notificación. ENISA gestionará y mantendrá sus operaciones cotidianas. La arquitectura de dicha plataforma permitirá a los Estados miembros y a ENISA establecer sus propios puntos electrónicos de entrada de notificaciones.

Reglamento (UE) 2024/2847, artículo 16(1)

Las notificaciones del artículo 14 se presentan a través de la Plataforma Única de Notificación. ENISA puso en marcha su capacidad operativa inicial el 11 de septiembre de 2026; la plataforma ya está disponible para las notificaciones obligatorias.

Preparación para notificar

Para presentar notificaciones a tiempo, los fabricantes necesitan una vía de notificación en la SRP, un CSIRT coordinador, información sobre los Estados miembros en los que se suministra el producto y datos internos del producto accesibles. La página de preparación para notificar explica estos preparativos.

Consulte Preparación para la notificación del artículo 14 una vez claros los criterios que activan la obligación.

Casos límite