CRA Assistent
Preguntas sobre el Cyber Resilience Act
Preguntas sobre el Cyber Resilience Act
Hola, soy el asistente CRA. Pregunteme lo que quiera sobre el Cyber Resilience Act, sobre funciones y obligaciones, o sobre el uso de CRA-Portal.
Un expediente de cumplimiento que su titular puede modificar después prueba poco. Si le pidiéramos que creyera que un incidente se notificó el 3 de octubre, cuando solo nosotros podemos consultar la base de datos, le estaríamos pidiendo que nos creyera bajo palabra. Una autoridad de vigilancia del mercado, un cliente o un organismo notificado no debería tener que hacerlo.
Por eso CRA-Portal sella su registro cada día fuera de su propio sistema. Esta página explica cómo funciona, qué sale y qué no sale de nuestros sistemas, y cómo puede comprobarlo usted mismo sin aceptar nada por nuestra palabra.
Cuando se notifica un incidente, se sube un documento o se presenta una comunicación, el portal escribe una línea al respecto en un registro que solo crece. Las líneas nunca se modifican ni se eliminan; lo rechaza la propia base de datos, no solo el software.
De cada línea calculamos una huella: un número de 64 caracteres que se deriva por completo del contenido de esa línea. Cambie una sola letra de una descripción y la huella será irreconocible.
Cada huella se calcula en parte a partir de la anterior. Así se forma una cadena. Quien altere una línea intermedia tendrá que recalcular todas las huellas posteriores, o la cadena se rompe de forma visible.
Esto hace que la manipulación sea visible para cualquiera que recorra la cadena, pero todavía no es una prueba completa: en teoría, quien administra la base de datos podría recalcularla entera. Para eso está el paso 3.
Periódicamente tomamos todas las huellas desde el sello anterior y las condensamos en un único número, una raíz de Merkle. Ese número representa toda la serie. A continuación lo sacamos al exterior por dos vías independientes.
Un sello de tiempo cualificado (RFC 3161). Una autoridad de sellado de tiempo independiente firma la declaración de que ese número existía en ese momento. En la UE, un sello así constituye prueba sólida conforme a eIDAS. La contrapartida: usted confía en ese tercero concreto.
Un anclaje en la cadena de bloques de Bitcoin (OpenTimestamps). El mismo número se envía a los servidores de calendario públicos de OpenTimestamps. Estos agrupan miles de números como el nuestro de todo el mundo en uno solo y lo inscriben en una transacción de Bitcoin. En cuanto figura en un bloque, queda fijado en decenas de miles de ordenadores de todo el mundo. Ya nadie puede cambiarlo: ni nosotros, ni ningún administrador con acceso a nuestros sistemas.
Ambos cubren la debilidad del otro. El sello de tiempo es inmediato y jurídicamente sólido en la UE; el anclaje en Bitcoin tarda horas, pero no exige confiar en ningún tercero. Por eso usamos los dos en cada sellado.
Solo ese número. Ninguna descripción de incidentes, ningún documento, ningún nombre, ningún dato de empresa. Sin sus propios expedientes, el número carece de sentido: no se puede deducir nada de él ni recalcular nada a partir de él.
Es una decisión deliberada, no un detalle. Lo que entra una vez en una cadena pública ya no se puede borrar nunca. Los datos personales y los secretos comerciales no tienen cabida allí, y con nosotros nunca llegan a entrar. No pagamos comisiones de transacción ni mantenemos criptomonedas; viajamos dentro de un paquete que componen los servidores de calendario.
No tiene que creernos nada. Para cada línea de su expediente puede solicitar una prueba en el portal. Contiene la línea, una breve ruta de cálculo de huellas y la referencia al sellado.
openssl ts -verify. Obtendrá OK o FAILED, utilizando el certificado de la autoridad de sellado, no algo nuestro.Si la ruta de cálculo llega al número inscrito en ese bloque, su línea existía de forma demostrable antes de ese bloque. Si algo se modificó después, la ruta termina en otro número y salta a la vista de inmediato. Ninguna de estas comprobaciones pasa por nosotros.
La cadena de prueba está en producción desde el 13 de octubre de 2026. El registro se sella a diario y la confirmación de la cadena de bloques de Bitcoin se recoge cada cuatro horas. Los primeros anclajes constan en el bloque de Bitcoin 971206. Si faltara un sellado, sería una incidencia que genera una alerta en nuestro lado; una cadena que se detuviera en silencio es el único escenario capaz de socavar este sistema, y es precisamente lo que se vigila.
¿Quiere saber cómo protegemos sus datos en general? Consulte Seguridad de los datos y confidencialidad. ¿Preguntas sobre la prueba, o quiere revisar un ejemplo con sus propios asesores? Póngase en contacto.