CRA Assistent
Preguntas sobre el Cyber Resilience Act
Preguntas sobre el Cyber Resilience Act
Hola, soy el asistente CRA. Pregunteme lo que quiera sobre el Cyber Resilience Act, sobre funciones y obligaciones, o sobre el uso de CRA-Portal.
Manténgase al día con los últimos desarrollos en torno al Cyber Resilience Act.
El 21 de octubre de 2026 el equipo de PHP publico dos vulnerabilidades criticas, CVE-2026-109618 y CVE-2026-109619, ambas con una puntuacion CVSS de 9,2. Permiten la ejecucion remota de codigo y afectan a todas las versiones desde PHP 5.4. En los Paises Bajos, DigiD, MijnOverheid, la Camara de Representantes, el propio centro nacional de ciberseguridad, el aeropuerto de Schiphol y seis hospitales se desconectaron por precaucion. Para los fabricantes todo se reduce a dos preguntas. Esta este componente en mi producto, y en que version? Y tengo que notificarlo? Una vulnerabilidad explotada activamente debe notificarse en un plazo de 24 horas, tambien cuando se encuentra en un componente que usted entrega y no en su propio codigo; una vulnerabilidad conocida pero aun no explotada no inicia ese plazo. Quien use PHP 7.4 no tuvo eleccion entre parchear y esperar: esa version esta fuera de mantenimiento desde noviembre de 2022 y no recibira parche.
En la noche del 11 al 12 de octubre de 2026, los atacantes pusieron las instalaciones de refrigeración de unos 250 a 350 supermercados franceses en descongelación permanente, con temperaturas que llegaron a acercarse a los 50 grados. Entre las cadenas afectadas están Intermarché, Netto, Coopérative U, Leclerc, Carrefour Market y Monoprix. Una tienda de Alsacia declaró más de 220.000 euros de pérdidas; a escala nacional el daño asciende a millones. Los paneles de control del fabricante danés Danfoss son accesibles por internet para que las empresas de mantenimiento los ajusten a distancia, y las unidades afectadas funcionaban con firmware obsoleto. La CISA ya advirtió en mayo de 2025 de una elusión de autenticación en la serie AK-SM 8xxA (CVE-2025-41450). Un controlador de frío parece una caja insignificante, pero es un producto con elementos digitales: el CRA exige configuraciones por defecto seguras, autenticación en el acceso remoto, un periodo de soporte con actualizaciones de seguridad y la notificación de vulnerabilidades explotadas activamente. Este incidente muestra lo que cuesta no tener esa base: no una fuga de datos, sino días de facturación, existencias perdidas y actividad parada.
Lo que el CRA exige a los productos · Obligación de notificación
La Plataforma Única de Notificación de ENISA está operativa desde el 11 de septiembre de 2026, en portal.cra-srp.enisa.europa.eu. Incluye un manual para representantes autorizados, un vídeo tutorial y un glosario de los campos del formulario. No hay API: el registro y la notificación se hacen manualmente. Atención a los dos plazos distintos del informe final: para una vulnerabilidad, como máximo catorce días después de que exista una corrección o medida de mitigación; para un incidente grave, en el plazo de un mes desde la notificación de 72 horas. Los stewards de código abierto no entran en el ámbito hasta el 11 de diciembre de 2027, y la notificación voluntaria aún no está disponible.
Las obligaciones de notificación de incidentes y vulnerabilidades del CRA se aplican desde el 11 de septiembre de 2026 a través de la Plataforma Única de Notificación de ENISA. ENISA ha publicado preguntas frecuentes, una ficha de dos páginas y guías paso a paso para registrarse y enviar notificaciones. ENISA también publicó su Secure by Design and Default Playbook (22 guías prácticas para todo el ciclo de vida del producto) y socios internacionales publicaron los elementos mínimos de 2026 para una lista de materiales de software (SBOM).
La Comisión Europea ha publicado sus orientaciones oficiales sobre la aplicación del Cyber Resilience Act. Aclaran el ámbito de aplicación (incluidas las soluciones de procesamiento remoto de datos y el software libre y de código abierto), qué constituye una modificación sustancial, cómo se aplican los periodos de soporte, y las obligaciones de notificación y evaluación de riesgos. Incluyen 67 ejemplos prácticos, casos de uso y diagramas de flujo dirigidos a pymes y microempresas.
ENISA ha actualizado sus preguntas frecuentes sobre la Plataforma Unica de Notificacion del CRA, incluidos los campos de datos que los fabricantes deben facilitar al notificar incidentes en virtud del articulo 14. Ademas, hasta el 10 de julio de 2026 esta abierta una consulta publica sobre un proyecto de dictamen tecnico sobre mecanismos de actualizacion seguros para pymes.
OpenSSF presentó comentarios de su comunidad sobre dos consultas de la UE: la revisión de la Ley de Ciberseguridad y las modificaciones a la Directiva NIS2. También se aportó información sobre la guía ENISA 'Secure by Design' para pymes.
ENISA publicó un borrador de guía para ayudar a las pymes a integrar la seguridad desde el diseño. Ofrece pasos prácticos para los procesos de ingeniería, producto y lanzamiento.
El CRA entró en vigor el 10 de diciembre de 2024. Los fabricantes, importadores y distribuidores de productos con elementos digitales deben cumplir los nuevos requisitos antes del 11 de diciembre de 2027.
La legislación CRA está en plena evolución. Contáctenos para obtener los últimos conocimientos.
Nuestros especialistas están encantados de ayudarle en su proceso de cumplimiento.