Vendo un plugin o una app en Europa: qué me pide el Cyber Resilience Act desde septiembre

Si comercializas software en la Unión Europea, el Cyber Resilience Act (CRA) ya tiene obligaciones de notificación aplicables desde el 11 de septiembre de 2026 para los fabricantes incluidos en su ámbito. Debes poder gestionar las vulnerabilidades explotadas activamente y los incidentes graves de seguridad, comunicar la información exigida dentro de los plazos establecidos y preparar el resto de los requisitos que se aplicarán desde el 11 de diciembre de 2027.

La primera tarea no consiste en desarrollar una función nueva. Consiste en definir cómo recibirás los avisos, quién evaluará su gravedad y quién se encargará de notificar y coordinar la respuesta.

Comprueba si tu software puede entrar en el ámbito del CRA

El tipo de producto es importante. La guía de la Comisión Europea publicada el 27 de julio de 2026 considera productos con elementos digitales determinados programas que se ejecutan en el equipo del usuario, incluidas las extensiones de navegador. Las webs que funcionan de forma remota quedan, en general, fuera de esta categoría.

Si vendes un add-on de Blender, una extensión o una aplicación de escritorio, es razonable estudiar si entra en el ámbito del reglamento, pero no debes darlo por hecho sin analizar las características del producto y tu papel en su comercialización.

Distingue entre estas situaciones:

• Software instalado en el equipo del usuario: comprueba si puede considerarse un producto con elementos digitales.
• Extensión de navegador: no la excluyas automáticamente por ser pequeña o distribuirse desde una tienda de extensiones.
• Servicio web remoto: analiza si el servicio queda fuera de la categoría descrita en la guía o si forma parte de un producto sujeto al reglamento.
• Proyecto de código abierto: diferencia tu papel como fabricante del que puede corresponder a un administrador de código abierto (steward).

La clasificación depende de las circunstancias concretas. Si tienes dudas sobre el alcance, solicita una revisión especializada antes de decidir que no tienes obligaciones.

Qué tienes que hacer desde septiembre de 2026

El artículo 14 del CRA establece obligaciones de notificación para fabricantes. ENISA puso en marcha su plataforma única de notificación, conocida como Single Reporting Platform, el 11 de septiembre de 2026.

Los plazos principales descritos para las notificaciones son:

Los plazos dependen del tipo de notificación y del supuesto concreto. No debes interpretarlos como una única cuenta atrás aplicable a cualquier fallo técnico. Define un procedimiento que permita identificar si el problema reúne las condiciones para activar las obligaciones del reglamento.

La obligación se aplica también a productos que ya estaban en el mercado. Sin embargo, la información publicada sobre el régimen de notificación indica que no tienes que notificar retroactivamente lo que ya conocías antes del 11 de septiembre de 2026.

Cómo organizar un procedimiento mínimo si trabajas con un equipo pequeño

No necesitas empezar con una estructura compleja. Necesitas que cualquier aviso relevante llegue a alguien capaz de evaluarlo y actuar.

Prepara esta checklist:

• Canal de recepción: establece una dirección de correo o un formulario para recibir avisos de vulnerabilidades de usuarios, investigadores y colaboradores.
• Responsable: asigna una persona que revise los avisos y pueda activar una respuesta.
• Criterios de evaluación: documenta cómo distinguir un error normal de una posible vulnerabilidad explotada activamente o de un incidente grave.
• Cuenta de acceso: prepara EU Login y la autenticación de doble factor necesaria para utilizar la plataforma.
• Plantilla de notificación: deja preparada una estructura para recopilar la información del producto, el problema, el impacto conocido y las medidas adoptadas.
• Registro de decisiones: conserva las fechas de recepción, evaluación, escalado y comunicación.
• Proceso de corrección: define cómo preparar, validar y distribuir un parche, además de informar a los usuarios cuando corresponda.

El objetivo es reducir el tiempo que pierdes decidiendo quién debe actuar cuando aparece un problema. Si desarrollas y vendes software, este procedimiento puede integrarse en el mantenimiento habitual del producto y en tu calendario de soporte. Puedes complementar esta revisión con nuestra guía sobre el calendario de soporte de tu stack web.

Qué cambia en diciembre de 2027

La fecha que debes separar en tu planificación es el 11 de diciembre de 2027. Según ENISA, ese día comienzan a aplicarse los principales requisitos del CRA. Para los administradores de código abierto (stewards), las obligaciones de notificación empiezan también en esa fecha, mientras que las de los fabricantes ya se aplican desde el 11 de septiembre de 2026.

Por tanto, no confundas la fecha de entrada en aplicación de los requisitos principales con el inicio de las obligaciones de notificación.

Si desarrollas software para terceros, distribuyes complementos o mantienes aplicaciones instalables, revisa qué documentación, procesos de mantenimiento y medidas de seguridad necesitas preparar para cumplir los requisitos que te correspondan. Conviene relacionar esta planificación con la forma en que gestionas dependencias, actualizaciones y avisos de seguridad. Nuestra guía sobre seguridad de ComfyUI en un estudio puede ayudarte a contextualizar la revisión de herramientas de software dentro de un entorno de producción.

Qué riesgos debes valorar y qué no debes asumir

El incumplimiento puede tener consecuencias económicas importantes. La información publicada por ECIJA recoge multas de hasta 15 M€ o el 2,5 % de la facturación. Además, el artículo 64(10) del reglamento establece una excepción específica para microempresas y pequeñas empresas respecto a las multas por incumplir el plazo de alerta temprana de 24 horas. Esa excepción no elimina las demás obligaciones ni equivale a una exención general del CRA.

No presupongas que el tamaño de tu negocio te libera de preparar el procedimiento. Tampoco asumas que cualquier fallo debe notificarse de la misma manera. Identifica el tipo de producto, tu función, la naturaleza del problema y los plazos que correspondan.

Este artículo ofrece información general sobre requisitos técnicos y regulatorios, no asesoramiento legal. Confirma con un especialista el alcance del CRA en tu caso, especialmente si comercializas complementos de pago o distribuyes software bajo un modelo de código abierto.

Qué decisión tomar esta semana

Esta semana, documenta qué productos distribuyes, comprueba si pueden entrar en el ámbito del CRA y asigna un responsable para los avisos de seguridad. Después, prepara el acceso a EU Login, una plantilla de notificación y un procedimiento de escalado. Así podrás atender las obligaciones que ya resulten aplicables y planificar el trabajo pendiente para diciembre de 2027 sin confundir ambos calendarios.

Si necesitas desarrollar o adaptar una aplicación para incorporar procesos de seguridad, mantenimiento y gestión de avisos, cuéntanos qué software distribuyes y cómo lo mantienes.