Imagen ilustrativa generada con IA.
Unión Europea · 22 de septiembre de 2026. Desde el 11 de septiembre, los fabricantes sujetos al Reglamento de Ciberresiliencia deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos con elementos digitales, según la Comisión Europea.
El procedimiento exige una alerta inicial en 24 horas desde que se tiene conocimiento y una notificación completa en 72 horas. Para vulnerabilidades, el informe final debe presentarse como máximo 14 días después de que exista una medida correctiva; para incidentes graves, dentro del mes siguiente a la notificación de 72 horas.
Las comunicaciones se presentan mediante la plataforma única de ENISA. Los administradores de software de código abierto tienen un calendario distinto: sus obligaciones de notificación comenzarán el 11 de diciembre de 2027.
Para las empresas el cambio hace especialmente relevante coordinar a los equipos de seguridad, producto y cumplimiento. La comprobación del ámbito de aplicación debe preceder a cualquier conclusión sobre las obligaciones de una empresa concreta.