La UE activa reportes rápidos para fallos graves en productos digitales

La Ley de Ciberresiliencia de la Unión Europea ya ha activado una parte concreta de sus reglas: desde el 11 de septiembre, los fabricantes deben informar de vulnerabilidades que estén siendo explotadas y de incidentes graves que afecten a la seguridad de sus productos digitales. El alcance incluye desde programas y aplicaciones hasta dispositivos conectados, y también productos que ya se venden en la UE.

La notificación tiene plazos escalonados. El fabricante debe enviar una alerta temprana en un máximo de 24 horas y una comunicación inicial dentro de 72 horas; el informe final vence hasta 14 días después de que haya una solución para una vulnerabilidad explotada, o en un mes para un incidente grave. Las comunicaciones pasan por una plataforma gestionada por ENISA y llegan a equipos nacionales de respuesta a incidentes.

La medida busca que las autoridades puedan coordinarse antes y que la información de seguridad circule con más rapidez, pero no significa que cada dispositivo vaya a recibir automáticamente una actualización inmediata. La Comisión distingue este calendario del resto de obligaciones principales de la ley, que se aplicarán desde el 11 de diciembre de 2027.

Para quien compra o usa aparatos conectados, la recomendación práctica sigue siendo instalar las actualizaciones ofrecidas por el fabricante y consultar sus avisos oficiales si un producto presenta fallos. La nueva regla mejora la obligación de notificar ciertos problemas; no sustituye la vigilancia del usuario ni garantiza que todos los incidentes sean visibles públicamente desde el primer momento.