Ley de Ciberresiliencia de la UE: la obligación de notificar se aplica desde el 11 de septiembre de 2026. Qué deben hacer los fabricantes de cargadores e inversores

#Calendario

#Qué notificar y con qué rapidez

El plazo cuenta desde que el fabricante tiene conocimiento. Se notifica una sola vez a través de la plataforma, que lo dirige al CSIRT coordinador del Estado miembro del establecimiento principal del fabricante y, salvo circunstancias excepcionales, a ENISA al mismo tiempo.

Un incidente es grave si afecta o puede afectar a la capacidad del producto para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones, o si provoca o puede provocar la ejecución de código malicioso en el producto o en los sistemas del usuario.

El fabricante debe además informar a los usuarios afectados y, cuando proceda, a todos, sobre la vulnerabilidad o el incidente y las medidas de mitigación disponibles, cuando proceda en un formato estructurado y legible por máquina.

#Los productos ya vendidos también cuentan

Los productos introducidos en el mercado antes del 11 de diciembre de 2027 solo quedan sujetos al CRA, en general, tras una modificación sustancial (art. 69.2). La obligación de notificar es la excepción: el artículo 14 se aplica a todos esos productos dentro del ámbito, sin necesidad de modificación (art. 69.3). Su base instalada en la UE ya está dentro del ámbito.

#¿Están incluidos cargadores, inversores y sistemas de almacenamiento?

El CRA cubre productos con elementos digitales que se conectan a un dispositivo o a una red. Un cargador con OCPP, un inversor con monitorización por Wi-Fi o 4G, un sistema de almacenamiento conectado a una plataforma en la nube o una unidad de gestión energética encajan en esa descripción.

Ninguno de estos productos figura en el anexo III (productos importantes) ni en el anexo IV (productos críticos). El anexo III incluye, por ejemplo, routers y módems, sistemas operativos y productos de hogar inteligente con funciones de seguridad; el anexo IV, las pasarelas de contadores inteligentes. Los productos no enumerados pertenecen a la categoría por defecto, y el fabricante puede evaluar su conformidad por sí mismo a partir de diciembre de 2027.

Hasta entonces, los equipos radioeléctricos conectados vendidos en la UE ya deben cumplir los requisitos de ciberseguridad de la Directiva de equipos radioeléctricos, evaluados con EN 18031.

#Qué hacer ahora

1. Establezca un circuito de 24 horas. Quién recibe los avisos de vulnerabilidad, quién decide si se está explotando y quién envía la alerta temprana.
2. Prepare el acceso a la Plataforma Única de Notificación e identifique el CSIRT que recibirá sus notificaciones.
3. Inventaríe la base instalada. Todos los modelos conectados vendidos en la UE, versiones de firmware y forma en que llegan las actualizaciones. La obligación alcanza a productos antiguos.
4. Prepare los avisos a usuarios. Plantillas y un canal de publicación, a ser posible legibles por máquina.
5. Planifique diciembre de 2027. El diseño seguro por defecto, las actualizaciones de seguridad durante el periodo de soporte y la lista de materiales de software (SBOM) pasarán a ser requisitos.