La nueva obligación que puede afectar a pymes y autónomos
Normativa digital · Autónomos y pymes
La primera obligación ya está activa, pero no afecta a cualquier negocio por usar tecnología
Desde el 11 de septiembre de 2026, determinados fabricantes de programas, aplicaciones y dispositivos conectados deben comunicar vulnerabilidades explotadas activamente e incidentes graves. Explicamos quién entra en el Reglamento de Ciberresiliencia, qué plazos debe cumplir y qué puede preparar una pequeña empresa.
Respuesta rápida
El Reglamento europeo de Ciberresiliencia, conocido como CRA, establece requisitos de ciberseguridad para productos con elementos digitales. Entró en vigor el 10 de diciembre de 2024.
Las obligaciones principales se aplicarán desde el 11 de diciembre de 2027, pero las obligaciones de notificación ya se aplican desde el 11 de septiembre de 2026.
No se convierte en fabricante a una asesoría, una tienda o un restaurante por utilizar ordenadores, una web o un programa de facturación. El foco está en quien desarrolla o comercializa bajo su nombre un producto digital incluido en el ámbito del reglamento.
¿Qué es un producto con elementos digitales?
La norma abarca programas y dispositivos capaces de conectarse directa o indirectamente a otro dispositivo o a una red. Puede incluir aplicaciones, programas de escritorio, equipos conectados, cámaras, routers, relojes inteligentes, sistemas domésticos y otros productos digitales comercializados en la Unión Europea.
Puede afectarte directamente si…
Desarrollas una aplicación o programa y lo comercializas con tu nombre o marca.
Fabricas o vendes bajo tu marca un dispositivo conectado.
Modificas sustancialmente un producto y pasas a asumir responsabilidades equivalentes a las del fabricante.
Importas o distribuyes productos digitales y te corresponden obligaciones dentro de la cadena.
No te afecta como fabricante solo porque…
Utilizas Gmail, un programa de gestión o una aplicación de terceros.
Tienes una página web corporativa.
Prestas asistencia administrativa o gestionas redes sociales.
Compras equipos conectados para uso interno, sin comercializarlos bajo tu nombre.
El encaje depende del producto, del papel que ocupa cada empresa en la cadena y de cómo se comercializa. Ante un caso dudoso debe revisarse el texto legal y la guía de la Comisión, no decidir únicamente por el nombre comercial del servicio.
Los plazos que están activos desde septiembre de 2026
Aviso temprano
Debe enviarse dentro de las primeras 24 horas desde que el fabricante tiene conocimiento de una vulnerabilidad explotada activamente o de un incidente grave que afecte a la seguridad del producto.
Notificación completa
La información debe ampliarse mediante una notificación completa dentro de las 72 horas desde que se tuvo conocimiento.
Informe final de la vulnerabilidad
Para una vulnerabilidad explotada activamente, el informe final debe presentarse como máximo 14 días después de que esté disponible una medida correctora.
Informe final del incidente
Para un incidente grave, el informe final debe enviarse dentro del mes siguiente a la notificación de 72 horas.
Las comunicaciones se realizan una sola vez mediante la Plataforma Única de Notificación gestionada por ENISA, operativa desde el 11 de septiembre de 2026.
Cuatro ejemplos para entenderlo mejor
Una asistente virtual usa programas de terceros
No se convierte en fabricante por utilizarlos. Sí debe gestionar bien contraseñas, permisos e incidentes, pero no asume por ese uso las notificaciones del fabricante previstas en el CRA.
Una pequeña empresa vende su propia aplicación
Puede entrar en el ámbito del reglamento aunque encargue parte del desarrollo a otra empresa. La marca, la comercialización y el reparto contractual de responsabilidades deben revisarse.
Un instalador comercializa dispositivos de otra marca
Debe determinar si actúa como distribuidor, importador o también como fabricante. Cambiar la marca o realizar una modificación sustancial puede alterar sus obligaciones.
Un comercio ofrece una plantilla o programa gratuito
La gratuidad no resuelve por sí sola el encaje. El tratamiento del programa libre y de código abierto depende de si existe actividad comercial y del papel concreto de la entidad.
Qué debería preparar una pyme que sí fabrica un producto digital
Identificar todos los productos, versiones y componentes incluidos, también los aportados por proveedores.
Nombrar responsables para recibir avisos y decidir rápidamente si se debe notificar.
Documentar cómo se detectan, valoran, corrigen y comunican vulnerabilidades e incidentes.
Crear un procedimiento que permita cumplir 24 y 72 horas sin improvisar en mitad de una crisis.
Registrar fechas, decisiones, evidencias técnicas, medidas correctoras y comunicaciones.
Revisar contratos con desarrolladores, proveedores, distribuidores e importadores.
Empezar a preparar los requisitos de diseño seguro, mantenimiento, actualizaciones y documentación aplicables desde diciembre de 2027.
¿Hay apoyo específico para pequeñas empresas?
La Comisión Europea reconoce que las microempresas y pymes pueden carecer de conocimientos y recursos suficientes. El reglamento permite iniciativas nacionales de formación, información, pruebas, evaluación y entornos controlados. ENISA también ha publicado una guía de diseño seguro y existen proyectos financiados por el programa Europa Digital.
Esto no elimina las obligaciones, pero sí confirma que la aplicación debe acompañarse de orientación y medidas proporcionadas.
Conclusión de AVEA
La novedad de septiembre no es que todas las pymes deban denunciar cualquier ataque informático en 24 horas. La obligación concreta recae en fabricantes incluidos en el Reglamento de Ciberresiliencia y se refiere a vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad de sus productos digitales.
El primer paso no es comprar una herramienta: es determinar el papel real de la empresa, inventariar sus productos y preparar un procedimiento que pueda activarse sin dudas cuando el tiempo empiece a contar.
Fuentes oficiales
- Comisión Europea: Reglamento de Ciberresiliencia.
- Comisión Europea: obligaciones de notificación.
- Comisión Europea: apoyo a microempresas y pymes.
- Reglamento (UE) 2024/2847, texto oficial.
- Guía práctica de la Comisión publicada el 27 de julio de 2026.
Información revisada el 24 de septiembre de 2026. Este artículo es informativo y no sustituye el análisis jurídico o técnico del producto concreto.
Sigue en contacto con AVEA
Compartimos información contrastada, recursos útiles y orientación práctica para asistentes virtuales, profesionales independientes y pequeñas empresas.
Deja una respuesta