CRA · artículo 14
Notificar una vulnerabilidad explotada en 24 horas
Alerta temprana en 24 horas, notificación detallada en 72 horas. Imposible sin saber, cada día, qué versiones incluyes.
Cumplimiento · Cyber Resilience Act y NIS2
CRA y NIS2: qué exigen sobre tus dependencias y qué te aporta LibWatch.
Notificar una vulnerabilidad explotada en 24 horas, mantener un SBOM legible por máquina, controlar la cadena de suministro: estas son las obligaciones, sus fechas y la parte que puede asumir LibWatch.
Calendario
Tres fechas que recordar del CRA
10/12/2024
Entrada en vigor
El Reglamento (UE) 2024/2847, publicado en el Diario Oficial de la UE el 20/11/2024, entra en vigor.
11/09/2026
Notificación en 24 horas
Desde esa fecha, toda vulnerabilidad explotada activamente en un producto debe notificarse a la ENISA y al CSIRT nacional.
11/12/2027
Aplicación completa
Requisitos esenciales, SBOM y marcado CE para los productos comercializados.
Lo que dicen los textos
Las obligaciones que afectan a tus dependencias
CRA · anexo I, parte II
Mantener una lista de materiales de software (SBOM)
En un formato habitual y legible por máquina, que cubra al menos las dependencias de primer nivel, y conservada junto con la documentación técnica.
NIS2 · artículo 21
Controlar la seguridad de la cadena de suministro
Las entidades afectadas deben gestionar las vulnerabilidades de sus proveedores y de su software. Sus prestadores de servicios, agencias y consultoras, lo notan en sus contratos.
La parte de LibWatch
Lo que aporta LibWatch y lo que te queda a ti
LibWatch da herramientas para la vigilancia y la documentación. No sustituye tu análisis de riesgos ni tu notificación.
| Requisito | Lo que aporta LibWatch | Lo que te queda a ti |
|---|---|---|
| Saber rápido si te afecta una vulnerabilidad explotada | Vigilancia nocturna, catálogo KEV de la CISA y alertas del CERT-FR sobre tu versión de PHP | Evaluar el impacto en tu producto |
| SBOM legible por máquina | Exportación CycloneDX 1.5 y SPDX 2.3, validada contra los esquemas oficiales | Adjuntarlo a la documentación técnica y conservarlo |
| Notificación a la ENISA y al CSIRT | La lista de proyectos y versiones afectados | La notificación en sí |
| Componentes en fin de soporte | Seguimiento del fin de soporte de lenguajes y frameworks | Planificar las migraciones |
Esta página no es asesoramiento jurídico
Resume textos públicos (EUR-Lex, ANSSI). Para saber si tu producto o tu organización se ve afectado, busca asesoramiento.
Preguntas frecuentes
CRA, NIS2 y dependencias
¿Tiene que ser público mi SBOM?
No. El CRA exige poder facilitarlo a las autoridades cuando lo pidan; tus clientes también pueden exigirlo por contrato.
¿Afecta NIS2 a una agencia web?
Rara vez de forma directa: NIS2 se dirige a sectores y tamaños de empresa concretos, como los proveedores de servicios informáticos gestionados a partir de una empresa mediana. Una agencia la encuentra sobre todo en sus clientes afectados, que trasladan sus requisitos de seguridad a los contratos.
¿Basta con un SBOM en Excel?
Mejor evitarlo. El CRA pide un formato habitual y legible por máquina: en la práctica, CycloneDX o SPDX, que LibWatch exporta. Las herramientas de tus clientes o de las autoridades no procesan automáticamente una hoja de cálculo.