# CRA y NIS2: qué exigen sobre tus dependencias y qué te aporta LibWatch.

Fuente: https://libwatch.com/es/funcionalidades/conformidad-cra-nis2

Cumplimiento · Cyber Resilience Act y NIS2

Notificar una vulnerabilidad explotada en 24 horas, mantener un SBOM legible por máquina, controlar la cadena de suministro: estas son las obligaciones, sus fechas y la parte que puede asumir LibWatch.

[Preparar mis SBOM](https://app.libwatch.com/users/sign_up?locale=es)

Calendario

## Tres fechas que recordar del CRA

10/12/2024

### Entrada en vigor

El Reglamento (UE) 2024/2847, publicado en el Diario Oficial de la UE el 20/11/2024, entra en vigor.

11/09/2026

### Notificación en 24 horas

Desde esa fecha, toda vulnerabilidad explotada activamente en un producto debe notificarse a la ENISA y al CSIRT nacional.

11/12/2027

### Aplicación completa

Requisitos esenciales, SBOM y marcado CE para los productos comercializados.

Lo que dicen los textos

## Las obligaciones que afectan a tus dependencias

CRA · artículo 14

### Notificar una vulnerabilidad explotada en 24 horas

Alerta temprana en 24 horas, notificación detallada en 72 horas. Imposible sin saber, cada día, qué versiones incluyes.

CRA · anexo I, parte II

### Mantener una lista de materiales de software (SBOM)

En un formato habitual y legible por máquina, que cubra al menos las dependencias de primer nivel, y conservada junto con la documentación técnica.

NIS2 · artículo 21

### Controlar la seguridad de la cadena de suministro

Las entidades afectadas deben gestionar las vulnerabilidades de sus proveedores y de su software. Sus prestadores de servicios, agencias y consultoras, lo notan en sus contratos.

La parte de LibWatch

## Lo que aporta LibWatch y lo que te queda a ti

LibWatch da herramientas para la vigilancia y la documentación. No sustituye tu análisis de riesgos ni tu notificación.

| Requisito | Lo que aporta LibWatch | Lo que te queda a ti |
| --- | --- | --- |
| Saber rápido si te afecta una vulnerabilidad explotada | Vigilancia nocturna, catálogo KEV de la CISA y alertas del CERT-FR sobre tu versión de PHP | Evaluar el impacto en tu producto |
| SBOM legible por máquina | Exportación CycloneDX 1.5 y SPDX 2.3, validada contra los esquemas oficiales | Adjuntarlo a la documentación técnica y conservarlo |
| Notificación a la ENISA y al CSIRT | La lista de proyectos y versiones afectados | La notificación en sí |
| Componentes en fin de soporte | Seguimiento del fin de soporte de lenguajes y frameworks | Planificar las migraciones |

Esta página no es asesoramiento jurídico

Resume textos públicos (EUR-Lex, ANSSI). Para saber si tu producto o tu organización se ve afectado, busca asesoramiento.

Preguntas frecuentes

## CRA, NIS2 y dependencias

### ¿Tiene que ser público mi SBOM?

 No. El CRA exige poder facilitarlo a las autoridades cuando lo pidan; tus clientes también pueden exigirlo por contrato.

### ¿Afecta NIS2 a una agencia web?

 Rara vez de forma directa: NIS2 se dirige a sectores y tamaños de empresa concretos, como los proveedores de servicios informáticos gestionados a partir de una empresa mediana. Una agencia la encuentra sobre todo en sus clientes afectados, que trasladan sus requisitos de seguridad a los contratos.

### ¿Basta con un SBOM en Excel?

 Mejor evitarlo. El CRA pide un formato habitual y legible por máquina: en la práctica, CycloneDX o SPDX, que LibWatch exporta. Las herramientas de tus clientes o de las autoridades no procesan automáticamente una hoja de cálculo.

## Tu primer SBOM, en dos clics.

[Probar 14 días](https://app.libwatch.com/users/sign_up?locale=es)