Casi todos los resúmenes de la obligación de notificación del Reglamento de Ciberresiliencia la presentan como tres plazos contados desde el mismo momento: una alerta temprana en 24 horas, una notificación en 72 horas, un informe final en 14 días. Los dos primeros son correctos. El tercero es erróneo, y erróneo de un modo que importa el día en cuestión.
El artículo 14 del Reglamento (UE) 2024/2847 se aplica desde el 11 de septiembre de 2026. Aquí está lo que dice, y dónde empiezan realmente los 14 días.
Dos vías, tres plazos cada una
El artículo 14 establece dos vías de notificación separadas. El apartado 1 crea la obligación de notificar una vulnerabilidad explotada activamente en un producto con elementos digitales. El apartado 3 crea la obligación de notificar un incidente grave que afecte a la seguridad de tal producto. Ninguno de los dos apartados dice nada sobre plazos. Los plazos están en los apartados 2 y 4, cada uno de los cuales empieza con «a efectos de la notificación a que se refiere el apartado 1» (o 3) y enumera tres puntos.
Para una vulnerabilidad explotada activamente, artículo 14, apartado 2:
| Fase | Plazo | Corre desde |
|---|---|---|
| a) Alerta temprana | 24 horas | el conocimiento por el fabricante |
| b) Notificación de vulnerabilidad | 72 horas | el conocimiento por el fabricante |
| c) Informe final | 14 días | la disponibilidad de una medida correctora o de mitigación |
Para un incidente grave, artículo 14, apartado 4:
| Fase | Plazo | Corre desde |
|---|---|---|
| a) Alerta temprana | 24 horas | el conocimiento por el fabricante |
| b) Notificación de incidente | 72 horas | el conocimiento por el fabricante |
| c) Informe final | un mes | la presentación de la notificación de la letra b) |
Los dos informes finales tienen puntos de anclaje distintos, y ninguno de ellos es el conocimiento.
Qué significa para una vulnerabilidad
El artículo 14, apartado 2, letra c), dice, en su parte operativa: el informe final debe presentarse «a más tardar 14 días después de que esté disponible una medida correctora o de mitigación». La medida es el ancla. No la explotación, no el descubrimiento, no la notificación de 72 horas.
De ahí se siguen tres consecuencias, y en la práctica se equivocan en las tres.
El plazo del informe final puede no existir todavía. Si ha presentado la alerta temprana y la notificación y sigue trabajando en una corrección, no hay fecha. No una fecha lejana: ninguna fecha. Una herramienta que muestra «informe final el 25 de septiembre» catorce días después de que usted tuviera conocimiento ha inventado un plazo que el Reglamento no fija. Una herramienta que muestra «sin plazo hasta que haya disponible una medida correctora» está leyendo el texto.
Una solución provisional arranca el reloj, no solo un parche. La redacción es «medida correctora o de mitigación». Un cambio de configuración documentado, una función que pide a los clientes desactivar, una regla de red: si mitiga la explotación y usted la ha puesto a disposición, los 14 días han empezado, esté listo o no el parche de código. Los equipos que dan por hecho que el reloj espera a la versión llegarán tarde.
La fecha que debe registrar es cuándo estuvo disponible la medida, no cuándo la distribuyó. Un parche que se compila el lunes, se publica el miércoles y se anuncia el viernes: la lectura honesta es el miércoles, el día en que un usuario podía obtenerlo. Anote ese día en el momento, porque en el informe final lo describirá.
Qué significa para un incidente
El artículo 14, apartado 4, letra c), corre desde la presentación de la notificación de 72 horas, y el período es «un mes», un mes natural y no 30 días. El informe final no tiene plazo hasta que se presenta la notificación, y una vez presentada, el plazo queda fijado por el momento de la presentación y por nada más.
Los meses naturales tienen un caso límite que una hoja de cálculo hace mal. Una notificación presentada el 31 de enero se responde a más tardar el 28 de febrero (29 en año bisiesto), porque el 31 de febrero no existe y el mes acaba donde acaba. El software que suma 30 días cae en el 2 de marzo; el software que suma un mes con aritmética de fechas ingenua pasa a marzo. Ambos le regalan en silencio días que no tiene. Nuestra calculadora acota al final de mes, y es la misma función que ejecuta el producto, no una copia escrita para la página.
Por qué el conocimiento sigue siendo el momento que más importa
Nada de esto hace menos importante la marca de tiempo del conocimiento. Ancla dos de los tres plazos en ambas vías, y las directrices de la Comisión de 27 de julio de 2026 sitúan el umbral del conocimiento en un grado razonable de certeza de que una vulnerabilidad de su producto se está explotando activamente: ni el primer rumor, ni el análisis forense concluido. «Explotada activamente» se define en el artículo 3, punto 42, como una vulnerabilidad «respecto de la cual existen pruebas fiables de que un agente malicioso la ha explotado en un sistema sin permiso del propietario del sistema», lo que excluye las vulnerabilidades teóricas y las pruebas de concepto no explotadas.
Así que el registro que necesita son tres marcas de tiempo, no una:
- cuándo tuvo conocimiento, en el sentido de la Comisión;
- cuándo presentó la notificación de 72 horas;
- cuándo estuvo disponible una medida correctora o de mitigación.
La primera arranca los relojes de la alerta temprana y de la notificación. La segunda arranca el informe final del incidente. La tercera arranca el informe final de la vulnerabilidad. Un procedimiento que solo capture la primera producirá una fecha de informe final segura y errónea, y una empresa que se salte la real está en el tramo de sanción más alto conforme al artículo 64, apartado 2, junto a los propios requisitos del anexo I.
La versión corta para su procedimiento
- 24 horas y 72 horas corren desde el conocimiento, en ambas vías.
- El informe final de vulnerabilidad corre 14 días desde que está disponible una medida correctora o de mitigación. Hasta que la haya, no hay plazo, y debería decirlo en lugar de mostrar uno.
- El informe final de incidente corre un mes natural desde la notificación de 72 horas.
- Registre los tres momentos de anclaje cuando ocurran, porque el informe los pedirá.
Adónde va el informe es la otra mitad de la pregunta, y la respuesta es un equipo concreto en un Estado miembro concreto, elegido por una regla sobre su empresa y no sobre el incidente.
Fuentes
- Reglamento (UE) 2024/2847, artículo 14, apartados 1 a 4, leído en el texto consolidado de EUR-Lex; artículo 3 para la definición de vulnerabilidad explotada activamente; artículo 64, apartado 2, para el tramo de sanción; artículo 71, apartado 2, para la fecha de aplicación.
- Directrices de la Comisión Europea C(2026) 5252 de 27 de julio de 2026, sobre el significado del conocimiento y de la explotación activa.
Esto no es asesoramiento jurídico. El artículo 14 es corto, y las referencias a los apartados de arriba están ahí para que pueda comprobar la lectura en lugar de adoptarla.