Una empresa de software que lee sobre la alerta temprana de 24 horas del Cyber Resilience Act y una empresa que lee sobre la alerta temprana de 24 horas de NIS2 están leyendo dos normas distintas que eligieron los mismos números. El Reglamento (UE) 2024/2847, el CRA, impone la obligación al fabricante de un producto con elementos digitales, en el artículo 14. La Directiva (UE) 2022/2555, NIS2, la impone a las entidades esenciales e importantes, en el artículo 23, y el Reglamento de Ejecución (UE) 2024/2690 de la Comisión dice, para los proveedores de servicios en la nube y otros proveedores digitales, qué significa "significativo". Qué norma alcanza a una empresa de software se decide por lo que suministra: un producto que el cliente ejecuta, o un servicio al que el cliente accede. Este artículo trata de lo que ocurre después de esa decisión, cuando algo sale mal: los dos relojes uno al lado del otro, los umbrales y el único procedimiento que sirve a ambos.
Quién está bajo qué reloj
El artículo 14 del CRA se aplica al fabricante de un producto con elementos digitales introducido en el mercado de la UE, desde el 11 de septiembre de 2026, sea cual sea el tamaño de la empresa, también para los productos que ya están en el mercado. Los desencadenantes son una vulnerabilidad aprovechada activamente en el producto y un incidente grave que repercuta en la seguridad del producto; los dos se definen aquí.
El artículo 23 de NIS2 se aplica a una entidad esencial o importante: una entidad pública o privada "de alguno de los tipos mencionados en los anexos I o II" que sea al menos una mediana empresa según la Recomendación 2003/361/CE, es decir, ni micro ni pequeña, a grandes rasgos 50 empleados o más, o más de 10 millones de EUR tanto de volumen de negocios como de balance, "y que presten sus servicios o lleven a cabo sus actividades en la Unión" (artículo 2(1)). Los proveedores de servicios de computación en nube están en el anexo I bajo infraestructura digital, y el artículo 6(30) define un servicio de computación en nube como "un servicio digital que hace posible la administración bajo demanda y el acceso remoto amplio a un conjunto modulable y elástico de recursos informáticos que se pueden compartir". El artículo 2(2) enumera los casos que se aplican con independencia del tamaño, entre ellos los servicios DNS y de dominios de primer nivel, los prestadores de servicios de confianza y el proveedor único de un servicio esencial para actividades sociales o económicas críticas. El desencadenante es "cualquier incidente que tenga un impacto significativo en la prestación de sus servicios", un incidente significativo.
Una empresa que vende un cliente instalado respaldado por su propia nube, o que vende la misma funcionalidad como software y como servicio, puede estar bajo ambos: fabricante para el producto, entidad para el servicio. Las preguntas decisivas son las dos anteriores, formuladas por separado. La mitad de NIS2 la responde por escrito la herramienta de ámbito, con el tipo de entidad, la regla de tamaño y la ley del Estado.
Los dos relojes uno al lado del otro
| CRA artículo 14, el fabricante | NIS2 artículo 23, la entidad | |
|---|---|---|
| Desencadenante | Una vulnerabilidad aprovechada activamente en el producto, o un incidente grave que afecte a la seguridad del producto (14(1), 14(3)) | Un incidente significativo que afecte a la prestación de los servicios de la entidad (23(1), 23(3)) |
| Destinatario | El CSIRT designado como coordinador del Estado del establecimiento principal del fabricante, y la ENISA, simultáneamente (14(7)) | El CSIRT nacional de la entidad o, cuando el Estado así lo decida, su autoridad competente (23(1), 23(4)) |
| Canal | La plataforma única de notificación de la ENISA, y nada más cuenta (14(7), artículo 16) | Como lo disponga el Estado miembro; sin plataforma de la Unión |
| Alerta temprana | En las 24 horas siguientes a tener constancia; para una vulnerabilidad, los Estados miembros donde el producto está disponible (14(2)(a)); para un incidente, si se sospecha de actos ilícitos o malintencionados (14(4)(a)) | En las 24 horas siguientes a tener constancia; si se sospecha de actos ilícitos o malintencionados, y si puede haber repercusiones transfronterizas (23(4)(a)) |
| Notificación | En 72 horas: información general, una evaluación inicial, medidas adoptadas y disponibles para los usuarios, sensibilidad (14(2)(b), 14(4)(b)) | En 72 horas: una actualización de la alerta temprana, una evaluación inicial con gravedad e impacto, indicadores de compromiso cuando estén disponibles (23(4)(b)); 24 horas para los prestadores de servicios de confianza |
| Informe intermedio | A instancias del coordinador (14(6)) | A instancias del CSIRT o de la autoridad competente (23(4)(c)) |
| Informe final | Vulnerabilidad: en los 14 días siguientes a que esté disponible una medida correctora o paliativa (14(2)(c)); incidente: en el plazo de un mes desde la notificación de 72 horas (14(4)(c)) | En el plazo de un mes desde la notificación de 72 horas, con los mismos cuatro contenidos más las repercusiones transfronterizas; si el incidente sigue en curso, un informe de situación en ese momento y un informe final en el plazo de un mes desde su gestión (23(4)(d), (e)) |
| Respuesta que recibe usted | Ninguna prometida | Unos comentarios iniciales, cuando sea posible en las 24 horas siguientes a la recepción de la alerta temprana, orientación a petición, y una remisión a las autoridades policiales cuando se sospeche un delito (23(5)) |
| Usuarios y destinatarios | Informar a los usuarios afectados y, cuando proceda, a todos los usuarios, de la vulnerabilidad o el incidente y de las medidas que pueden adoptar (14(8)) | Notificar a los destinatarios los incidentes significativos que puedan afectarles, y las ciberamenazas significativas y sus soluciones (23(1), 23(2)) |
| Responsabilidad | "El mero acto de notificación ... no entrañará un incremento de la responsabilidad para la persona física o jurídica notificante" (artículo 17(4)) | "El mero acto de notificar no elevará la responsabilidad de la entidad notificante" (23(1)) |
Dos cosas son idénticas a propósito. El momento: ambos relojes corren desde que se "tiene constancia", y las directrices de la Comisión sobre el CRA dicen que alinearon su definición con el considerando 31 del reglamento de ejecución de NIS2, de modo que la misma prueba del grado razonable de certeza pone en marcha los dos. Y la estructura del informe final: un mes después de la notificación de 72 horas para un incidente bajo cualquiera de las dos normas. El único reloj que difiere en su naturaleza es el informe final sobre vulnerabilidades del CRA, que corre desde la corrección, no desde la constancia, y la mayoría de los resúmenes lo explican mal.
Qué significa "significativo" para un proveedor de nube
El artículo 23(3) de NIS2 hace significativo un incidente si "ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad afectada", o si "ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables". Para los proveedores digitales del artículo 3(1) del Reglamento de Ejecución, el Reglamento sustituye ese juicio por cifras. El artículo 3(1) se aplica a todos ellos; un incidente es significativo cuando se cumple uno o varios de estos criterios:
a) que el incidente haya causado o pueda causar a la entidad pertinente pérdidas financieras directas superiores a 500 000 EUR o al 5 % de su volumen de negocios total anual en el ejercicio financiero anterior, si esta cifra es inferior; b) que el incidente haya causado o pueda causar la exfiltración de secretos comerciales ...; c) que el incidente haya causado o pueda causar la muerte de una persona física; d) que el incidente haya causado o pueda causar daños considerables a la salud de una persona física; e) que se haya producido efectivamente el acceso presuntamente malicioso y no autorizado a los sistemas de redes y de información, lo que puede causar graves perturbaciones operativas;
más la regla de los incidentes recurrentes del artículo 4, incidentes que se hayan producido al menos dos veces en un plazo de seis meses, tengan la misma causa fundamental aparente y cumplan colectivamente el criterio financiero, y los criterios sectoriales de los artículos 5 a 14. El artículo 7, para los proveedores de servicios de computación en nube, añade cuatro, en los términos del Reglamento:
- un servicio de computación en nube está totalmente indisponible durante más de 30 minutos;
- la disponibilidad de un servicio de computación en nube está limitada para más del 5 % de los usuarios del servicio en la Unión, o para más de 1 millón de ellos, si esta cifra es menor, durante más de una hora;
- la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el servicio se ven comprometidas como consecuencia de una acción presuntamente malintencionada;
- los mismos datos se ven comprometidos y ello afecta a más del 5 % de los usuarios del servicio en la Unión, o a más de 1 millón de ellos, si esta cifra es menor.
El artículo 3(2) excluye "las interrupciones programadas del servicio y las consecuencias previstas de las operaciones de mantenimiento programadas". El artículo 3(3) dice cómo contar los usuarios: los clientes con contrato, y las personas físicas y jurídicas asociadas a clientes empresariales que utilicen el servicio. Los proveedores de servicios gestionados y de servicios de seguridad gestionados tienen los mismos cuatro criterios en el artículo 10; los centros de datos, las CDN, los mercados en línea, los motores de búsqueda, las redes sociales y los servicios de confianza tienen los suyos en los artículos 8, 9 y 11 a 14.
Leídos frente al incidente "grave" del CRA en el artículo 14(5), que pregunta si el incidente afecta a la capacidad del producto para proteger la confidencialidad, integridad, disponibilidad o autenticidad de datos o funciones sensibles o importantes, o introduce código malicioso, los umbrales de NIS2 tratan del servicio y sus usuarios: media hora de indisponibilidad total de un servicio en la nube es un incidente notificable bajo NIS2 sin más juicio, y un compromiso de datos por una acción presuntamente malintencionada lo es bajo las dos normas.
Un procedimiento, dos formularios
La empresa que está bajo las dos normas no necesita dos procesos de incidentes. Necesita una evaluación con dos resultados. El suceso sospechoso entra por los mismos canales; la evaluación inicial pregunta, con prontitud, primero si la seguridad de un producto está afectada o se está aprovechando una vulnerabilidad de un producto, y segundo si el servicio ha cruzado un umbral del artículo 3 o del artículo 7; la "constancia" se registra una vez, en UTC, con el razonamiento; y los dos relojes corren desde ahí hacia dos formularios, uno en la plataforma de la ENISA para el producto, otro por el canal nacional para el servicio. Los informes finales vencen el mismo mes, a los usuarios y a los destinatarios se les informa una vez, y el registro que muestra la cronología es el mismo registro.
La correspondencia de NIS2 con ISO 27001 sitúa la obligación de notificación entre las demás medidas del artículo 21; la página de plazos del CRA calcula los tres plazos del producto y nombra al coordinador de cada Estado. StandardOS mantiene los dos conjuntos de registros, con la marca de tiempo de la constancia y los plazos derivados de ella, en un solo lugar.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), artículo 2(1) y (2), artículo 6(30), artículo 21(1), artículo 23(1) a (5), anexo I.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, considerando 31, artículos 3, 4, 7, 10 y 5 a 14, leídos en EUR-Lex.
- Reglamento (UE) 2024/2847 (CRA), artículo 14(1) a (8), artículo 16, artículo 17(4), artículo 69(3).
- Comisión Europea, Directrices de la Comisión sobre la aplicación del Reglamento (UE) 2024/2847, C(2026) 5252 de 27 de julio de 2026, apartado 212.
- Recomendación 2003/361/CE de la Comisión, anexo, artículo 2, para las clases de tamaño.
Esto no es asesoramiento jurídico. NIS2 es una directiva, así que el destinatario, el canal y la forma de la notificación los fija la transposición de cada Estado miembro; el reloj y los umbrales anteriores son el texto de la Unión.