La lista de comprobación de obligaciones del CRA: 85 filas por función, un estado para cada una, un documento

# Obligaciones con arreglo al Reglamento de Ciberresiliencia, Fabricante

Preparado el  a partir del Reglamento (UE) 2024/2847 tal como se publicó en el Diario Oficial y se leyó el 12 de septiembre de 2026. No es asesoramiento jurídico.

El Reglamento se aplica desde el 11 de diciembre de 2027; las obligaciones de notificación del artículo 14 se aplican desde el 11 de septiembre de 2026 (artículo 71, apartado 2), a todo producto dentro del ámbito, con independencia de cuándo se introdujo en el mercado (artículo 69, apartado 3).

0 de 67 filas hechas, 0 en curso, 67 sin empezar, 0 no aplicables.

## Artículo 13: obligaciones de los fabricantes

### 13(1) · obligación
Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I.
Estado: Sin empezar · ISO 27001: A.8.25, A.8.27
Evidencia: [por completar]

### 13(2) · obligación
A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con elementos digitales y tendrán en cuenta el resultado de dicha evaluación durante las fases de planificación, diseño, desarrollo, producción, entrega y mantenimiento del producto con elementos digitales, con el objetivo de minimizar los riesgos de ciberseguridad, prevenir incidentes y reducir al mínimo sus repercusiones, incluidas las relacionadas con la salud y la seguridad de los usuarios.
Estado: Sin empezar · ISO 27001: Clause 6.1.2, A.8.26
Evidencia: [por completar]

### 13(3) · deber
La evaluación de los riesgos de ciberseguridad se documentará y actualizará según proceda durante un período de soporte que se determinará de conformidad con el apartado 8 del presente artículo. Dicha evaluación de los riesgos de ciberseguridad incluirá, como mínimo, un análisis de los riesgos de ciberseguridad basado en la finalidad prevista y el uso razonablemente previsible del producto con elementos digitales, así como sus condiciones de uso, tales como el entorno operativo o los activos que deben protegerse, teniendo en cuenta el período de tiempo durante el que se prevé que el producto esté en uso. La evaluación de los riesgos de ciberseguridad indicará si los requisitos de seguridad establecidos en el anexo I, parte I, punto 2, son aplicables al producto con elementos digitales en cuestión, y en caso afirmativo de qué manera, así como el modo en que se aplican en la práctica dichos requisitos sobre la base de la evaluación de los riesgos de ciberseguridad. También indicará cómo debe aplicar el fabricante el anexo I, parte I, punto 1, y los requisitos de gestión de las vulnerabilidades establecidos en el anexo I, parte II.
Estado: Sin empezar · ISO 27001: Clause 6.1.2, Clause 7.5, A.8.26
Evidencia: [por completar]

### 13(4) · deber
Al introducir en el mercado un producto con elementos digitales, el fabricante incluirá la evaluación de riesgos de ciberseguridad a que se refiere el apartado 3 del presente artículo en la documentación técnica exigida en virtud del artículo 31 y el anexo VII. En el caso de los productos con elementos digitales a que se refieren el artículo 12 a los que también se apliquen otros actos jurídicos de la Unión, la evaluación de los riesgos de ciberseguridad podrá formar parte de la evaluación de riesgos exigida por dichos actos jurídicos de la Unión. Cuando determinados requisitos esenciales de ciberseguridad no sean aplicables al producto con elementos digitales, el fabricante incluirá una justificación clara a tal efecto en la documentación técnica citada.
Estado: Sin empezar · ISO 27001: Clause 7.5
Evidencia: [por completar]

### 13(5) · obligación
A efectos del cumplimiento de lo dispuesto en el apartado 1, los fabricantes ejercerán la diligencia debida al integrar componentes procedentes de terceros de modo que estos componentes no comprometan la seguridad del producto con elementos digitales, también cuando se integren componentes de programas informáticos libres y de código abierto que no se hayan comercializado en el transcurso de una actividad comercial.
Estado: Sin empezar · ISO 27001: A.5.19, A.5.21, A.8.28
Evidencia: [por completar]

### 13(6) · deber
Cuando los fabricantes detecten una vulnerabilidad en un componente,también de código abierto, integrado en el producto con elementos digitales, notificarán la vulnerabilidad a la persona o entidad que fabrica o mantiene el componente y abordarán y subsanarán la vulnerabilidad de conformidad con los requisitos de gestión de las vulnerabilidades establecidas en el anexo I, parte II. Cuando los fabricantes hayan desarrollado una modificación de un programa o equipo informático para abordar la vulnerabilidad de dicho componente, compartirán el código o la documentación pertinentes con la persona o entidad que fabrica o mantiene el componente, en su caso en un formato legible por máquina.
Estado: Sin empezar · ISO 27001: A.5.21, A.8.8
Evidencia: [por completar]

### 13(7) · obligación
Los fabricantes documentarán sistemáticamente, de manera proporcionada a la naturaleza y a los riesgos de ciberseguridad, los aspectos pertinentes relativos a la ciberseguridad del producto con elementos digitales, incluidas las vulnerabilidades de las que tengan conocimiento y cualquier información pertinente facilitada por terceros, y, cuando corresponda, actualizarán la evaluación de los riesgos de ciberseguridad del producto.
Estado: Sin empezar · ISO 27001: Clause 7.5, A.8.8
Evidencia: [por completar]

### 13(8)-1 · obligación
Cuando los fabricantes introduzcan en el mercado un producto con elementos digitales, y durante el período de soporte, se asegurarán de que las vulnerabilidades de dicho producto, incluidos sus componentes, se gestionen de manera efectiva y de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II.
Estado: Sin empezar · ISO 27001: A.8.8
Evidencia: [por completar]

### 13(8)-2 · deber
Los fabricantes determinarán el período de soporte de manera que refleje el período de tiempo durante el cual se prevé que vaya a utilizarse el producto, teniendo en cuenta, en particular, las expectativas razonables de los usuarios, la naturaleza del producto,incluida su finalidad prevista, y el Derecho pertinente de la Unión que fija la vida útil del producto con elementos digitales. A la hora de determinar el período de soporte, los fabricantes también podrán tener en cuenta los períodos de soporte de productos con elementos digitales que ofrezcan una funcionalidad similar introducidos en el mercado por otros fabricantes, la disponibilidad del entorno operativo y los períodos de soporte de los componentes integrados que proporcionan las funciones principales y se obtienen de terceros, así como las orientaciones pertinentes facilitadas por el Grupo de Cooperación Administrativa (ADCO) específico establecido en virtud del artículo 52, apartado 15, y por la Comisión. Las cuestiones que deban tenerse en cuenta para determinar la duración del período de soporte se considerarán de manera que se garantice la proporcionalidad. Sin perjuicio de lo dispuesto en el párrafo segundo, el período de soporte será de al menos cinco años. Cuando se prevea que el producto con elementos digitales vaya a utilizarse durante menos de cinco años, el período de soporte corresponderá al tiempo de utilización previsto.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(8)-5 · deber
Los fabricantes incluirán en la documentación técnica establecida en el anexo VII la información que se haya tenido en cuenta para determinar el período de soporte de un producto con elementos digitales.
Estado: Sin empezar · ISO 27001: Clause 7.5
Evidencia: [por completar]

### 13(8)-6 · obligación
Los fabricantes contarán con políticas y procedimientos adecuados, incluidas las políticas de divulgación coordinada de vulnerabilidades a que se refiere el anexo I, parte II, punto 5, para tratar y subsanar las posibles vulnerabilidades del producto con elementos digitales comunicadas por fuentes internas o externas.
Estado: Sin empezar · ISO 27001: A.5.1, A.8.8
Evidencia: [por completar]

### 13(9) · obligación
Los fabricantes se asegurarán de que cada una de las actualizaciones de seguridad a que se refiere el anexo I, parte II, punto 8, que se haya puesto a disposición de los usuarios durante el período de soporte siga estando disponible tras su publicación durante un período mínimo de diez años o durante el resto del período de soporte si este plazo fuera más largo.
Estado: Sin empezar · ISO 27001: A.8.8
Evidencia: [por completar]

### 13(12) · deber
Antes de introducir en el mercado un producto con elementos digitales, los fabricantes elaborarán la documentación técnica especificada en el artículo 31. También pondrán en práctica o encargarán que se pongan en práctica los procedimientos de evaluación de la conformidad de su elección a que se refiere el artículo 32. Cuando mediante dicho procedimiento de evaluación de la conformidad se haya demostrado la conformidad del producto con elementos digitales con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I, y la conformidad de los procesos establecidos por el fabricante con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte II, los fabricantes elaborarán la declaración UE de conformidad con arreglo al artículo 28 y colocarán el marcado CE de conformidad con el artículo 30.
Estado: Sin empezar · ISO 27001: Clause 7.5
Evidencia: [por completar]

### 13(13) · deber
Los fabricantes mantendrán la documentación técnica y la declaración UE de conformidad a disposición de las autoridades de vigilancia del mercado durante un mínimo de diez años a partir de la introducción en el mercado del producto con elementos digitales, o durante el período de soporte si este plazo fuera más largo.
Estado: Sin empezar · ISO 27001: Clause 7.5, A.5.33
Evidencia: [por completar]

### 13(14) · obligación
Los fabricantes se asegurarán de que existan procedimientos para que los productos con elementos digitales que formen parte de una producción en serie mantengan su conformidad con el presente Reglamento. Los fabricantes tomarán debidamente en consideración los cambios en el proceso de desarrollo y producción o en el diseño o las características del producto con elementos digitales, así como los cambios en las normas armonizadas, en los esquemas europeos de certificación de la ciberseguridad o en las especificaciones técnicas a que se refiere el artículo 27 en virtud de las cuales se declara, o por aplicación de las cuales se verifica, la conformidad del producto.
Estado: Sin empezar · ISO 27001: A.8.32
Evidencia: [por completar]

### 13(15) · deber
Los fabricantes se asegurarán de que sus productos con elementos digitales llevan un número de tipo, lote o serie o cualquier otro elemento que permita su identificación o, cuando esto no sea posible, de que dicha información figura en su embalaje o en un documento que acompañe al producto con elementos digitales.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(16) · deber
Los fabricantes indicarán su nombre, nombre comercial registrado o marca registrada,así como su dirección postal, su dirección de correo electrónico u otros datos de contacto digitales y, en su caso, el sitio web en el que se les puede contactar, en el producto con elementos digitales, en su embalaje o en un documento que acompañe al producto con elementos digitales. Dicha información también se incluirá en la información y las instrucciones para el usuario que figuran en el anexo II. Los datos de contacto figurarán en una lengua fácilmente comprensible para los usuarios y las autoridades de vigilancia del mercado.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(17) · deber
A efectos del presente Reglamento, los fabricantes designarán un punto de contacto único que permita a los usuarios comunicarse directa y rápidamente con ellos, también para facilitar la notificación de vulnerabilidades del producto con elementos digitales. Los fabricantes se asegurarán de que los usuarios puedan identificar fácilmente el punto de contacto único. También incluirán el punto de contacto único en la información y las instrucciones para el usuario que figuran en el anexo II. El punto de contacto único permitirá a los usuarios elegir los medios de comunicación que prefieran y no limitará dichos medios a herramientas automatizadas.
Estado: Sin empezar · ISO 27001: A.8.8
Evidencia: [por completar]

### 13(18) · deber
Los fabricantes se asegurarán de que los productos con elementos digitales vayan acompañados de la información y las instrucciones para el usuario especificadas en el anexo II, en papel o en formato electrónico. Dichas instrucciones e información se facilitarán en una lengua fácilmente comprensible para los usuarios y las autoridades de vigilancia del mercado. Serán claras, comprensibles, inteligibles y legibles. Permitirán la instalación, el funcionamiento y el uso seguros de los productos con elementos digitales. Los fabricantes mantendrán la información y las instrucciones para el usuario a que se refiere el anexo II a disposición de los usuarios y de las autoridades de vigilancia del mercado durante un mínimo de diez años a partir de la introducción en el mercado del producto con elementos digitales, o durante el período de soporte si este plazo fuera más largo. Cuando la información y las instrucciones citadas se faciliten en línea, los fabricantes se asegurarán de que sean accesibles y fáciles de usar y permanezcan disponibles en línea durante un mínimo de diez años a partir de la introducción en el mercado del producto con elementos digitales, o durante el período de soporte si este plazo fuera más largo.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(19) · deber
Los fabricantes se asegurarán de que la fecha final del período de soporte a que se refiere el apartado 8, incluidos al menos el mes y el año, se especifique de manera clara y comprensible en el momento de la compra, de manera fácilmente accesible y, en su caso, en el producto con elementos digitales, en su embalaje o por medios digitales. Cuando sea técnicamente viable habida cuenta de la naturaleza del producto con elementos digitales, los fabricantes mostrarán una notificación a los usuarios que les informe de que su producto con elementos digitales ha alcanzado el final de su período de soporte.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(20) · deber
Los fabricantes facilitarán una copia de la declaración UE de conformidad o una declaración UE de conformidad simplificada junto con el producto con elementos digitales. Cuando se facilite una declaración UE de conformidad simplificada, esta contendrá la dirección de internet exacta en la que se pueda acceder a la declaración UE de conformidad íntegra.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 13(21) · deber
Desde la introducción en el mercado de un producto con elementos digitales y durante el período de soporte, los fabricantes que sepan o tengan motivos para creer que el producto con elementos digitales o los procesos establecidos por el fabricante no son conformes con los requisitos esenciales de ciberseguridad establecidos en el anexo I adoptarán inmediatamente las medidas correctoras necesarias para poner en conformidad el producto con elementos digitales o los procesos del fabricante, para retirar el producto del mercado o para recuperarlo, según proceda.
Estado: Sin empezar · ISO 27001: Clause 10.2
Evidencia: [por completar]

### 13(22) · deber
Previa solicitud motivada de una autoridad de vigilancia del mercado, los fabricantes facilitarán a esa autoridad, bien en papel o bien en formato electrónico y redactadas en una lengua fácilmente comprensible para dicha autoridad, toda la información y documentación necesarias para demostrar la conformidad del producto con elementos digitales y de los procesos establecidos por el fabricante con los requisitos esenciales de ciberseguridad establecidos en el anexo I. Los fabricantes cooperarán con dicha autoridad, a petición de esta, en cualquier medida que se adopte para eliminar los riesgos de ciberseguridad que presente el producto con elementos digitales que hayan introducido en el mercado.
Estado: Sin empezar · ISO 27001: Clause 7.5, A.5.5
Evidencia: [por completar]

### 13(23) · deber
El fabricante que cese sus actividades y, en consecuencia, no pueda cumplir el presente Reglamento informará del próximo cese de las actividades, antes de que dicho cese surta efecto, a las autoridades de vigilancia del mercado pertinentes, así como, por cualquier medio disponible y en la medida de lo posible, a los usuarios de los correspondientes productos con elementos digitales introducidos en el mercado.
Estado: Sin empezar · ISO 27001: A.5.5
Evidencia: [por completar]

## Anexo I: los requisitos esenciales de ciberseguridad

### I.1 · requisito esencial
Los productos con elementos digitales se diseñarán, desarrollarán y producirán de manera que garanticen un nivel adecuado de ciberseguridad sobre la base de los riesgos existentes.
Estado: Sin empezar · ISO 27001: Clause 6.1.2, A.5.8, A.8.25
Evidencia: [por completar]

### I.2 · lectura
Sobre la base de la evaluación de riesgos de ciberseguridad a la que hace referencia el artículo 13, apartado 2, y cuando proceda, los productos con elementos digitales:
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### I.2.a · requisito esencial
se comercializarán sin vulnerabilidades aprovechables conocidas
Estado: Sin empezar · ISO 27001: A.8.8, A.8.29
Evidencia: [por completar]

### I.2.b · requisito esencial
se comercializarán con una configuración segura por defecto, a menos que el fabricante y el usuario profesional acuerden otra cosa en relación con un producto a medida con elementos digitales, incluida la posibilidad de restablecer el producto a su estado original
Estado: Sin empezar · ISO 27001: A.8.9, A.8.26
Evidencia: [por completar]

### I.2.c · requisito esencial
garantizarán que las vulnerabilidades puedan abordarse mediante actualizaciones de seguridad, incluidas, cuando proceda, las actualizaciones automáticas de seguridad instaladas en un plazo adecuado habilitadas como configuración por defecto, con un mecanismo de exclusión voluntaria claro y fácil de utilizar, mediante la notificación de las actualizaciones disponibles a los usuarios y la opción de posponerlas temporalmente
Estado: Sin empezar · ISO 27001: A.8.8, A.8.32
Evidencia: [por completar]

### I.2.d · requisito esencial
garantizarán la protección contra el acceso no autorizado mediante mecanismos de control adecuados, incluidos, entre otros, sistemas de gestión de la autenticación, la identidad o el acceso, e informarán de posibles accesos no autorizados
Estado: Sin empezar · ISO 27001: A.8.26, A.8.5, A.5.15, A.5.16, A.5.17
Evidencia: [por completar]

### I.2.e · requisito esencial
protegerán la confidencialidad de los datos personales o de otro tipo almacenados, transmitidos o tratados de otro modo, mediante, por ejemplo, el cifrado de los datos en reposo o en tránsito pertinentes por medio de mecanismos de última tecnología, o mediante la utilización de otros medios técnicos
Estado: Sin empezar · ISO 27001: A.8.26, A.8.24
Evidencia: [por completar]

### I.2.f · requisito esencial
protegerán la integridad de los datos personales o de otro tipo almacenados, transmitidos o tratados de otro modo, los comandos, los programas y la configuración frente a toda manipulación o modificación no autorizada por el usuario, e informarán sobre los casos de corrupción de datos
Estado: Sin empezar · ISO 27001: A.8.26, A.8.24, A.8.9
Evidencia: [por completar]

### I.2.g · requisito esencial
tratarán únicamente los datos personales o de otro tipo que sean adecuados, pertinentes y limitados a lo que sea necesario para la finalidad prevista del producto con elementos digitales («minimización de datos»)
Estado: Sin empezar · ISO 27001: A.8.26, A.5.34
Evidencia: [por completar]

### I.2.h · requisito esencial
protegerán la disponibilidad de funciones esenciales y básicas, también tras un incidente, también mediante medidas de resiliencia frente a ataques de denegación de servicio y paliativas de sus efectos
Estado: Sin empezar · ISO 27001: A.8.26, A.8.6, A.8.14
Evidencia: [por completar]

### I.2.i · requisito esencial
minimizarán las repercusiones negativas de los propios productos o de los dispositivos conectados en la disponibilidad de servicios prestados por otros dispositivos o redes
Estado: Sin empezar · ISO 27001: A.8.27, A.8.20
Evidencia: [por completar]

### I.2.j · requisito esencial
estarán diseñados, desarrollados y producidos para limitar las superficies de ataque, incluidas las interfaces externas
Estado: Sin empezar · ISO 27001: A.8.27, A.8.9
Evidencia: [por completar]

### I.2.k · requisito esencial
estarán diseñados, desarrollados y producidos para reducir el impacto de un incidente, por medio de mecanismos y técnicas adecuados para paliar el aprovechamiento de las vulnerabilidades
Estado: Sin empezar · ISO 27001: A.8.27, A.8.28
Evidencia: [por completar]

### I.2.l · requisito esencial
proporcionarán información relacionada con la seguridad mediante el registro o el seguimiento de la actividad interna pertinente, incluidos el acceso a datos, servicios o funciones y la modificación de estos, con un mecanismo de exclusión voluntaria para el usuario
Estado: Sin empezar · ISO 27001: A.8.26, A.8.15, A.8.16
Evidencia: [por completar]

### I.2.m · requisito esencial
ofrecerán a los usuarios la posibilidad de eliminar de manera segura y fácil, de forma permanente, todos los datos y parámetros y, cuando esos datos puedan transferirse a otros productos o sistemas, garantizarán que esto se haga de manera segura.
Estado: Sin empezar · ISO 27001: A.8.26, A.8.10
Evidencia: [por completar]

### II.1 · requisito esencial
identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto
Estado: Sin empezar · ISO 27001: A.8.8, A.5.9
Evidencia: [por completar]

### II.2 · requisito esencial
por lo que respecta a los riesgos para los productos con elementos digitales, abordarán y subsanarán las vulnerabilidades sin demora, también mediante la provisión de actualizaciones de seguridad; cuando sea técnicamente viable, las nuevas actualizaciones de seguridad se facilitarán por separado con respecto a las actualizaciones de funcionalidad
Estado: Sin empezar · ISO 27001: A.8.8, A.8.32
Evidencia: [por completar]

### II.3 · requisito esencial
llevarán a cabo exámenes y pruebas eficaces y periódicos de la seguridad del producto con elementos digitales
Estado: Sin empezar · ISO 27001: A.8.29, A.8.8, A.5.35
Evidencia: [por completar]

### II.4 · requisito esencial
una vez esté disponible una actualización de seguridad, compartirán y divulgarán públicamente información sobre las vulnerabilidades solucionadas, incluidas una descripción de las vulnerabilidades, información que permita a los usuarios identificar el producto con elementos digitales afectado, las repercusiones y la gravedad de las vulnerabilidades e información clara y accesible que ayude a los usuarios a corregir las vulnerabilidades; en casos debidamente justificados, cuando los fabricantes consideren que los riesgos para la seguridad de la publicación superan los beneficios en materia de seguridad, podrán retrasar la publicación de información sobre una vulnerabilidad solucionada hasta que se haya dado a los usuarios la posibilidad de aplicar el parche correspondiente
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### II.5 · requisito esencial
pondrán en marcha y aplicarán una política de divulgación coordinada de vulnerabilidades
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### II.6 · requisito esencial
adoptarán medidas para facilitar el intercambio de información sobre posibles vulnerabilidades de su producto con elementos digitales, así como de los componentes de terceros presentes en el producto, también proporcionando una dirección de contacto para la notificación de las vulnerabilidades descubiertas en el producto con elementos digitales
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### II.7 · requisito esencial
preverán mecanismos para distribuir de manera segura las actualizaciones de los productos con elementos digitales, con el fin de garantizar que las vulnerabilidades se solucionen o se reduzcan de manera oportuna y, cuando proceda para las actualizaciones automáticas, de una manera automática
Estado: Sin empezar · ISO 27001: A.8.24, A.8.32
Evidencia: [por completar]

### II.8 · requisito esencial
garantizarán que, cuando se disponga de actualizaciones de seguridad para hacer frente a los problemas de seguridad detectados, estos se difundan sin demora y, a menos que el fabricante y el usuario profesional acuerden otra cosa en relación con un producto a medida con elementos digitales, de forma gratuita, acompañados de mensajes de aviso que proporcionen a los usuarios la información pertinente, también en relación con las posibles medidas que deban adoptarse.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

## Artículo 14: obligaciones de notificación

### 14(1) · deber
Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en virtud del artículo 16.
Estado: Sin empezar · ISO 27001: A.5.5, A.5.24
Evidencia: [por completar]

### 14(2)(a) · plazo
una notificación de alerta temprana de la vulnerabilidad aprovechada activamente, sin demora indebida y, en todo caso, en un plazo de veinticuatro horas desde que el fabricante haya tenido conocimiento de ella, que indique, cuando proceda, los Estados miembros en cuyo territorio el fabricante tenga conocimiento de que se ha comercializado su producto con elementos digitales
Estado: Sin empezar · ISO 27001: A.5.24, A.5.26 · Plazo: en las 24 horas siguientes a tener conocimiento
Evidencia: [por completar]

### 14(2)(b) · plazo
a menos que ya se haya facilitado la información pertinente, una notificación de la vulnerabilidad, sin demora indebida y, en todo caso, en un plazo de setenta y dos horas a partir del momento en que el fabricante haya tenido conocimiento de la vulnerabilidad aprovechada activamente, que proporcionará la información general disponible sobre el producto con elementos digitales en cuestión, la naturaleza general de la vulnerabilidad en cuestión y el modo en que es aprovechada, así como sobre las medidas correctoras o paliativas adoptadas y las medidas correctoras o paliativas que los usuarios pueden adoptar, y que también indicará, cuando proceda, en qué medida el fabricante considera sensible la información notificada
Estado: Sin empezar · ISO 27001: A.5.24, A.5.26 · Plazo: en las 72 horas siguientes a tener conocimiento
Evidencia: [por completar]

### 14(2)(c) · plazo
a menos que ya se haya facilitado la información pertinente, un informe final, a más tardar catorce días después de que se disponga de una medida correctora o paliativa, que incluya, como mínimo, lo siguiente: (i) una descripción de la vulnerabilidad, que incluya su gravedad y sus repercusiones, (ii) cuando se disponga de ella, información relativa a cualquier agente malintencionado que haya aprovechado o esté aprovechando la vulnerabilidad, (iii) detalles sobre la actualización de seguridad u otras medidas correctoras disponibles para subsanar la vulnerabilidad.
Estado: Sin empezar · ISO 27001: A.5.24, A.5.27, A.8.8 · Plazo: en los 14 días siguientes a que esté disponible una medida correctora o de mitigación
Evidencia: [por completar]

### 14(3) · deber
Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier incidente grave que repercuta en la seguridad de un producto con elementos digitales del que tengan conocimiento. El fabricante notificará dicho incidente a través de la plataforma única de notificación establecida en virtud del artículo 16.
Estado: Sin empezar · ISO 27001: A.5.5, A.5.24
Evidencia: [por completar]

### 14(4)(a) · plazo
una notificación de alerta temprana del incidente grave que repercute en la seguridad de un producto con elementos digitales, sin demora indebida y, en todo caso, en un plazo de veinticuatro horas desde que el fabricante haya tenido conocimiento de él, que indique como mínimo si se sospecha que el incidente se debe a actos ilegales o malintencionados y que también indicará, cuando proceda, los Estados miembros en cuyo territorio el fabricante tenga conocimiento de que se ha comercializado su producto con elementos digitales
Estado: Sin empezar · ISO 27001: A.5.24, A.5.26 · Plazo: en las 24 horas siguientes a tener conocimiento
Evidencia: [por completar]

### 14(4)(b) · plazo
a menos que ya se haya facilitado la información pertinente, una notificación del incidente, sin demora indebida y, en todo caso, en un plazo de setenta y dos horas a partir del momento en que el fabricante haya tenido conocimiento del incidente, que proporcionará la información general disponible sobre la naturaleza del incidente, una evaluación inicial de este, así como información sobre las medidas correctoras o paliativas adoptadas y las medidas correctoras o paliativas que los usuarios pueden adoptar, y que también indicará, cuando proceda, hasta qué punto el fabricante considera sensible la información notificada
Estado: Sin empezar · ISO 27001: A.5.24, A.5.26 · Plazo: en las 72 horas siguientes a tener conocimiento
Evidencia: [por completar]

### 14(4)(c) · plazo
a menos que ya se haya facilitado la información pertinente, un informe final, en el plazo de un mes después de presentar la notificación del incidente contemplada en la letra b), en el que se recojan al menos los siguientes elementos: (i) una descripción detallada del incidente, que incluya su gravedad y sus repercusiones, (ii) el tipo de amenaza o causa principal que probablemente haya desencadenado el incidente, (iii) las medidas paliativas aplicadas y en curso.
Estado: Sin empezar · ISO 27001: A.5.24, A.5.27 · Plazo: en el 1 mes siguiente a la presentación de la notificación
Evidencia: [por completar]

### 14(5) · lectura
A efectos del apartado 3, un incidente que repercuta en la seguridad de un producto con elementos digitales se considerará grave cuando: (a) afecte o puede afectar negativamente a la capacidad de un producto con elementos digitales para proteger la disponibilidad, autenticidad, integridad o confidencialidad de datos o funciones sensibles o importantes, o (b) haya llevado o pueda llevar a la introducción o ejecución de código malicioso en un producto con elementos digitales o en la red y los sistemas de información de un usuario del producto con elementos digitales.
Estado: Sin empezar · ISO 27001: A.5.25
Evidencia: [por completar]

### 14(6) · deber
En caso necesario, el CSIRT designado como coordinador que reciba inicialmente la notificación podrá solicitar a los fabricantes que faciliten un informe provisional con actualizaciones pertinentes de la situación relativas a la vulnerabilidad aprovechada activamente o al incidente grave que repercute en la seguridad de un producto con elementos digitales.
Estado: Sin empezar · ISO 27001: A.5.24
Evidencia: [por completar]

### 14(7) · deber
Las notificaciones a que se refieren los apartados 1 y 3 del presente artículo se presentarán a través de la plataforma única de notificación a que se refiere el artículo 16, utilizando uno de los nodos finales para notificaciones electrónicas a que se refiere el artículo 16, apartado 1. La notificación se presentará utilizando el nodo final para notificaciones electrónicas del CSIRT designado como coordinador del Estado miembro en el que el fabricante tenga su establecimiento principal en la Unión, y será accesible simultáneamente para la ENISA. A efectos del presente Reglamento, se considerará que el establecimiento principal en la Unión del fabricante se encuentra en el Estado miembro en el que se adopten de forma predominante las decisiones relativas a la ciberseguridad de sus productos con elementos digitales. Si no puede determinarse dicho Estado miembro, se considerará que el establecimiento principal se encuentra en el Estado miembro en el que el fabricante de que se trate tenga el establecimiento con mayor número de trabajadores en la Unión. Cuando un fabricante no tenga un establecimiento principal en la Unión, presentará las notificaciones a que se refieren los apartados 1 y 3 utilizando el nodo final para notificaciones electrónicas del CSIRT designado como coordinador en el Estado miembro que se determine según la siguiente prelación y sobre la base de la información de que disponga el fabricante: (a) el Estado miembro en el que esté establecido el representante autorizado que actúe en nombre del fabricante para el mayor número de productos con elementos digitales de dicho fabricante; (b) el Estado miembro en el que esté establecido el importador que introduzca en el mercado el mayor número de productos con elementos digitales de dicho fabricante; (c) el Estado miembro en el que esté establecido el distribuidor que comercialice el mayor número de productos con elementos digitales de dicho fabricante; (d) el Estado miembro en el que esté situado el mayor número de usuarios de productos con elementos digitales de dicho fabricante. En relación con el párrafo tercero, letra d), un fabricante podrá presentar notificaciones relacionadas con cualquier vulnerabilidad posterior aprovechada activamente, o cualquier incidente grave posterior que repercuta en la seguridad de un producto con elementos digitales, al mismo CSIRT designado como coordinador al que haya presentado la primera notificación.
Estado: Sin empezar · ISO 27001: A.5.5
Evidencia: [por completar]

### 14(8) · deber
Una vez tenga conocimiento de una vulnerabilidad aprovechada activamente o de un incidente grave con repercusiones en la seguridad de un producto con elementos digitales, el fabricante informará a los usuarios afectados del producto con elementos digitales,y, cuando proceda, a todos los usuarios, sobre la dicha vulnerabilidad o incidente y, cuando así se requiera, sobre cualquier reducción de riesgos y las medidas correctoras que los usuarios puedan adoptar para atenuar las repercusiones de la vulnerabilidad o del incidente, en su caso en un formato legible por máquina estructurado que sea fácilmente susceptible de tratamiento automatizado. Cuando el fabricante no informe en el plazo oportuno a los usuarios del producto con elementos digitales, los CSIRT designados como coordinadores que hayan sido notificados podrán facilitar dicha información a los usuarios cuando se considere proporcionado y necesario para prevenir o mitigar las repercusiones de la vulnerabilidad o el incidente en cuestión.
Estado: Sin empezar · ISO 27001: A.5.24, A.5.26
Evidencia: [por completar]

## Funciones, trazabilidad, transición y fechas: artículos 21 a 23, 69 y 71

### 22(1) · obligación
A los efectos del presente Reglamento, se considerará fabricante a una persona física o jurídica, distinta del fabricante, el importador o el distribuidor, que lleve a cabo una modificación sustancial de un producto con elementos digitales y comercialice dicho producto.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 22(2) · obligación
La persona a que se refiere el apartado 1 del presente artículo deberá cumplir las obligaciones establecidas en los artículos 13 y 14 con respecto a la parte del producto con elementos digitales afectada por la modificación sustancial o, si la modificación sustancial afecta a la ciberseguridad del producto con elementos digitales en su conjunto, con respecto a la totalidad del producto.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 23(1) · deber
Previa solicitud, los operadores económicos facilitarán la siguiente información a las autoridades de vigilancia del mercado: (a) el nombre y la dirección de cualquier operador económico que les haya suministrado un producto con elementos digitales; (b) cuando dispongan de ellos, el nombre y la dirección de cualquier operador económico al que hayan suministrado un producto con elementos digitales.
Estado: Sin empezar · ISO 27001: A.5.5, A.5.19
Evidencia: [por completar]

### 23(2) · deber
Los operadores económicos deberán estar en condiciones de aportar la información a que se refiere el apartado 1 durante diez años a partir de que se les haya suministrado el producto con elementos digitales y durante diez años a partir de que ellos hayan suministrado el producto con elementos digitales.
Estado: Sin empezar · ISO 27001: A.5.33
Evidencia: [por completar]

### 69(2) · obligación
Los productos con elementos digitales que hayan sido introducidos en el mercado antes del 11 de diciembre de 2027 estarán sujetos a los requisitos establecidos en el presente Reglamento únicamente si, a partir de dicha fecha, los productos mencionados se ven sometidos a una modificación sustancial.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 69(3) · obligación
Como excepción a lo dispuesto en el apartado 2 del presente artículo, las obligaciones establecidas en el artículo 14 se aplicarán a todos los productos con elementos digitales que entren en el ámbito de aplicación del presente Reglamento y hayan sido introducidos en el mercado antes del 11 de diciembre de 2027.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto
Evidencia: [por completar]

### 71(2) · plazo
El presente Reglamento será aplicable a partir del 11 de diciembre de 2027.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto · Plazo: se aplica desde el 11 de diciembre de 2027
Evidencia: [por completar]

### 71(2)-2 · plazo
No obstante, el artículo 14 será aplicable a partir del 11 de septiembre de 2026 y el capítulo IV (artículos 35 a 51) será aplicable a partir del 11 de junio de 2026.
Estado: Sin empezar · ISO 27001: nada del anexo A produce esto · Plazo: se aplica desde el 11 de septiembre de 2026
Evidencia: [por completar]

Un importador o distribuidor que introduce un producto en el mercado con su propio nombre o marca, o que lo modifica sustancialmente, es fabricante (artículo 21), como lo es cualquier otra persona que modifica sustancialmente un producto y lo comercializa (artículo 22). Un administrador de software de código abierto solo asume las filas del artículo 14 en la medida del artículo 24, apartado 3.

Esta lista se redacta a partir del texto del Reglamento con los estados indicados. No es asesoramiento jurídico; las referencias ISO 27001 son la lectura de StandardOS, y el Reglamento no concede presunción de conformidad alguna más allá del artículo 27.