La Comisión Europea confirma que desde el 11 de septiembre de 2026 los fabricantes deben notificar vulnerabilidades explotadas activamente e incidentes graves que afecten a productos con elementos digitales. Esta noticia explica un hito de septiembre; no anuncia la aplicación íntegra del reglamento hoy.
La Comisión establece una alerta temprana en las 24 horas siguientes al conocimiento y una notificación completa en 72 horas. Se utiliza la plataforma única de notificación del CRA. Son plazos de comunicación regulatoria, no una promesa de entregar al consumidor un parche en ese mismo intervalo.
Las obligaciones principales se aplicarán desde el 11 de diciembre de 2027. La Comisión sitúa también en esa fecha posterior las obligaciones de notificación de los administradores de software de código abierto. Sería incorrecto atribuir ya el calendario de fabricantes a cualquier proyecto de software.
Al comprar un router, una cámara o software, pide el periodo declarado de soporte de seguridad, las instrucciones de actualización y el contacto para vulnerabilidades. El hito de septiembre no demuestra que un modelo haya superado una evaluación de seguridad. Este resumen para compradores no determina las obligaciones legales de una empresa concreta.