ENISA, la Agencia de la UE para la Ciberseguridad, acaba de poner en funcionamiento la Plataforma Única de Notificación, (SPR según sus siglas en inglés), a fin de que el responsable de la puesta de productos conectados en la UE pueda cumplir con el requerimiento de obligatoriedad de información que entró en vigor el pasado 11 de septiembre de 2026.
La Plataforma Única de Notificación es una herramienta diseñada para que fabricantes, importadores, distribuidores o cualquier agente que introduzca un producto en el mercado europeo informen a las autoridades europeas en las 24 horas siguientes a la detección en sus productos de alguna vulnerabilidad explotada activamente o bien algún incidente grave de ciberseguridad.
En el caso de un fabricante europeo, la notificación debe realizarse mediante la citada plataforma al CSIRT (Computer Security Incident Response Team o Equipo de Respuesta a Incidentes de Seguridad Informática) del país en el que se ubiquen sus oficinas centrales, donde se tomen las decisiones principales relativas a la ciberseguridad de sus productos.
Si bien la notificación únicamente debe enviarse al CSIRT del país considerado (según se ha indicado previamente), es necesario informar sobre los países en que se comercializa el producto afectado, a fin de que la herramienta comparta dicha información de forma automática con el resto de CSIRT implicados.
Para el caso de España, la actuación como CSIRT está designada al Instituto Nacional de Ciberseguridad (INCIBE-CERT).
Si las oficinas centrales del fabricante del producto no están en un país de la Unión Europea, la notificación deberá realizarse en el país europeo que cuente con el mayor número de empleados de la empresa.
Para el caso de Representantes autorizados, Importadores o Distribuidores, las notificaciones deberán hacerse en el país europeo en el que pongan en el mercado la mayor cantidad de producto.
En el caso de que no existir ninguna de las personas jurídicas o física indicadas anteriormente, por ejemplo, si la venta se hace a través de plataformas online, la notificación se debe enviar al país europeo en el que exista el mayor número de usuarios del producto.
Para poder realizar las notificaciones consideradas en la Plataforma Única es necesario registrar al Representante Asignado de cada fabricante o responsable de la puesta en el mercado del producto, por lo que se aconseja realizar dicho registro previamente, antes de tener necesidad de realizar una notificación. La Plataforma Única de Notificación de ENISA, está disponible en https://portal.cra-srp.enisa.europa.eu/.
Tal y como ya hemos informado en otras ocasiones, AFME está haciendo un seguimiento continuo de la implementación del CRA a través del Grupo de Trabajo de Ciberseguridad. Cualquier empresa miembro de AFME interesada en participar en este Grupo puede ponerse en contacto con Carlos Vives (carlos.vives@afme.es).