Plataforma única de notificación

La plataforma única de notificación (Single Reporting Platform, SRP) es el portal web a través del cual los fabricantes envían las notificaciones que exige el Cyber Resilience Act (CRA): vulnerabilidades explotadas activamente e incidentes graves que afectan a sus productos. La gestiona la ENISA, la Agencia de la Unión Europea para la Ciberseguridad, con arreglo al artículo 16 del Reglamento (UE) 2024/2847. Se puso en marcha el 11 de septiembre de 2026, el día en que empezaron a aplicarse las obligaciones de notificación del CRA.

Qué se notifica y en qué plazos

Los fabricantes notifican dos tipos de hechos: una vulnerabilidad explotada activamente en un producto con elementos digitales y un incidente grave que afecta a la seguridad de un producto así. El reglamento define ambos conceptos. Cada uno sigue tres pasos:

Paso	Plazo	Se aplica a
Alerta temprana	En las 24 horas siguientes a tener conocimiento	Ambos
Notificación	En las 72 horas siguientes a tener conocimiento	Ambos
Informe final	En los 14 días siguientes a que haya una corrección o mitigación	Vulnerabilidades explotadas activamente
Informe final	En el mes siguiente a la notificación	Incidentes graves

Los plazos los fija el artículo 14 del CRA, no el portal, y la FAQ de la SRP de la ENISA los repite. La obligación abarca los productos que ya están en el mercado, no solo los que se introduzcan después de que el CRA se aplique en su totalidad. El artículo 14 exige además que los fabricantes informen a los usuarios afectados, y eso lo hacen ellos mismos: la plataforma llega a las autoridades, no a los clientes.

Quién recibe una notificación

Un fabricante presenta cada notificación una sola vez. Llega a la vez al CSIRT designado como coordinador en el Estado miembro del establecimiento principal del fabricante y a la ENISA, salvo en circunstancias particularmente excepcionales. El coordinador la reenvía a los CSIRT de los demás Estados miembros donde el producto está disponible. La ENISA publica la lista de coordinadores designados en su página de la SRP.

Una vez corregida una vulnerabilidad notificada, la ENISA puede divulgarla en la base europea de vulnerabilidades (EUVD), de acuerdo con el fabricante. La relación entre la EUVD y los identificadores CVE se explica en la entrada CVE.

Cómo funciona el acceso

Los fabricantes actúan en la plataforma mediante Assigned Representatives (AR). Cada AR inicia sesión con una cuenta personal de EU Login con autenticación multifactor. Un fabricante tiene un Primary AR, que puede invitar hasta a 20 Secondary AR, y estos pueden presentar y actualizar las notificaciones del fabricante. Un fabricante con varias sociedades en su grupo coordina internamente quién notifica por cada entidad.

Lo que la plataforma aún no hace

A noviembre de 2026, según la FAQ de la SRP:

• Sin API. La primera versión no ofrece interfaz de programación, así que las notificaciones se introducen en la interfaz web. La ENISA indica que una API podría considerarse en una fase posterior y que las organizaciones pueden automatizar sus propios flujos internos de notificación.
• Aún sin notificación voluntaria. Las notificaciones voluntarias del artículo 15, por ejemplo de una vulnerabilidad que no se está explotando activamente, están previstas para una fase posterior. Por ahora la plataforma solo acepta las notificaciones obligatorias.

La ENISA llama a la versión de lanzamiento su capacidad operativa inicial y prevé ampliarla. Su anuncio de lanzamiento indica además que las obligaciones de notificación de los administradores de software de código abierto (open-source software stewards) se aplican desde el 11 de diciembre de 2027.

Prepararse para notificar

Las 24 horas empiezan cuando usted tiene conocimiento de la explotación, así que la mayor parte del trabajo ocurre antes de que nadie inicie sesión:

• Registre a sus Assigned Representatives antes de necesitarlos, con un suplente en otra zona horaria.
• Acuerde de antemano quién decide que una vulnerabilidad se considera explotada activamente, y con qué rapidez.
• Mantenga, por versión, un registro de los componentes de cada producto, para poder nombrar los productos y versiones afectados en pocas horas. Vea SBOM en tiempo de build y ¿nos afecta una CVE?.
• Prepare el aviso a los usuarios afectados, ya que la plataforma no lo envía.
• Conserve el texto presentado y las marcas de tiempo en sus propios archivos.

CRACI prepara el contenido de las notificaciones del CRA (alerta temprana, notificación e informe final); una persona del fabricante las envía a través de la plataforma única de notificación.

Para el reglamento en su conjunto, vea qué es el CRA, la guía del CRA y la entrada del glosario CRA. Cómo lo gestiona en el día a día un equipo de seguridad de producto se explica en PSIRT.