Funciones
Notificaciones CRA, PSIRT y SBOM
Una investigadora comunica un fallo en su producto. A partir de ahí todos saben dónde está el aviso, qué plazo corre y qué se les dirá a sus clientes.
Los avisos de vulnerabilidades llegan por correo a un buzón cualquiera, y si hay que notificar a la autoridad se decide bajo presión de tiempo.
Cómo le ayuda Complass
Recibir los avisos en un solo lugar
Un formulario de aviso propio para su empresa, además de security.txt según la RFC 9116 y un borrador de su política de divulgación coordinada, que usted revisa y adapta.
Evaluación con estado claro
Recibido, en evaluación, confirmado, corregido, publicado: cada aviso tiene su estado y sus notas. Si la recepción no se confirma pasados 5 días hábiles, Complass se lo recuerda.
La obligación de notificar del art. 14 del CRA, a la vista
Si la vulnerabilidad se explota activamente, usted crea directamente desde el aviso un incidente CRA: alerta temprana, notificación, informe final, informe intermedio a petición e información a los usuarios, cada uno con plazo calculado y los contenidos exigidos.
No olvidar a los proveedores
Si la vulnerabilidad está en un componente integrado, Complass le recuerda que debe informar al fabricante del componente.
Aviso de seguridad para sus clientes
A partir del aviso se crea un aviso de seguridad en formato CSAF, si lo desea aprobado por una segunda persona, publicado en su página de avisos y enviado por correo electrónico a sus suscriptores, con justificante de envío.
Base jurídica y normativa
- Art. 13 CRAArtículo 13 Reglamento de Ciberresiliencia Obligaciones de los fabricantes1. Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I. 2. A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtículo 14 Reglamento de Ciberresiliencia Obligaciones de información de los fabricantes1. Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- CRA anexo I parte II
- BSI TR-03183-2
- RFC 9116
Calcular gratis los plazos de notificación de la CRA, sin registro
Esta página describe funciones de Complass y no constituye asesoramiento jurídico.
SBOM: saber qué lleva el producto desde Professional: SBOM, comparar planes
SBOM por producto y versión
Importación desde CycloneDX 1.4 a 1.6 y SPDX 2.2 y 2.3, desde Excel o mediante script de recopilación. Con «Guardar estado» se crea una versión inmutable con suma de verificación.
Qué ha cambiado
Comparar dos versiones: componentes añadidos, eliminados y modificados de un vistazo.
Exportación según BSI TR-03183-2
CycloneDX 1.6, SPDX 2.3 y SPDX 3.0.1 así como VEX, comprobados antes de la salida frente a los campos obligatorios.
Expediente de ciberseguridad CE, CSAF y VEX en la página de conformidad del producto
Preguntas frecuentes
¿Complass presenta la notificación a ENISA?
No. Complass calcula los plazos y prepara los contenidos de cada fase de notificación. La notificación la presenta usted en la plataforma de notificación y registra la hora y el número de expediente.
¿Qué necesito para ello?
Los avisos de vulnerabilidades, los incidentes CRA y los avisos de seguridad forman parte del marco normativo CRA. La SBOM y el expediente de ciberseguridad CE forman parte del módulo de gestión de vulnerabilidades.
¿Está lista la política de divulgación?
Es un borrador elaborado con sus datos. Revíselo y adáptelo antes de publicarlo.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.