El reloj de 24 horas del CRA entró en vigor el 11 de septiembre. Si tu cámara enterprise se vende en la UE, ya le aplica.

El reloj de 24 horas del CRA entró en vigor el 11 de septiembre. Si tu cámara enterprise se vende en la UE, ya le aplica. [unverified]

El 11 de septiembre de 2026 los fabricantes de “products with digital elements” vendidos en la UE — explícitamente cámaras conectadas a red — empezaron a tener que reportar “actively exploited vulnerabilities” a ENISA dentro de 24 horas (early warning), 72 horas (notificación detallada), y 14 días después del parche (final report) [1][3]. Multa por incumplimiento: hasta €15M o 2.5% del global annual turnover [3][4]. Esto es 15 meses antes del application date completo del CRA (11 de diciembre de 2027) [1][4] — el reloj arrancó. El Single Reporting Platform de ENISA centraliza los reportes de los fabricantes [3][4].

( los “PDEs” del CRA incluyen “back-end or cloud services that are necessary for those products to perform their functions” — el cloud que opera tu cámara queda dentro del alcance, no solo el hardware [2][4] )

Tres eventos del 11-18 de septiembre convergen en una sola pregunta para tu próximo RFP enterprise de CCTV: ¿dónde corre el modelo de AI? [unverified] El 17 de septiembre VerkadaOne 2026 (Miami, 2,500 asistentes) anunció Catalyst — integración Model Context Protocol read-only que conecta “approved third-party AI platforms including Claude, ChatGPT and Gemini” al mismo Verkada Command donde vive el footage [5][6]. La misma semana Verkada también lanzó Verkada Transportation (3 cámaras ruggedized + gateway KGX61 5G/Wi-Fi) extendiendo Command al vehículo y al edge de la flota [6]. El LLM ya no es un servicio intercambiable — es una característica default dentro de la consola del vendor [5][6]. El 18 de septiembre el Gobernador Newsom firmó la Executive Order N-9-26 convocando un panel de expertos para entregar en 2 meses una guía sobre “AI kill switch” + verificación independiente onsite para frontier AI labs [7][9]. EFF respondió el mismo día nombrando “AI-powered surveillance systems such as Flock cameras” entre los daños inmediatos que cualquier regulación debería atender primero [8].

La pregunta editorial: si tu proveedor tiene que reportar AEVs a ENISA dentro de 24 horas, ¿qué parte de tu RFP exige por escrito evidencia de cumplimiento — antes de la multa, antes del incidente, antes de la auditoría? [unverified] Si el LLM vive dentro del Command del vendor, ¿qué cláusulas de exit tienes si cambia el contrato de licencia de Claude/ChatGPT/Gemini? [unverified] Y si California pide verificación independiente onsite de frontier AI, ¿qué parte de tu RFP exige el equivalente para el modelo que corre sobre tu footage? [unverified]

( el modelo “analytics service sobre el CCTV que ya tienes” — donde la capa de AI corre separada de la consola del vendor — sobrevive los tres vectores sin re-escritura contractual: el reloj de 24 horas aplica al fabricante del hardware, no a la capa de analytics; el LLM puede cambiarse sin tocar el footage; la verificación independiente es estructuralmente posible porque la capa de AI no es una caja negra del fabricante [unverified] )

P.D. ¿Tu última RFP enterprise de CCTV le preguntó por escrito al proveedor (a) cómo cumple con el reloj de 24 horas del CRA, (b) qué pasa si su integración con Claude/ChatGPT/Gemini cambia de precio o licencia, y (c) qué verificación independiente acepta sobre la capa de AI que corre sobre tu footage? [unverified] Si la respuesta a cualquiera es “no por escrito”, hoy es buen día para reabrir el pliego.

📰 Fuente: European Commission (Sep 11, 2026) + Skadden + Slaughter and May + Travers Smith (legal opinions) + SecurityInfoWatch + Verkada blog (VerkadaOne 2026) + California Governor’s Office + EFF + Politico (California EO N-9-26).

Fuentes

El reloj de 24 horas del CRA entró en vigor el 11 de septiembre. Si tu cámara enterprise se vende en la UE, ya le aplica.

Fuentes

📰 Fuentes

¿Te interesa el video analytics en la nube?