El 11 de septiembre de 2026, a las 00:00 CET, la ENISA prendió el reloj.
Desde esa fecha, toda cámara IP, NVR, VMS o pieza de analytics que se venda en el mercado europeo — sea el fabricante coreano, chino, europeo o mexicano — está legalmente obligado a reportar a la Agencia Europea de Ciberseguridad cualquier vulnerabilidad activamente explotada en su producto. El aviso inicial debe llegar en 24 horas. La multa por incumplimiento son €15 millones o 2.5% del volumen de negocios global, lo que sea mayor [1][2][3][4]. Y el resto del CRA — seguridad por diseño, CE mark, soporte obligatorio — entra en vigor el 11 de diciembre de 2027 [2][4].
La pregunta para tu próximo RFP ya no es “¿es NDAA-compliant?”. Es “¿cuál es tu SLA de reporte de vulnerabilidades, por escrito?”.
El reloj de 24/72/14
El Artículo 14 del CRA impone un régimen de notificación obligatorio con tres deadlines, todos contados desde el momento en que el fabricante “tiene un grado razonable de certeza” de que la vulnerabilidad está siendo activamente explotada (o que un incidente severo comprometió la seguridad del producto) [1][2]:
- Aviso temprano: ≤ 24 horas — al ENISA + al CSIRT (Computer Security Incident Response Team) del Estado miembro donde el fabricante tiene su establecimiento principal [1][4].
- Notificación completa: ≤ 72 horas — assessment detallado de la vulnerabilidad o del incidente [1][2].
- Reporte final: ≤ 14 días después de tener una medida correctiva disponible (vulnerabilidades), o ≤ 1 mes después de la notificación de 72 horas (incidentes severos) [1][2].
Todo se canaliza por el CRA Single Reporting Platform (SRP), operado por ENISA y operativo desde el 11 de septiembre de 2026. No hay API todavía; las notificaciones se hacen manualmente, llenando formularios [3][4][5]. El fabricante también tiene la obligación de avisar a los usuarios afectados “sin demora indebida” [1][4].
Qué productos están dentro
El alcance del CRA es horizontal, no sectorial. Crowell & Moring cita explícitamente como ejemplos: equipo de red y routers, microprocesadores y microcontroladores, sistemas operativos, navegadores, software industrial, gestión de cadena de suministro, dispositivos IoT, VPNs y firewalls [3]. Y eso incluye toda cámara IP, NVR, VMS y pieza de analytics que pueda conectarse — directa o indirectamente — a una red u otro dispositivo [3].
Excluidos: dispositivos médicos regulados, vehículos, aviación civil, equipo marino, productos de defensa/seguridad nacional, y — esto importa para SaaS — software SaaS standalone no está dentro, aunque el componente de “remote data processing solution” asociado sí puede caer [3].
La multa y lo que cambia el cálculo
Non-EU manufacturers no se salvan. El CRA aplica a cualquier fabricante que coloque productos en el mercado de la UE, sin importar dónde esté headquartered [3][4]. La multa de €15M / 2.5% aplica específicamente al incumplimiento de las obligaciones de notificación y al de los requisitos esenciales de ciberseguridad (manejo de vulnerabilidades, período de soporte, patching obligatorio) [2][3]. Para obligaciones menores (documentación técnica, representante autorizado) la multa es menor: hasta €10M o 2% [3]. Y el regulador puede ordenar el retiro del producto del mercado europeo, además de la multa [3].
Y aquí está el cálculo que cambia: como señala Crowell, después del 11 de diciembre de 2027 los compradores europeos (públicos y privados) esperarán productos CRA-compliant, y el CE mark bajo el CRA funcionará como “señal visible de confiabilidad de seguridad” [3]. El producto que no cumpla no se venderá después de esa fecha, no solo por el riesgo regulatorio sino porque los clientes lo exigirán [3].
Lo que tienes que preguntar antes de comprar
Si hoy estás firmando un contrato para un sistema de CCTV que se va a desplegar (o que ya está desplegado) en una operación con presencia europea, cinco preguntas técnicas que el procurement usualmente no hace y que el CRA acaba de hacer obligatorias implícitas:
- ¿Cuál es tu SLA de reporte de vulnerabilidades por escrito, en horas? Si el fabricante tarda más de 24 horas en notificar a ENISA, tú estás operando equipo de un fabricante que ya acumuló multa. El CRA no te obliga a ti directamente — pero te obliga a saberlo.
- ¿Tienes Coordinated Vulnerability Disclosure (CVD) policy documentada? El fabricante necesita tener un canal para que investigadores externos le notifiquen bugs. Sin CVD, no llega a “awareness” — pero no cumplir el CVD tampoco es defensa contra el reloj [2][3].
- ¿Tienes Software Bill of Materials (SBOM) actualizado por producto? El SBOM se vuelve obligatorio cuando entren en vigor las provisiones restantes del CRA en diciembre 2027 [3][4]. Si el fabricante no lo tiene hoy, no lo va a tener mañana.
- ¿Cuál es tu proceso interno de escalada desde “tengo un CVE publicado” hasta “ya estoy reportando a ENISA”? El reloj corre desde el momento de awareness razonable, no desde confirmación forense completa [2][3].
- ¿Cómo notificas a tus clientes B2B? El CRA no obliga al fabricante a notificar a compradores corporativos por sí solo (salvo que seas el “user” del producto) — pero los contratos comerciales cada vez lo imponen [3]. Si tu proveedor no lo trae en contrato, ponlo tú.
El ángulo editorial que nadie en trade press está reportando
El 11 de septiembre pasó. La SRP está operativa. Aún no hay reportes públicos de vulnerabilidades explotadas en cámaras IP canalizados por el SRP — los primeros reportes (o la primera prueba de enforcement) son inminentes dentro de los próximos 30 días. La pregunta para el ecosistema CCTV europeo no es si el CRA cambia las reglas, sino cuántos fabricantes ya tienen los cinco elementos anteriores documentados y cuántos los van a improvisar cuando llegue el primer CVE.
Para el comprador en México, LATAM o EU-bound: la pregunta no es “¿tengo que cumplir el CRA?” — no, porque el CRA aplica al fabricante, no al comprador. La pregunta es “¿estoy comprando equipo de un fabricante que ya está cumpliendo, o que va a tener que salir del mercado europeo en 14 meses?”. Las dos opciones tienen implicaciones distintas para un sistema con vida útil de 5-7 años.
P.D. ¿Tu próximo RFP tiene una cláusula de “CRA readiness statement” del fabricante, o sigues preguntando solo por NDAA y resolución?
( Lo que cambia el cálculo es que hasta ahora la ciberseguridad de la cámara era un tema de hardening — qué tan rápido parchean, qué firmware corre. El CRA convierte eso en un compromiso regulatoriamente vinculante con multa cuantificable. El primer CVE que se reporte por SRP va a ser noticia en todas las especializadas de seguridad europeas. Estás a tiempo de preguntar antes de esa noticia. )
Fuentes
[1] EU Commission, “Cyber Resilience Act — Reporting obligations”, accessed 2026-09-14, https://digital-strategy.ec.europa.eu/en/policies/cra-reporting — primary, official EU.
[2] Jones Day, “EU Cyber Resilience Act: 24-Hour Reporting Duties Start September 11, 2026”, Jul 2026, accessed 2026-09-14, https://www.jonesday.com/en/insights/2026/07/eu-cyber-resilience-act-24hour-reporting-duties-start-september-11-2026 — legal alert, top-tier global firm.
[3] Crowell & Moring, “EU CRA Countdown: 11 September 2026 Incident/Vulnerability Reporting Deadline Less Than 100 Days Away”, accessed 2026-09-14, https://www.crowell.com/en/insights/client-alerts/eu-cyber-resilience-act-countdown-11-september-2026-incidentvulnerability-reporting-deadline-is-less-than-100-days-away — legal alert, scope + fines + structural analysis.
[4] The Register, “EU’s Cyber Resilience Act starts the 24-hour vulnerability clock”, Sep 11, 2026, accessed 2026-09-14, https://www.theregister.com/security/2026/09/11/eus-cyber-resilience-act-starts-the-24-hour-vulnerability-clock/5295821 — trade press, industry reaction (Netscout, Checkmarx, DLA Piper).
[5] ENISA, “Single Reporting Platform (SRP)”, accessed 2026-09-14, https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp — primary, EU agency.
Editorial metadata
- Pillar: P5 regulatory + P2 best practices (procurement implications)
- Cluster: P5 regulatory (PITT, biometria-2026, lfpdppp-video-mexico, flock-coalicion-pr)
- Coverage angle: ES/LATAM trade press has been silent on the Sep 11 effective date; EN legal-trade press (Jones Day, Crowell) + EN trade press (Register) + EU primary (Commission, ENISA) all confirmed.
- Word count: ~1,200 words (within P5 target 1000-1400).
- Next review date: 2026-09-21 — check for first SRP-filed CVE; update hooks accordingly.
- Disclaimer: This post is editorial analysis, not legal advice. For CRA compliance questions specific to your procurement, consult counsel in your jurisdiction.
Jedi — regulatory beats aren’t my primary beat, but when a hard date lands and the ES trade press is silent on it, that’s my lane. Pairs with p5-pitt-alpr-federal-pipeline (US federal surveillance angle) and p5-biometria-camaras-2026 (EU AI Act biometric angle). The complementary video-trust pillar is ONVIF Profile V Media Signing Add-on (sourcing pending).