A partir del 11 de septiembre de 2026, el descubrimiento de una vulnerabilidad que se esté explotando activamente en un producto digital ya no solo dará lugar a una carrera técnica para encontrar una solución. Para los fabricantes afectados, también podrá dar inicio a una cuenta atrás reglamentaria especialmente breve: deberá enviarse una primera alerta en un plazo de 24 horas.

Esta nueva obligación se deriva de la Ley de Ciberresiliencia (Cyber Resilience Act, CRA), la normativa europea destinada a reforzar la seguridad de los productos que incorporan componentes digitales.

En abril de 2025, en el marco de su labor legislativa, la Comisión Europea puso en marcha una consulta previa a la revisión del Reglamento sobre ciberseguridad (Cyber Security Act o CSA), un texto aprobado en 2019 por el Parlamento. En un principio, este reglamento establecía un mandato permanente para la ENISA, la Agencia de la Unión Europea para la Ciberseguridad.