Presentar a ENISA un informe final de vulnerabilidad en el plazo de 14 días

El artículo 14(3) del Reglamento (UE) 2024/2847 exige que, en el plazo de 14 días desde el conocimiento de una vulnerabilidad activamente explotada, los fabricantes presenten a ENISA un informe final que contenga:

• Una descripción completa de la vulnerabilidad, incluida su gravedad e impacto
• En su caso: el(los) actor(es) de amenaza implicado(s) (si se conoce y puede compartirse)
• Información sobre las medidas correctoras o de mitigación adoptadas
• Si la vulnerabilidad ha sido divulgada públicamente
• El CVE asignado (o la justificación de por qué no se asignó ningún CVE)

El artículo 14(5) especifica que el informe se presenta a través de la plataforma de notificación única de ENISA.

Esta obligación se aplica a partir del 11 de septiembre de 2026.

1. Descripción completa de la vulnerabilidad: análisis técnico completo
2. Análisis de la causa raíz: origen de la vulnerabilidad
3. Puntuación CVSS: final, reevaluada si fuera necesario tras el análisis completo
4. Versiones afectadas: todas las versiones y variantes del producto en el ámbito
5. Identificador CVE: número CVE asignado por una CNA, o razón por la que no se asignó ninguno
6. Remediación desplegada: número de versión de la actualización, fecha de publicación, mecanismo de entrega
7. Notificación a los usuarios: descripción de cómo se informó a los usuarios y cronograma
8. Estado de divulgación pública: si se publicó un aviso de seguridad y dónde
9. Información sobre el actor de amenaza: si se conoce, si un actor específico está explotando la vulnerabilidad

• Envío del informe final con marca de tiempo desde la plataforma de ENISA
• Registro de asignación de CVE
• Aviso de seguridad publicado
• Registros de notificación a los usuarios
• Análisis post-incidente o documento de análisis de la causa raíz interno