Saltar al contenido
EU Rules Finder
Español (Idioma)

Plantilla de política de divulgación coordinada de vulnerabilidades y generador de security.txt

El Reglamento de Ciberresiliencia exige a todo fabricante de un producto con elementos digitales una política de divulgación coordinada de vulnerabilidades y una dirección de contacto para las notificaciones. Complete sus datos para obtener el texto de la política y un archivo security.txt para su sitio web. Nada de lo que escribe sale de su navegador.

Comprobado con las fuentes el 2 de noviembre de 2026

Nombres de productos, modelos o «todos nuestros productos con elementos digitales».
Una dirección de correo o la dirección https de un formulario web: su punto de contacto único (artículo 13, apartado 17).
Una página https de su sitio, por ejemplo https://example.com/security.
Para la línea Canonical de security.txt.
Un número entero de 1 a 30.

Su política

Falta completar

  • Indique el nombre de la empresa.
  • Indique una dirección de correo o la dirección https de un formulario web para las notificaciones.
  • Indique la dirección https donde se publicará la política.
  • Indique la fecha de la política.

Coordinated vulnerability disclosure policy of TO COMPLETE

TO COMPLETE welcomes reports of potential vulnerabilities in its products, including in third-party and open-source components they contain. This policy says how to report one and what we do with it.

Scope

This policy covers: TO COMPLETE.

How to report

  • Report to: TO COMPLETE. This is our single point of contact for vulnerability reports.
  • Please include the product and version, a description of the issue, the steps to reproduce it and any proof of concept, and how we can reach you.
  • You may report in English or in the language of your choice; you may stay anonymous, though we then cannot keep you informed.

What we do

  • We acknowledge your report within 5 working days and keep you informed until it is resolved.
  • We assess the report, and address and remediate a confirmed vulnerability without delay, in relation to its risk.
  • We agree a disclosure date with you. Please do not disclose the vulnerability before a fix is available or that date has passed.
  • Once a security update is available, we publish information about the fixed vulnerability: a description, the products affected, its impact and severity, and how users can remediate it. Where the security risks of publication outweigh its benefits, we may delay publication until users have had the possibility to apply the update.
  • Where the vulnerability is in a component made or maintained by someone else, we report it to them.
  • With your agreement, we credit you when we publish.

About this policy

Published at TO COMPLETE. Last updated TO COMPLETE.

security.txt

Publique este archivo en /.well-known/security.txt de su sitio web. Caduca un año menos un día después de la fecha de la política (la RFC 9116 pide menos de un año): renuévelo antes.

security.txt necesita un contacto y una fecha legibles; aparece aquí en cuanto ambos estén completos.

La política está redactada en inglés, el idioma de la mayoría de quienes notifican; tradúzcala si sus usuarios lo necesitan. Los datos que no se pueden leer aparecen como TO COMPLETE. Es una plantilla, no asesoramiento jurídico, y no demuestra que un producto cumpla el Reglamento (UE) 2024/2847.

Todo el conjunto de documentos del CRA, con esta política, los procedimientos de gestión y notificación de vulnerabilidades, la documentación técnica y la declaración UE de conformidad en 9 idiomas (de pago)

Qué exige el Reglamento de Ciberresiliencia

  • Establecer y aplicar una política de divulgación coordinada de vulnerabilidades (anexo I, parte II, punto 5).
  • Facilitar la notificación de vulnerabilidades, también proporcionando una dirección de contacto para las notificaciones (anexo I, parte II, punto 6).
  • Una vez disponible una actualización de seguridad, publicar información sobre la vulnerabilidad corregida: descripción, productos afectados, impacto y gravedad, y cómo pueden remediarla los usuarios; la publicación puede aplazarse cuando sus riesgos de seguridad superen sus beneficios (anexo I, parte II, punto 4).
  • Designar un punto de contacto único para que los usuarios le comuniquen directa y rápidamente, también para notificar vulnerabilidades (artículo 13, apartado 17), e indicarlo, junto con dónde está la política, en la información para los usuarios (anexo II, punto 2).

Fechas

Los requisitos de gestión de vulnerabilidades del anexo I, parte II, se aplican a partir del 11 de diciembre de 2027. La obligación de notificar vulnerabilidades explotadas activamente e incidentes graves se aplica a partir del 11 de septiembre de 2026 (artículo 71, apartado 2), y una dirección publicada para notificaciones le ayuda a conocerlas a tiempo.

Qué es security.txt

Un archivo de texto breve en /.well-known/security.txt que indica a los investigadores de seguridad dónde notificar (RFC 9116). Necesita una línea Contact y una fecha Expires; el generador añade la dirección de la política, el idioma preferido y, con su sitio web, la línea Canonical. Las direcciones web deben usar https.

Qué no hace el generador

No crea un canal de notificación, no clasifica notificaciones ni decide si algo debe notificarse según el artículo 14. Para los plazos de notificación use el registro de notificaciones CRA; para la lista de materiales de software, el generador de SBOM; para ver su situación, la comprobación de preparación CRA.

Nada de lo que escribe se guarda ni se envía: al recargar la página se borra. Copie o descargue los archivos para conservarlos.

Fuentes