Desde el 11 de septiembre de 2026 está en vigor una de las primeras obligaciones concretas del Reglamento Europeo de Ciberresiliencia (Cyber Resilience Act, CRA): los fabricantes de productos con elementos digitales deben comunicar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad de sus productos.
Para una empresa como TINPARK, que desarrolla un sistema de control de acceso a parkings por lectura de matrícula, esta normativa no es un trámite lejano: afecta directamente a cómo diseñamos, mantenemos y operamos nuestra tecnología.
¿Qué obliga exactamente el CRA a partir de ahora?
El reglamento establece plazos muy concretos para notificar incidentes de seguridad:
● Aviso inicial (early warning) en un máximo de 24 horas desde que se tiene conocimiento del incidente
● Notificación completa en un máximo de 72 horas
● Informe final: en 14 días desde que existe una solución, para vulnerabilidades explotadas, o en un mes desde la notificación de 72 horas, para incidentes graves
● Toda la comunicación se realiza a través de la Plataforma Única de Reporte del CRA (CRA Single Reporting Platform), gestionada por ENISA
Estas obligaciones aplican a todos los fabricantes de productos con elementos digitales comercializados en la Unión Europea, incluidos los que ya estaban en el mercado antes de la entrada en vigor completa del reglamento, prevista para diciembre de 2027.
Qué significa esto para un sistema de control de accesos
En un sistema como TINPARK, la seguridad no consiste únicamente en reconocer correctamente una matrícula y abrir una puerta. El CRA nos obliga a pensar en la seguridad como un proceso continuo, que incluye:
● Controlar qué versión de software está instalada en cada aparcamiento
● Mantener actualizados el software y todos sus componentes
● Registrar y analizar cualquier incidente de seguridad
● Proteger las comunicaciones entre cámaras, equipos locales y servidores
● Conocer el soporte y las actualizaciones que ofrece cada fabricante de los componentes que integramos
● Disponer de procedimientos claros para reaccionar con rapidez ante cualquier incidencia
Cómo estamos preparándonos en TINPARK
Llevamos meses revisando nuestros procesos, nuestra arquitectura cloud y el software local tinpark-edge para alinearlos con este nuevo escenario europeo. Nuestra arquitectura distribuida —con procesamiento local en cada instalación y gestión centralizada en la nube— nos permite mantener la trazabilidad de los sistemas desplegados y evolucionar de forma ordenada ante nuevos requisitos de seguridad.
En un sistema que controla el acceso a un parking, una comunidad de vecinos nos está confiando algo muy real: sus datos y la seguridad física de su edificio. Eso pesa más que cualquier plazo de 72 horas.
Porque en el control de accesos no basta con ofrecer comodidad: hay que proteger los datos, las comunicaciones y la continuidad del servicio. TINPARK está preparado para afrontar esta evolución con tecnología propia, flexible y en mejora continua.
Más información
Toda la información oficial sobre las obligaciones de reporte del CRA está disponible en la web de la Comisión Europea: Cyber Resilience Act — Reporting obligations
