CRA incidents (Cyber Resilience Act)

El módulo CRA incidents le ayuda a cumplir la obligación de notificación del Art. 14 del Reglamento de Ciberresiliencia de la UE: registra vulnerabilidades explotadas activamente e incidentes de seguridad graves, hace el seguimiento del plazo de 24 horas para la alerta temprana y prepara una exportación JSON estructurada para su presentación en la ENISA Single Reporting Platform (SRP).

Precaución

Esta herramienta no envía notificaciones a ENISA directamente. Genera un registro JSON alineado con el borrador del esquema SRP y, opcionalmente, envía un webhook o un correo electrónico a su DPD o equipo jurídico. La presentación final sigue estando de su parte.

Plazos de notificación

El Art. 14 del CRA define tres umbrales de notificación para los fabricantes de productos digitales:

Umbral	Plazo	Alcance
Alerta temprana	24h	Hecho de la detección, componente, evaluación preliminar
Informe del incidente	72h	Causa raíz, alcance, mitigaciones aplicadas
Informe final	14 días	Causa raíz completa, corrección, recomendaciones

El módulo calcula el plazo de 24h automáticamente a partir de discoveredAt. Los demás plazos (72h, 14 días) deben seguirse manualmente - quedan fuera del alcance FREE.

Registrar un incidente

Vaya a Polski > CRA incidents > Record incident. El formulario:

Campo	Notas
Title	Título breve (obligatorio)
Affected component	Nombre del producto o módulo (p. ej. polski-free, custom-checkout-module)
Affected versions	Rango de versiones (p. ej. <= 2.0.4)
Reporter	Persona que registró la notificación
External reference	Identificador CVE / gestor de incidencias / CVD (opcional)
Kind	actively_exploited_vulnerability, security_incident, near_miss
Severity	critical, high, medium, low
Summary	Descripción técnica (obligatorio)

Tras guardar, el incidente queda en estado Open y tiene deadlineAt = discoveredAt + 24h.

Despachador de notificaciones

Para cada incidente Open, la lista ofrece la acción Dispatch notification. Se dispara en paralelo:

• Webhook (POST JSON) a la URL de la opción polski_cra_incident_webhook
• Correo electrónico con un resumen legible a la dirección de la opción polski_cra_incident_email

Ambas opciones se configuran en Polski > Settings > CRA incidents. Tras una respuesta 2xx del webhook o un envío de correo correcto, el incidente pasa al estado Notified y almacena notifiedAt.

Nota

El cron polski_cra_incident_deadline_check se ejecuta cada hora y emite el action hook polski_cra_incident_deadline_approaching para los incidentes Open a los que les quedan menos de 2h. Engánchese a él para lanzar una alerta de Slack / PagerDuty.

Exportación JSON (ENISA SRP)

La acción Export JSON devuelve cra-incident-<id>-<timestamp>.json con Content-Type: application/json. La estructura sigue el borrador del esquema de la ENISA Single Reporting Platform - los campos cubren la identidad del fabricante, el componente, el momento de detección, la gravedad, el tipo de incidente y el resumen.

Ejemplo:

{
  "reference_id": "CVE-2026-1234",
  "kind": "actively_exploited_vulnerability",
  "severity": "high",
  "title": "Stored XSS in checkout notes",
  "affected_component": "polski-free",
  "affected_versions": "<= 2.0.4",
  "discovered_at": "2026-04-19T08:12:00+00:00",
  "deadline_at": "2026-04-20T08:12:00+00:00",
  "summary": "..."
}

Hooks

// Después de registrar un incidente (antes de cualquier notificación).
add_action('polski_cra_incident_recorded', function (int $id, $incident): void {
    // Su integración: Jira, PagerDuty, Slack
}, 10, 2);

// Cuando quedan menos de 2h para el plazo de 24h.
add_action('polski_cra_incident_deadline_approaching', function ($incident): void {
    // Escalar al DPD
});

Migración 2.1.0

La versión 2.1.0 introduce la tabla {$wpdb->prefix}polski_cra_incidents. La migración se ejecuta automáticamente en la activación. Si no lo hace, fuércela manualmente:

wp polski migrate --module=cra

Permisos

• UI y acciones: manage_woocommerce
• Webhook / correo electrónico: configurables libremente (sin requisito de capacidad - son canales salientes)

Limitaciones

• El módulo no realiza el seguimiento automático de los umbrales de 72h / 14 días (solo 24h)
• La detección de incidentes es manual - no escaneamos registros
• El webhook no tiene firma HMAC (previsto para PRO)
• El formulario no admite adjuntos binarios - añádalos manualmente a la presentación en la ENISA SRP