servicios

Siete servicios, todos en línea.

Subes el firmware o los documentos y el análisis empieza solo; una persona revisa todo lo urgente. Los borradores de las notificaciones a ENISA y el canal de reportes van incluidos en la vigilancia.

01 · fabricantes y marcas blancas

Para fabricantes y marcas blancas.

Si el producto lleva tu nombre o tu marca, lo hayas fabricado tú o te lo haya fabricado otro, tienes las obligaciones del fabricante (art. 3, punto 13, y art. 21). La de notificar ya se aplica.

Análisis del firmware

Subes el firmware compilado, o la lista de componentes de tu sistema de compilación, y la plataforma lo analiza por sí sola: qué contiene el producto, en qué versiones y qué vulnerabilidades conocidas arrastra. Si vendes con tu marca y no tienes el firmware, pídeselo a la empresa que te fabrica el aparato. Medido sobre la imagen pública de OpenWrt 25.12.5 en octubre de 2026: la lista de componentes obtuvo 9,6 sobre 10 en las comprobaciones de BSI TR-03183-2, frente a 2,5 tal como sale del escáner, y se encontraron 610 vulnerabilidades conocidas en sus componentes.

Una lista de componentes (SBOM) en CycloneDX, con una puntuación de su calidad
Las vulnerabilidades conocidas de cada componente, ordenadas por gravedad y según se estén explotando o no
La categoría probable del producto según el CRA, calculada con la misma lógica que el test
Un informe técnico en la plataforma

Vigilancia diaria

Mantenemos al día la lista de componentes de cada versión y la cruzamos cada día con las fuentes públicas de vulnerabilidades y con los catálogos de vulnerabilidades explotadas (CISA KEV y la base de datos europea de vulnerabilidades de ENISA, la EUVD).

Un aviso en cuanto vemos una vulnerabilidad aprovechada activamente que afecta a un componente de tu producto
Una decisión por escrito sobre cada vulnerabilidad relevante: si te afecta o no, y por qué
Un resumen periódico de lo revisado
Un historial que demuestra que vigilabas, por si te lo pide una autoridad o un cliente

Notificaciones por la plataforma de ENISA

Cuando hay que notificar, el reloj corre. La plataforma abre un caso con los plazos de 24 horas, 72 horas e informe final, y prepara cada campo de la plataforma única de notificación de ENISA en inglés, con su traducción al castellano al lado, para que lo revises. La notificación llega al CSIRT designado como coordinador del Estado miembro donde tienes tu establecimiento principal (art. 14.7); en España, INCIBE-CERT. La plataforma de ENISA no tiene API, así que cada notificación la presenta una persona: no es automático.

alerta temprana: 24 h
notificación: 72 h
informe final: 14 díasdesde que hay una corrección disponible; en un incidente grave, un mes después de la notificación

Borradores de la alerta temprana (24 h), la notificación (72 h) y el informe final
Un aviso para tus usuarios afectados (art. 14.8)
Presentación por tu representante principal, la persona de tu empresa dada de alta en la plataforma de ENISA, o por nosotros como representante secundario con tu autorización
Hasta que tu representante principal esté verificado y nos haya invitado, la presenta esa persona con nuestro texto
Un registro de quién presentó cada notificación y cuándo

Canal de reportes de vulnerabilidades

Para las unidades que introduzcas en el mercado a partir del 11 de diciembre de 2027, el CRA exige una política de divulgación coordinada de vulnerabilidades y una dirección donde te puedan comunicar fallos. Preparamos las dos cosas y recibimos los reportes por ti.

Una política de divulgación en inglés y en castellano
Un archivo security.txt en tu web, revisado cada semana
Una dirección de reportes en tu dominio que nos llega a nosotros
Una primera respuesta al investigador y una propuesta para ti

Prueba de seguridad automática de nube, web y API

Revisa la parte de tu producto que vive en internet: la nube, la web y la API con las que hablan el aparato y la app. La ejecuta Claude, el modelo de IA de Anthropic, con un conjunto fijo de herramientas no destructivas, solo contra dominios que hayas verificado como tuyos con un registro DNS o un archivo en tu web, y solo con tu autorización firmada en línea, en la que fijas el alcance y la franja horaria. Hoy la prueba es pasiva: solo mira lo que muestran las peticiones normales. El escaneo de puertos y las comprobaciones con plantillas llegarán más adelante.

comprobaciones pasivas de hoy: DNS · certificados y TLS · cabeceras · correo · security.txt · subdominios

Hallazgos con su gravedad (CVSS 4.0) y cómo corregirlos
Cada hallazgo relacionado con los requisitos del anexo I del CRA
Un informe en la plataforma
Una segunda pasada cuando los hayas corregido

02 · importadores y distribuidores

Para importadores y distribuidores.

A partir del 11 de diciembre de 2027 tendrás que comprobar cada producto antes de introducirlo en el mercado (importador, art. 19) o antes de comercializarlo (distribuidor, art. 20). Los pedidos de la mercancía que se venda después de esa fecha se cierran durante 2027.

lo que el artículo 19.2 te pedirá comprobar

Que el fabricante ha llevado a cabo la evaluación de la conformidad y tiene la documentación técnica.
Que el producto lleva el marcado CE y va acompañado de la declaración UE de conformidad.
Que va acompañado de la información y las instrucciones del anexo II en una lengua que los usuarios entiendan.
Que constan su número de tipo, lote o serie, los datos de contacto del fabricante y la fecha de fin del período de soporte.
Que el fabricante tiene un proceso para gestionar las vulnerabilidades (art. 19.1 y anexo I, parte II).

Además, tendrás que conservar la declaración UE de conformidad durante diez años, o durante el período de soporte si es más largo (art. 19.6). Si tienes conocimiento de una vulnerabilidad, tendrás que informar al fabricante y, si hay un riesgo de ciberseguridad significativo, a las autoridades de vigilancia del mercado (art. 19.5).

Verificación de proveedores y productos

Para cada referencia que importas, comprobamos lo que exige el artículo 19 del CRA antes de que la pongas a la venta, y guardamos las pruebas por si te las pide una autoridad. Tus proveedores pueden subir documentos y firmware directamente a la plataforma desde una invitación que les mandas, en una página en inglés.

La lista de comprobación del art. 19 para cada referencia, con las pruebas y su estado
Análisis del firmware: qué lleva dentro y qué vulnerabilidades conocidas tiene, para ver si el producto coincide con sus papeles
Un veredicto técnico sobre cada referencia
La declaración UE de conformidad y el expediente, archivados durante diez años
Vigilancia de las referencias mientras las vendas, con un aviso si aparece una vulnerabilidad grave

Prueba rápida antes de comprar

Antes de cerrar un pedido, nos mandas la documentación y el firmware de un modelo y te damos un veredicto técnico sobre si, con lo que hay, podrás venderlo a partir del 11 de diciembre de 2027: apto, con dudas o no apto, y por qué.

Un veredicto en tres niveles, con sus motivos
Lo que le falta al proveedor, para que se lo pidas
Las vulnerabilidades conocidas del firmware

facturación

Por producto o referencia, y por mes.

análisis del firmware: Una vez, al dar de alta el productode tu parte Firmware compilado o una SBOM
vigilancia diaria: Por producto y mesde tu parte Cada versión nueva del firmware
notificaciones a ENISA: Incluido en la vigilanciade tu parte Los hechos y tu revisión de cada borrador
canal de reportes: Incluido en la vigilanciade tu parte Una dirección de seguridad en tu dominio que reenvíe a la nuestra
prueba de seguridad: Por prueba, o dentro de la cuota mensualde tu parte Verificación del dominio y autorización firmada
verificación de proveedores: Por referencia y mesde tu parte Una invitación a cada proveedor
prueba rápida: Por pruebade tu parte Documentación y firmware de un modelo

Los precios van en una propuesta por escrito, para los productos o referencias que quieras cubrir.

límites

Lo que no hacemos.

No certificamos productos ni somos un organismo notificado: el artículo 39 del CRA lo impide a quien también hace consultoría.
No decidimos qué se notifica. Esa obligación es del fabricante: nosotros preparamos la notificación y, con tu autorización, la presentamos.
No probamos el aparato físico, ni en laboratorio ni por radio. Todo lo que ofrecemos hoy es en línea.
Todavía no hacemos escaneos activos. La prueba automática solo mira lo que muestran las peticiones normales.
No probamos nada que no hayas demostrado que es tuyo, ni nada sin tu autorización por escrito.

Plataforma alojada en la UE

cómo empezamos

Con un producto basta para empezar.

01Nos escribes Qué productos fabricas o importas, cómo se conectan y dónde los vendes.
02Te contestamos con una propuesta Una primera valoración de lo que te pide el CRA y para cuándo, y un precio por producto para los servicios que necesites.
03Acuerdo de confidencialidad mutuo Firmado antes de que veamos tu firmware, tu código o tus proveedores.
04Invitación a la plataforma Una cuenta en app.duravigil.com, donde subes el firmware o los documentos y el análisis empieza solo. No hay registro abierto.
05Vigilancia diaria A partir de ahí revisamos cada producto o referencia todos los días, durante su período de soporte o mientras lo vendas, con facturación mensual.

Pedir una propuesta Hacer el test