Saltar al contenido
Duravigil

Servicios

Lo que hacemos por cada producto

Hoy todo funciona en línea, sin visitas ni laboratorio: subes el firmware o la documentación a la plataforma y el análisis, la vigilancia y los borradores de los avisos salen solos, con una persona revisando lo urgente. Cada servicio se puede contratar por separado, pero están pensados para encajar.

Para fabricantes y marcas blancas

Si el producto lleva tu nombre o tu marca, lo hayas fabricado tú o te lo fabrique otro, tienes las obligaciones del fabricante (art. 3, punto 13, y art. 21). La de notificar ya rige.

1.1

Análisis del firmware

Subes el firmware compilado o la lista de componentes de tu sistema de compilación y la plataforma lo analiza sola: qué lleva el producto, en qué versión y qué vulnerabilidades conocidas tiene. Si vendes con tu marca y no tienes el firmware, pídeselo a quien te fabrica el aparato.

Al dar de alta el producto.

Qué recibes

  • Lista de componentes (SBOM) en CycloneDX, con una nota de su calidad
  • Vulnerabilidades conocidas de cada componente, ordenadas por gravedad y por si se están explotando
  • Categoría probable del producto según el CRA, con la misma lógica que el test
  • Informe técnico en la plataforma
1.2

Vigilancia diaria

Mantenemos al día la lista de componentes de cada versión y la cruzamos cada día con las fuentes públicas de vulnerabilidades y con los catálogos de fallos explotados (CISA KEV y la base europea EUVD de ENISA).

Por producto y mes.

Qué recibes

  • Aviso en cuanto vemos que un fallo explotado afecta a un componente de tu producto
  • Decisión por escrito sobre cada vulnerabilidad relevante: te afecta, no te afecta y por qué
  • Resumen periódico de lo que se ha revisado
  • Historial que demuestra que vigilabas, por si te lo pide una autoridad o un cliente
1.3

Avisos por la plataforma de ENISA

Cuando hay que notificar, el tiempo corre. La plataforma abre un caso con la cuenta atrás de 24 h, 72 h e informe final y prepara cada campo de la plataforma única de ENISA en inglés, con su traducción al castellano, para que lo revises. Si tu establecimiento principal está en España, el aviso llega a INCIBE-CERT (art. 14.7). La plataforma de ENISA no tiene API: el envío lo hace una persona, no es automático.

Incluido en la vigilancia.

Qué recibes

  • Borradores de alerta temprana (24 h), notificación (72 h) e informe final
  • Aviso para tus usuarios afectados (art. 14.8)
  • Presentación por tu representante principal o, con tu autorización, por nosotros como secundarios
  • Hasta que tu representante principal esté verificado y nos invite, lo presenta él con nuestro texto
  • Registro de quién presentó cada aviso y cuándo
1.4

Canal de reportes

Para las unidades que pongas en el mercado desde el 11 de diciembre de 2027, el CRA te pide una política de divulgación coordinada y una dirección para que te reporten fallos. Te dejamos las dos cosas listas y recibimos los reportes por ti.

Incluido en la vigilancia.

Qué recibes

  • Política de divulgación en castellano e inglés
  • security.txt en tu web, comprobado cada semana
  • Dirección de reportes con tu dominio que nos llega a nosotros
  • Primera respuesta al investigador y propuesta para ti
1.5

Prueba de seguridad automática de nube, web y API

Revisa la parte de tu producto que está en internet: la nube, la web y la API con las que hablan el aparato y la app. La hace Claude, el modelo de IA de Anthropic, con un conjunto fijo de herramientas no destructivas, solo sobre dominios que hayas verificado como tuyos con un registro DNS o un fichero en tu web, y con tu autorización firmada en línea, donde fijas el alcance y la ventana. Hoy mira lo que se ve con peticiones normales: DNS, certificados y TLS, cabeceras, correo, security.txt y subdominios. El escaneo de puertos y las pruebas con plantillas llegarán más adelante.

Por prueba, o dentro de la cuota.

Qué recibes

  • Hallazgos con su gravedad (CVSS 4.0) y cómo arreglarlos
  • Relación de cada hallazgo con los requisitos del anexo I del CRA
  • Informe en la plataforma
  • Repetición cuando lo hayas corregido

Para importadores y distribuidores

Desde el 11-12-2027 tendrás que comprobar cada producto antes de introducirlo en el mercado (importador, art. 19) o antes de venderlo (distribuidor, art. 20). Los pedidos para vender desde esa fecha se cierran durante 2027.

Lo que tendrás que comprobar de cada producto (art. 19.2)

  • Que el fabricante ha hecho la evaluación de la conformidad y tiene la documentación técnica.
  • Que lleva el marcado CE y viene con la declaración UE de conformidad.
  • Que trae la información y las instrucciones del anexo II en una lengua que se entienda.
  • Que constan su número de tipo, lote o serie, los datos de contacto del fabricante y la fecha de fin del soporte.
  • Que el fabricante tiene un proceso para gestionar vulnerabilidades (art. 19.1 y anexo I, parte II).

Además, tendrás que guardar la declaración de conformidad diez años, o el periodo de soporte si es más largo (art. 19.6). Si sabes de una vulnerabilidad, tendrás que avisar al fabricante y, si hay un riesgo significativo, a las autoridades de vigilancia del mercado (art. 19.5).

2.1

Verificación de proveedores y referencias

Para cada referencia que importas, comprobamos lo que pide el artículo 19 del CRA antes de que la pongas a la venta y lo dejamos guardado por si te lo pide una autoridad. Tus proveedores pueden subir los documentos y el firmware directamente a la plataforma con una invitación tuya, en una página en inglés.

Por referencia y mes.

Qué recibes

  • Lista del art. 19 por referencia, con las pruebas y su estado
  • Análisis del firmware: qué lleva y qué fallos conocidos tiene, para ver si el producto es lo que dicen los papeles
  • Veredicto técnico de cada referencia
  • Archivo de la declaración de conformidad y del expediente durante diez años
  • Vigilancia de las referencias mientras las vendas, con aviso si sale un fallo grave
2.2

Prueba rápida antes de comprar

Antes de cerrar un pedido, nos pasas la documentación y el firmware de un modelo y te damos un veredicto técnico sobre si, con lo que hay, podrás venderlo desde el 11-12-2027: apto, con dudas o no apto, y por qué.

Por prueba.

Qué recibes

  • Veredicto en tres niveles, con sus motivos
  • Lo que le falta al proveedor, para que se lo pidas
  • Vulnerabilidades conocidas del firmware

Cómo empezamos

  1. 01

    Nos cuentas tu caso

    Por correo o en una llamada: qué productos haces o importas, cómo se conectan y dónde los vendes.

  2. 02

    Acuerdo de confidencialidad

    Mutuo y firmado antes de ver tu firmware, tu código o tus proveedores.

  3. 03

    Acceso a la plataforma

    Te damos acceso por invitación y subes el firmware o la documentación. El análisis empieza solo.

  4. 04

    Vigilancia

    Por producto o referencia y mes, durante el periodo de soporte o mientras lo vendas.

Lo que conviene saber

Pedir una propuesta
  • No certificamos ni somos organismo notificado: el artículo 39 del CRA lo impide a quien hace consultoría.
  • La obligación de notificar es del fabricante. Nosotros preparamos la notificación y, con tu autorización, la presentamos.
  • Hoy todo es en línea: no hacemos pruebas sobre el aparato físico, ni en laboratorio ni por radio.
  • Solo probamos dominios que demuestres que son tuyos y con tu autorización por escrito.
  • La plataforma de vigilancia está alojada en la UE.