Artículo 15 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (Reglamento de Ciberresiliencia)

1. Los fabricantes, así como otras personas físicas o jurídicas, podrán notificar de forma voluntaria a un CSIRT designado como coordinador o a la ENISA cualquier vulnerabilidad presente en un producto con elementos digitales, así como las ciberamenazas que puedan afectar al perfil de riesgo de un producto con elementos digitales.

2. Los fabricantes, así como otras personas físicas o jurídicas, podrán notificar de forma voluntaria a un CSIRT designado como coordinador o a la ENISA cualquier incidente que repercuta en la seguridad de un producto con elementos digitales, así como los cuasiincidentes que hubieran podido desembocar en un incidente de esas características.

3. El CSIRT designado como coordinador o la ENISA tramitarán las notificaciones a que se refieren los apartados 1 y 2 del presente artículo de conformidad con el procedimiento establecido en el artículo 16.

El CSIRT designado como coordinador podrá dar prioridad a la tramitación de notificaciones obligatorias sobre la de notificaciones voluntarias.

4. Cuando una persona física o jurídica distinta del fabricante notifique una vulnerabilidad aprovechada activamente o un incidente grave que repercuta en la seguridad de un producto con elementos digitales de conformidad con los apartados 1 o 2, el CSIRT designado como coordinador informará sin demora indebida al fabricante.

5. Los CSIRT designados como coordinadores y la ENISA garantizarán la confidencialidad y la protección adecuada de la información proporcionada por las personas físicas o jurídicas notificantes. Sin perjuicio de la prevención, investigación, detección y enjuiciamiento de infracciones penales, la notificación voluntaria no dará lugar a la imposición a la persona física o jurídica notificante de obligaciones adicionales a las que no estaría sujeta de no haber presentado dicha notificación.