El proyecto MCP formaliza su guía de notificación de incidentes para la CRA de la UE

Los responsables de Model Context Protocol fusionaron el pull request #3526, "docs: add EU Cyber Resilience Act stewardship guidance", el 13 de noviembre de 2026, estableciendo cómo el proyecto cumplirá sus obligaciones de notificación de incidentes bajo la Ley de Resiliencia Cibernética de la Unión Europea (CRA).

Qué cambió

• Los maintainers de MCP fusionaron el pull request #3526, "docs: add EU Cyber Resilience Act stewardship guidance", el 13 de noviembre de 2026.
• El cambio modifica los archivos SECURITY.md, docs/community/policies.mdx y docs/community/contributor-ladder.mdx.
• GitHub Security Advisories queda designado como el canal formal de notificación urgente de vulnerabilidades bajo la Ley de Resiliencia Cibernética de la UE (CRA).
• Quienes reporten una vulnerabilidad deben indicar ahora si está siendo explotada activamente o si está vinculada a un incidente en curso.
• Los Core y Lead Maintainers deben escalar de inmediato las vulnerabilidades explotadas activamente o los incidentes graves al steward de la CRA de la Linux Foundation, con plazos de 24 horas para la alerta temprana y 72 horas para la notificación, en línea con el artículo 14 de la CRA.
• Se creó un canal privado #security-disclosures como vía interna de notificación, mientras que cada repositorio de los SDK de MCP mantiene su propio archivo SECURITY.md independiente.

Qué significa para quienes construyen con IA

Los maintainers de servidores y SDK de MCP ya cuentan con una ruta de cumplimiento documentada para los plazos de notificación de incidentes de la Ley de Resiliencia Cibernética de la UE. Esta guía es la primera respuesta formal del protocolo a las obligaciones de la CRA que afectan a cualquier despliegue de MCP orientado a la UE. Quienes reportan vulnerabilidades y quienes mantienen el proyecto saben ahora qué canal usar, con qué rapidez debe escalar un caso y quién habla en nombre del proyecto ante el steward de la CRA, ya que los maintainers designados representan al proyecto con una sola voz ante la Linux Foundation, aunque cada repositorio de los SDK de MCP conserve su propio archivo SECURITY.md.

Fuentes

• docs: add EU Cyber Resilience Act stewardship guidance (Model Context Protocol (GitHub), 13 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.