Wie man nach dem CRA an INCIBE-CERT meldet

1. Wer Ihre Meldung erhält: INCIBE-CERT und CCN-CERT

Spanien teilt nach Art der Einrichtung: das Instituto Nacional de Ciberseguridad (INCIBE) mit INCIBE-CERT für Unternehmen und Bürger, das CCN-CERT für den öffentlichen Sektor. INCIBE sitzt in León statt in Madrid — eine Dezentralisierungsentscheidung, die im übrigen Europa wenige Parallelen hat.

Die Kette ist genau diese: die Behörde als Institution, INCIBE-CERT als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

INCIBE ist die öffentliche Cybersicherheitseinrichtung Spaniens mit Sitz in León, und INCIBE-CERT ist ihr Reaktionsteam für Unternehmen und Bürger. Für den öffentlichen Sektor arbeitet dagegen CCN-CERT unter dem nationalen Nachrichtendienst, für die Verteidigung ESPDEF-CERT.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung ist Spanisch. INCIBE veröffentlicht Warnungen und technisches Material auf Spanisch und unterhält getrennte Kanäle für Unternehmens- und für Bürgermeldungen: ein Hersteller nutzt den ersten.

Die spanische Aufteilung nach Art der Einrichtung — Unternehmen, Verwaltung, Verteidigung — ist ausgeprägter als anderswo. Ein privater Hersteller, der auch die Verwaltung beliefert, kann zu demselben Produkt mit zwei Teams zu tun haben.

INCIBE-CERT · offizielle Website

3. Das Umfeld, in dem er steht

Spanien hat die NIS2 umgesetzt, diese Aufteilung bestätigt und die Rolle von INCIBE als Bezugspunkt für die Wirtschaft gestärkt. Das Modell bleibt mehrteamig: abgestimmt, aber getrennt.

Für den CRA folgt die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, der nationalen Umsetzung der Verordnung und ergibt sich nicht automatisch aus dieser Aufteilung. Prüfen Sie die geltende Benennung vor der Einreichung.

Ein letzter praktischer Punkt: INCIBE betreibt auch Unterstützungsprogramme für Unternehmen zum Umgang mit Schwachstellen und ein eigenes Schema zur koordinierten Offenlegung. Fehlt Ihnen noch eine Offenlegungsrichtlinie, ist dieses Material ein Ausgangspunkt, der dem entspricht, was die Behörde zu erhalten erwartet.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu INCIBE-CERT, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Spanien lohnt es sich, früh zu klären, welches Team Ihres ist — besonders wenn Sie auch an die öffentliche Verwaltung liefern: die Antwort hängt nicht vom Produkt ab, sondern davon, wer Sie sind, und gehört schriftlich festgehalten.

Und ein Hinweis zur Zeit: Spanien liegt auf dem Festland auf CET/CEST und auf den Kanaren auf WET/WEST, mit Feiertagen, die je autonomer Gemeinschaft wechseln. Die vierundzwanzig Stunden des Art. 14 sind überall dieselben. Ist Ihre Bereitschaft verteilt, legen Sie eine einzige Bezugszeitzone fest und schreiben Sie sie in das Verfahren.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.