Cómo notificar a CERT.at conforme al CRA

1. Quién recibe tu notificación: CERT.at y GovCERT Austria

CERT.at es el CERT nacional austriaco, alojado en nic.at con mandato público, mientras que GovCERT Austria sirve a la administración: dos equipos, dos públicos. CERT.at opera desde Viena, y su ubicación dentro del registro del dominio es una elección austriaca, no la norma europea.

La cadena es exactamente esta: la autoridad como institución, CERT.at como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

CERT.at es el CERT nacional austriaco y no es una oficina ministerial: opera dentro de nic.at, el registro del dominio nacional, con mandato público. A su lado está GovCERT Austria, que sirve a la administración. Para un fabricante privado el referente natural es CERT.at.

2. El canal nacional, en la práctica

La lengua de la notificación es el alemán; CERT.at publica avisos también en inglés y trabaja habitualmente en ambas. Esa doble lengua es una comodidad práctica para un fabricante con documentación técnica en inglés.

El esquema austriaco es, por tanto, bicéfalo por construcción — equipo civil y equipo de gobierno — y la competencia se elige según quién eres, no según qué tipo de suceso tienes. No es un detalle organizativo: cambia la puerta a la que llamas.

CERT.at · sitio web oficial

3. El contexto en el que se inserta

Austria construyó su marco de ciberseguridad alrededor de la ley nacional de transposición de la NIS y de una coordinación entre la Cancillería Federal, el Ministerio del Interior y CERT.at. Es un modelo distribuido con un centro de coordinación ligero.

Para el CRA esto significa que la designación del CSIRT destinatario de las notificaciones de los fabricantes debe comprobarse en la transposición nacional vigente, no deducirse de la estructura NIS. Compruébala antes de presentar.

Un último apunte práctico: Austria se apoya de forma notable en la coordinación europea y en las redes de CSIRT más que en esquemas nacionales propios. Para un fabricante eso se traduce en menos particularidades locales y mayor adhesión a la práctica común europea, buena noticia si operas en varios Estados miembros.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CERT.at, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Austria conviene fijar de antemano cuál de los dos equipos es tu interlocutor y obtener confirmación escrita del canal: aclararlo mientras corre un plazo de veinticuatro horas es el peor momento posible.

Y una nota sobre el tiempo: Austria va en CET/CEST y comparte buena parte del calendario alemán de festivos. El plazo de veinticuatro horas corre igualmente. Una guardia que descansa en una sola persona, en un país con puentes largos, acaba perdiendo un plazo.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.