Cómo notificar a CERT.be conforme al CRA

1. Quién recibe tu notificación: CCB y CERT.be

El Centre for Cybersecurity Belgium (CCB) es la autoridad nacional, y CERT.be es su equipo operativo. El CCB opera desde Bruselas y nació en 2015, lo que lo convierte en una de las autoridades nacionales más recientes de las cubiertas por estas páginas.

La cadena es exactamente esta: la autoridad como institución, CERT.be como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

El CCB es el Centro para la Ciberseguridad de Bélgica y opera bajo la Cancillería del Primer Ministro. CERT.be es su equipo operativo. Es un esquema joven y centralizado: una única autoridad federal, con un único equipo técnico, para un país con tres lenguas oficiales.

2. El canal nacional, en la práctica

La lengua de la notificación puede ser el neerlandés, el francés o el inglés: el CCB trabaja habitualmente en las tres. Para un fabricante con documentación en inglés es la situación más sencilla entre los países cubiertos por estas páginas.

El CCB publica avisos y mantiene un programa de divulgación coordinada de vulnerabilidades que está entre los más explícitos de Europa. Si ya tienes una política de divulgación, comprueba que encaje con ese marco: son dos procesos que se encuentran.

CERT.be · sitio web oficial

3. El contexto en el que se inserta

Bélgica transpuso la NIS2 con una ley federal que confía al CCB el papel de autoridad nacional competente y punto de contacto único. El resultado es un ecosistema compacto, con pocas interfaces.

Para el CRA la designación del CSIRT que recibe las notificaciones de los fabricantes debe comprobarse igualmente en la transposición nacional del Reglamento, que no coincide automáticamente con el perímetro NIS2.

Un último apunte práctico: Bélgica alberga numerosas instituciones europeas, y el CCB trabaja en un contexto en el que la coordinación con ENISA y las redes europeas es cotidiana. Para un fabricante eso significa procedimientos alineados con la práctica común y pocas particularidades locales que aprender.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CERT.be, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Bélgica conviene decidir de antemano en qué lengua presentarás y mantenerla coherente entre alerta temprana, actualización e informe final: tres documentos en tres lenguas sobre un mismo caso complican la lectura a quien deba correlacionarlos.

Y una nota sobre el tiempo: Bélgica va en CET/CEST. Las veinticuatro horas corren también en festivo, y en una organización que trabaja en tres lenguas conviene que el punto de contacto y su sustituto compartan la misma lengua de presentación, para que el relevo no añada una traducción.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.