Cómo notificar a CERT-Bund conforme al CRA

1. Quién recibe tu notificación: BSI y CERT-Bund

La Bundesamt für Sicherheit in der Informationstechnik (BSI) es la autoridad federal de seguridad de la información, y CERT-Bund es el equipo que opera en su seno. El BSI tiene su sede en Bonn, emplea a más de mil personas y es además organismo de certificación.

La cadena es exactamente esta: la autoridad como institución, CERT-Bund como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

El BSI es una autoridad federal con sede en Bonn y el mayor aparato técnico entre las agencias europeas de ciberseguridad. CERT-Bund es su equipo operativo: recibe los avisos, los correlaciona y difunde alertas. Para un fabricante, el BSI es la institución y CERT-Bund quien de verdad lee el texto que envías.

2. El canal nacional, en la práctica

La lengua de la notificación es el alemán. El BSI publica avisos y boletines en alemán y mantiene canales distintos para los operadores de sectores regulados y para los fabricantes: cuál rige a efectos del CRA se desprende de la transposición nacional.

Quien ya notifica como sujeto NIS conoce ese recorrido. El CRA no lo sustituye ni queda absorbido en él: son dos obligaciones distintas, con presupuestos diferentes, que pueden nacer a la vez del mismo hecho.

CERT-Bund · sitio web oficial

3. El contexto en el que se inserta

Alemania confirmó al BSI como autoridad nacional central en su ley de transposición de la NIS2. El resultado es un ecosistema en el que CERT-Bund es la ventanilla operativa para la mayor parte de las obligaciones de notificación cíber.

Para el CRA eso no es una respuesta automática: la designación del CSIRT que recibe las notificaciones de los fabricantes sigue la transposición nacional del Reglamento. Comprueba la designación vigente antes de presentar; no la deduzcas de la NIS2.

Un último apunte práctico: el BSI es además organismo de certificación y mantiene esquemas nacionales de larga trayectoria junto a su papel en el marco europeo. Si tu producto está entre los críticos y necesita certificación, el interlocutor es el mismo organismo que recibe tus avisos. En Alemania esa concentración es más marcada que en otros países.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CERT-Bund, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Alemania conviene aclarar pronto si tu empresa ya está registrada ante el BSI por otras obligaciones: punto de contacto y credenciales pueden coincidir en parte, y resolverlo con calma es mejor que descubrirlo el día del caso.

Y una nota sobre el tiempo: Alemania va en CET/CEST y los Länder tienen festivos distintos. Las veinticuatro horas del art. 14 no conocen festivos, ni regionales ni nacionales. Si tu guardia sigue un calendario local, comprueba que cubra también los días en que la oficina cierra en una sola región.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.