Cómo notificar a CERT-FR conforme al CRA

1. Quién recibe tu notificación: ANSSI y CERT-FR

La Agence nationale de la sécurité des systèmes d’information (ANSSI) es la autoridad nacional, y el CERT-FR es su centro operativo. La ANSSI tiene su sede en París y es conocida por un aparato normativo detallado y un uso estricto de la lengua francesa.

La cadena es exactamente esta: la autoridad como institución, CERT-FR como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

La ANSSI es la autoridad nacional francesa para la seguridad de los sistemas de información, adscrita a la Secretaría General de la Defensa y la Seguridad Nacional. El CERT-FR es su centro operativo: recibe, califica y difunde. La cadena de mando es corta y declaradamente estatal.

2. El canal nacional, en la práctica

La lengua de la notificación es el francés. La ANSSI publica avisos y boletines en francés y mantiene una posición conocida sobre el uso de la lengua en las relaciones con la administración: una documentación técnica solo en inglés puede exigir un resumen en francés.

El CERT-FR distingue entre avisos de operadores regulados y avisos espontáneos de terceros. Un fabricante que no es operador de importancia vital pasa por el canal general, y conviene comprobar de antemano qué formulario se aplica.

CERT-FR · sitio web oficial

3. El contexto en el que se inserta

Francia transpuso la NIS2 confirmando a la ANSSI como autoridad competente y ampliando el perímetro de sujetos regulados. El modelo sigue siendo centralizado: una autoridad, un CERT nacional, competencias amplias.

Para el CRA la designación del CSIRT destinatario de las notificaciones de los fabricantes sigue igualmente la transposición nacional del Reglamento, cosa distinta del perímetro NIS2. Comprueba la vigente antes de presentar.

Un último apunte práctico: la ANSSI gestiona también los esquemas franceses de cualificación y certificación, y participa en el marco europeo. Si tu producto está entre los críticos, el organismo que recibe tus notificaciones es también el que conoce el itinerario de certificación.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CERT-FR, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Francia conviene preparar con tiempo un resumen en francés de los contenidos técnicos que tendrás que transmitir: traducir bajo presión, en veinticuatro horas, es la forma más sencilla de introducir un error en un documento que queda en el expediente.

Y una nota sobre el tiempo: Francia va en CET/CEST y tiene un calendario de festivos denso en primavera. Las veinticuatro horas del art. 14 no se detienen. Un sustituto nombrado, y no solo supuesto, es lo que distingue una guardia que aguanta de otra que solo existe en el organigrama.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.