Cómo notificar a CIRCL conforme al CRA

1. Quién recibe tu notificación: CIRCL y GOVCERT.LU

Luxemburgo separa los destinatarios por tipo de sujeto: CIRCL para el sector privado y los municipios, GOVCERT.LU para el Estado. CIRCL opera desde la ciudad de Luxemburgo, y su reputación técnica supera con creces el tamaño del país al que sirve.

La cadena es exactamente esta: la autoridad como institución, CIRCL como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

CIRCL es el centro de respuesta a incidentes de Luxemburgo para el sector privado, los municipios y las entidades no gubernamentales, y lo gestiona SECURITYMADEIN.LU. Para el Estado opera en cambio GOVCERT.LU. La división es por tipo de sujeto, no por tipo de suceso.

2. El canal nacional, en la práctica

La lengua de la notificación puede ser el francés, el inglés o el alemán: Luxemburgo trabaja ordinariamente en tres lenguas y CIRCL publica en inglés la mayor parte de su material técnico.

CIRCL es además autor de herramientas abiertas usadas en toda Europa para compartir indicadores — MISP la primera. Para un fabricante es un interlocutor técnicamente preparado, que espera avisos estructurados y sabe usarlos.

CIRCL · sitio web oficial

3. El contexto en el que se inserta

Luxemburgo tiene un ecosistema pequeño y denso, construido en torno a pocas organizaciones que se conocen. Es una ventaja operativa: los tiempos de respuesta son cortos y el recorrido administrativo es breve.

Para el CRA la designación del CSIRT destinatario de las notificaciones de los fabricantes sigue la transposición nacional del Reglamento. Comprueba cuál de los dos equipos está designado para tu caso antes de presentar, y no lo deduzcas del tamaño de tu empresa.

Un último apunte práctico: Luxemburgo tiene una concentración inusual de operadores financieros y proveedores de servicios digitales, y la práctica de CIRCL refleja esa clientela. Si tu producto sirve a ese sector, espera exigencias altas sobre la calidad del aviso técnico y el uso de formatos estructurados.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CIRCL, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Luxemburgo conviene aprovechar la brevedad de la cadena: un contacto establecido de antemano, con nombre y dirección verificados, reduce a pocas horas lo que en otros sitios exige un procedimiento.

Y una nota sobre el tiempo: Luxemburgo va en CET/CEST y tiene una alta proporción de trabajadores transfronterizos, con calendarios de festivos que no coinciden. Las veinticuatro horas del art. 14 no se ajustan a ninguno de los tres calendarios: planifica la disponibilidad en consecuencia.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.