Cómo notificar a CSIRT NASK conforme al CRA

1. Quién recibe tu notificación: CSIRT NASK, CSIRT GOV y CSIRT MON

CSIRT NASK, CSIRT GOV y CSIRT MON son las tres autoridades nacionales, con competencias repartidas por sector: NASK para el civil, GOV para la administración del Estado, MON para la defensa. NASK opera desde Varsovia y es a la vez instituto de investigación, registro del dominio nacional y equipo de respuesta: una combinación rara en Europa.

La cadena es exactamente esta: la autoridad como institución, CSIRT NASK como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

Polonia no tiene un CSIRT nacional sino tres: CSIRT NASK para el sector civil, CSIRT GOV para la administración del Estado — encuadrado en la ABW — y CSIRT MON para la defensa. Son tres autoridades distintas, con competencias repartidas por sectores por la ley del sistema nacional de ciberseguridad.

2. El canal nacional, en la práctica

La lengua de la notificación es el polaco. NASK publica avisos y material técnico en polaco, con una parte en inglés; para un fabricante extranjero este es el punto que más preparación exige entre los países cubiertos por estas páginas.

Un fabricante privado recae por regla general en el CSIRT NASK. El reparto no depende del tipo de suceso sino del sector en el que operas, y en los casos mixtos — un proveedor civil que sirve también a la defensa — conviene aclararlo antes, no durante.

CSIRT NASK · sitio web oficial

3. El contexto en el que se inserta

Polonia construyó su marco sobre la ley de 2018 del sistema nacional de ciberseguridad, después adaptada a la NIS2. Es un modelo de tres pilares, pensado expresamente para mantener separada la cadena militar de la civil.

Para el CRA la designación del CSIRT que recibe las notificaciones de los fabricantes sigue la transposición nacional del Reglamento y no se desprende automáticamente de ese reparto. Comprueba la designación vigente antes de presentar.

Un último apunte práctico: NASK es además un instituto de investigación y gestiona el registro del dominio nacional junto al CSIRT. Es un interlocutor técnicamente amplio, pero el reparto entre los tres CSIRT sigue siendo la variable que conviene aclarar primero, porque es la única que no puedes deducir de tu producto.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con CSIRT NASK, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En Polonia conviene preparar con tiempo la versión polaca de los contenidos técnicos recurrentes y confirmar por escrito cuál de los tres CSIRT es el tuyo: son las dos cosas que, si faltan, cuestan horas justo cuando no las hay.

Y una nota sobre el tiempo: Polonia va en CET/CEST. Las veinticuatro horas del art. 14 no se detienen en festivo, y en Polonia los festivos son numerosos y concentrados. Si la documentación técnica debe traducirse al polaco antes de presentar, ese tiempo se resta de las veinticuatro horas, no se suma.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.