Cómo notificar a INCIBE-CERT conforme al CRA

1. Quién recibe tu notificación: INCIBE-CERT y CCN-CERT

España divide por tipo de sujeto: el Instituto Nacional de Ciberseguridad (INCIBE) con INCIBE-CERT para empresas y ciudadanos, y el CCN-CERT para el sector público. INCIBE tiene su sede en León y no en Madrid, una apuesta por la descentralización con pocos paralelos en el resto de Europa.

La cadena es exactamente esta: la autoridad como institución, INCIBE-CERT como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

INCIBE es el organismo público español de ciberseguridad, con sede en León, e INCIBE-CERT es su equipo de respuesta para empresas y ciudadanos. Para el sector público opera en cambio el CCN-CERT, dependiente del Centro Nacional de Inteligencia; para la defensa, el ESPDEF-CERT.

2. El canal nacional, en la práctica

La lengua de la notificación es el español. INCIBE publica avisos y material técnico en español y mantiene canales distintos para los avisos de las empresas y los de los ciudadanos: un fabricante usa el primero.

El reparto español por tipo de sujeto — empresa, administración, defensa — es más marcado que en otros países. Un fabricante privado que además suministra a la administración puede acabar tratando con dos equipos distintos sobre el mismo producto.

INCIBE-CERT · sitio web oficial

3. El contexto en el que se inserta

España transpuso la NIS2 confirmando ese reparto y reforzando el papel de INCIBE como referente para el tejido productivo. El modelo sigue siendo de varios equipos, coordinados pero distintos.

Para el CRA la designación del CSIRT que recibe las notificaciones de los fabricantes sigue la transposición nacional del Reglamento y no se desprende automáticamente de ese reparto. Comprueba la designación vigente antes de presentar.

Un último apunte práctico: INCIBE gestiona además programas de apoyo a las empresas sobre gestión de vulnerabilidades y mantiene un esquema propio de divulgación coordinada. Si aún no tienes una política de divulgación, ese material es un punto de partida alineado con lo que la autoridad espera recibir.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con INCIBE-CERT, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En España conviene aclarar pronto cuál es tu equipo, sobre todo si vendes también a la administración pública: la respuesta no depende del producto sino de quién eres, y conviene ponerla por escrito antes de necesitarla.

Y una nota sobre el tiempo: España va en CET/CEST en la península y en WET/WEST en Canarias, con festivos que cambian de una comunidad autónoma a otra. Las veinticuatro horas del art. 14 son las mismas en todas partes. Si tu guardia está distribuida, fija un huso horario de referencia único y escríbelo en el procedimiento.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.