Cómo notificar a NCSC-NL conforme al CRA

1. Quién recibe tu notificación: NCSC-NL

El Nationaal Cyber Security Centrum (NCSC-NL) reúne en un solo organismo la autoridad y el equipo operativo. El NCSC-NL opera desde La Haya y mantiene una tradición de publicación técnica abierta superior a la media europea.

La cadena es exactamente esta: la autoridad como institución, NCSC-NL como equipo operativo que lee tu notificación y que, junto con ENISA, forma el destinatario previsto en el art. 14.

El NCSC-NL tiene su sede en La Haya y opera bajo el Ministerio de Justicia y Seguridad. Históricamente servía a la administración y a las infraestructuras críticas, mientras que las empresas tenían interlocutores distintos: el Digital Trust Center y el CSIRT para los proveedores de servicios digitales.

2. El canal nacional, en la práctica

La lengua de la notificación puede ser el neerlandés o el inglés: el NCSC-NL trabaja habitualmente en ambas y publica gran parte de su material técnico en inglés.

Los Países Bajos han iniciado la consolidación de esas organizaciones en un único centro nacional. Es un proceso en curso: comprueba qué ventanilla está activa en el momento en que la necesitas, en vez de fiarte de una referencia hallada en un documento de hace dos años.

NCSC-NL · sitio web oficial

3. El contexto en el que se inserta

La transposición de la NIS2 acompaña esa consolidación y amplía el número de sujetos obligados a notificar. El modelo neerlandés sigue siendo pragmático y muy orientado al intercambio de información con el sector privado.

Para el CRA la designación del CSIRT destinatario de las notificaciones de los fabricantes sigue la transposición nacional del Reglamento. En una fase de reorganización esa comprobación vale doble: hazla antes de presentar, no durante.

Un último apunte práctico: los Países Bajos tienen una tradición consolidada de divulgación coordinada de vulnerabilidades, con directrices nacionales anteriores al CRA y ampliamente adoptadas. Si tu política de divulgación sigue ese modelo, ya estás cerca de lo que el Reglamento pide en el anexo I.

4. Cómo se presenta, en breve

La presentación no es un correo a la autoridad: pasa por la plataforma única de notificación establecida por el art. 16, y el acceso exige credenciales EU Login validadas antes.

La cadena de plazos — 24 horas, 72 horas, informe final — es la misma en toda la Unión y está explicada por completo en la página sobre el art. 14. Para el otro desencadenante del artículo, el plazo final cambia: está en la página sobre el incidente grave.

5. Qué preparar antes de un incidente

Cinco cosas, ordenadas con calma, marcan la diferencia entre una notificación presentada a tiempo y una presentada tarde. La primera es el punto de contacto con NCSC-NL, designado y validado, con un sustituto nombrado: el día del caso no se busca quién tiene las credenciales.

En los Países Bajos conviene anotar la fecha en que comprobaste el canal y el nombre del contacto: en un ecosistema que se está reorganizando, una referencia verificada hace seis meses puede haber dejado de ser la correcta.

Y una nota sobre el tiempo: los Países Bajos van en CET/CEST. Las veinticuatro horas corren también de noche y en fin de semana. En un ecosistema que se reorganiza, tener el canal verificado y el sustituto nombrado cuenta más que conocer personalmente a un contacto que puede cambiar de puesto.

Esta guía expone nuestra lectura del texto normativo y de los procedimientos públicos; no constituye asesoramiento jurídico, y los detalles operativos de la plataforma pueden evolucionar.