Comment signaler à INCIBE-CERT au titre du CRA

1. Qui reçoit votre notification : INCIBE-CERT et CCN-CERT

L’Espagne répartit par type d’entité : l’Instituto Nacional de Ciberseguridad (INCIBE) avec INCIBE-CERT pour les entreprises et les particuliers, le CCN-CERT pour le secteur public. INCIBE a son siège à León et non à Madrid, un choix de décentralisation qui a peu d’équivalents ailleurs en Europe.

La chaîne est exactement celle-ci : l'autorité comme institution, INCIBE-CERT comme équipe opérationnelle qui lit votre notification et qui, avec l'ENISA, forme le destinataire prévu par l'art. 14.

INCIBE est l’organisme public espagnol de cybersécurité, sis à León, et INCIBE-CERT en est l’équipe de réponse pour les entreprises et les particuliers. Pour le secteur public opère en revanche le CCN-CERT, rattaché au Centre national de renseignement ; pour la défense, l’ESPDEF-CERT.

2. Le canal national, en pratique

La langue de la notification est l’espagnol. INCIBE publie avis et matériel technique en espagnol et maintient des canaux distincts pour les signalements des entreprises et ceux des particuliers : un fabricant utilise le premier.

La répartition espagnole par type d’entité — entreprise, administration, défense — est plus marquée qu’ailleurs. Un fabricant privé qui fournit aussi l’administration peut se retrouver à traiter avec deux équipes différentes pour le même produit.

INCIBE-CERT · site officiel

3. Le paysage dans lequel il s’inscrit

L’Espagne a transposé la NIS2 en confirmant cette répartition et en renforçant le rôle d’INCIBE comme référence pour le tissu économique. Le modèle reste à plusieurs équipes, coordonnées mais distinctes.

Pour le CRA, la désignation du CSIRT qui reçoit les notifications des fabricants suit la mise en œuvre nationale du règlement et ne découle pas automatiquement de cette répartition. Vérifiez la désignation en vigueur avant de déposer.

Un dernier point pratique : INCIBE anime aussi des programmes d’accompagnement des entreprises sur le traitement des vulnérabilités et maintient son propre schéma de divulgation coordonnée. Si vous n’avez pas encore de politique de divulgation, ce matériel est un point de départ aligné sur ce que l’autorité s’attend à recevoir.

4. Comment se fait le dépôt, en bref

Le dépôt n’est pas un courriel à l’autorité : il passe par la plateforme de signalement unique instituée par l’art. 16, et l’accès exige des identifiants EU Login validés au préalable.

La chaîne des délais — 24 heures, 72 heures, rapport final — est la même dans toute l’Union et figure en entier sur la page consacrée à l’art. 14. Pour l’autre déclencheur de l’article, le délai final change : il est sur la page incident grave.

5. Ce qu'il faut préparer avant un incident

Cinq choses, mises en place calmement, font la différence entre un signalement déposé à temps et un signalement déposé trop tard. La première est le point de contact vers INCIBE-CERT, désigné et validé, avec un suppléant nommé : le jour du cas, on ne cherche pas qui détient les identifiants.

En Espagne, il est utile de clarifier tôt quelle équipe est la vôtre, surtout si vous vendez aussi à l’administration publique : la réponse ne dépend pas du produit mais de qui vous êtes, et elle gagne à être écrite avant d’être nécessaire.

Et une note sur le temps : l’Espagne est en CET/CEST sur la péninsule et en WET/WEST aux Canaries, avec des jours fériés qui changent d’une communauté autonome à l’autre. Les vingt-quatre heures de l’art. 14 sont partout les mêmes. Si votre astreinte est répartie, fixez un fuseau de référence unique et inscrivez-le dans la procédure.

Ce guide expose notre lecture du texte réglementaire et des procédures publiques ; il ne constitue pas un conseil juridique, et les détails opérationnels de la plateforme peuvent évoluer.