Come segnalare a CERT-Bund sotto il CRA

1. Chi riceve la tua notifica: BSI e CERT-Bund

Il Bundesamt für Sicherheit in der Informationstechnik (BSI) è l’autorità federale per la sicurezza informatica, e CERT-Bund è la squadra che opera al suo interno. Il BSI ha sede a Bonn, conta oltre millecinquecento persone ed è anche organismo di certificazione.

La catena è questa: l'autorità come istituzione, CERT-Bund come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

Il BSI è un’autorità federale con sede a Bonn e il più grande apparato tecnico fra le agenzie europee di cibersicurezza. CERT-Bund è la sua squadra operativa: riceve le segnalazioni, le correla, dirama avvisi. Per un fabbricante il BSI è l’istituzione, CERT-Bund è chi legge davvero il testo che invii.

2. Il canale nazionale, in pratica

La lingua della notifica è il tedesco. Il BSI pubblica avvisi e bollettini in tedesco e mantiene canali distinti per gli operatori dei settori regolati e per i fabbricanti: quale valga ai fini del CRA discende dall’attuazione nazionale.

Chi ha già un obbligo di notifica come soggetto NIS conosce quel percorso. Il CRA non lo sostituisce e non vi si assorbe: sono due obblighi distinti, con presupposti diversi, che per lo stesso evento possono scattare insieme.

CERT-Bund · sito ufficiale

3. Il contesto in cui si inserisce

La Germania ha confermato con la legge di attuazione della NIS2 il ruolo del BSI come autorità nazionale centrale. Il risultato è un ecosistema in cui CERT-Bund è lo sportello operativo per la maggior parte degli obblighi di segnalazione a carattere cyber.

Per il CRA questo non basta come risposta automatica: la designazione del CSIRT che riceve le notifiche dei fabbricanti segue l’attuazione nazionale del Regolamento. Verifica la designazione in vigore prima di depositare, e non dedurla dalla NIS2.

Un ultimo elemento pratico: il BSI è anche organismo di certificazione e mantiene schemi nazionali storici, oltre a partecipare al quadro europeo. Se il tuo prodotto ricade fra i critici e ti serve una certificazione, l’interlocutore è lo stesso ente che riceve le segnalazioni. In Germania questa concentrazione è più marcata che altrove e vale la pena tenerne conto nella pianificazione.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso CERT-Bund, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

In Germania conviene chiarire per tempo se la tua azienda è già registrata presso il BSI per altri obblighi: referente e credenziali possono in parte coincidere, e stabilirlo con calma vale più che scoprirlo nel giorno del caso.

E una nota sul tempo: la Germania è su CET/CEST e i Länder hanno festività diverse fra loro. Le ventiquattro ore dell’Art. 14 non conoscono festività, regionali o nazionali che siano. Se il presidio è organizzato su un calendario locale, verifica che copra anche i giorni in cui l’ufficio è chiuso in una sola regione.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.