Come segnalare a CERT-FR sotto il CRA

1. Chi riceve la tua notifica: ANSSI e CERT-FR

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) è l’autorità nazionale, e il CERT-FR è il suo centro operativo. L’ANSSI ha sede a Parigi ed è nota per un impianto normativo dettagliato e per un uso rigoroso della lingua francese.

La catena è questa: l'autorità come istituzione, CERT-FR come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

L’ANSSI è l’autorità nazionale francese per la sicurezza dei sistemi d’informazione, posta sotto il Segretariato generale della difesa e della sicurezza nazionale. Il CERT-FR è il suo centro operativo: riceve, qualifica e diffonde. La catena di comando è corta e dichiaratamente statale.

2. Il canale nazionale, in pratica

La lingua della notifica è il francese. L’ANSSI pubblica avvisi e bollettini in francese e mantiene una posizione nota sull’uso della lingua nei rapporti con l’amministrazione: una documentazione tecnica solo in inglese può richiedere una sintesi in francese.

Il CERT-FR distingue fra segnalazioni provenienti da operatori regolati e segnalazioni spontanee di terzi. Un fabbricante che non è operatore di importanza vitale passa dal canale generale, e conviene verificare in anticipo quale modulo si applica.

CERT-FR · sito ufficiale

3. Il contesto in cui si inserisce

La Francia ha recepito la NIS2 confermando l’ANSSI come autorità competente e ampliando il perimetro dei soggetti regolati. Il modello resta accentrato: una sola autorità, un solo CERT nazionale, competenze ampie.

Per il CRA la designazione del CSIRT destinatario delle notifiche dei fabbricanti segue comunque l’attuazione nazionale del Regolamento, che è cosa distinta dal perimetro NIS2. Verifica quella in vigore prima di depositare.

Un ultimo elemento pratico: l’ANSSI gestisce anche gli schemi francesi di qualificazione e certificazione, e partecipa al quadro europeo. Se il tuo prodotto ricade fra i critici, l’ente che riceve le tue notifiche è anche quello che conosce il percorso di certificazione. In Francia i due mondi comunicano più di quanto la struttura formale lasci intuire.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso CERT-FR, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

In Francia conviene predisporre per tempo una sintesi in francese dei contenuti tecnici che dovrai trasmettere: tradurre sotto pressione, in ventiquattro ore, è il modo più semplice per introdurre un errore in un documento che resta agli atti.

E una nota sul tempo: la Francia è su CET/CEST e ha un calendario di festività denso in primavera. Le ventiquattro ore dell’Art. 14 non si fermano. Un sostituto nominato, e non soltanto ipotizzato, è ciò che distingue un presidio che regge da uno che esiste solo sull’organigramma.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.