Come segnalare a INCIBE-CERT sotto il CRA

1. Chi riceve la tua notifica: INCIBE-CERT e CCN-CERT

La Spagna divide per tipo di soggetto: l’Instituto Nacional de Ciberseguridad (INCIBE) con INCIBE-CERT per imprese e cittadini, il CCN-CERT per il settore pubblico. INCIBE ha sede a León e non a Madrid, una scelta di decentramento che nel resto d’Europa ha pochi paralleli.

La catena è questa: l'autorità come istituzione, INCIBE-CERT come squadra operativa che legge la tua notifica e che, insieme ad ENISA, forma il destinatario previsto dall'Art. 14.

INCIBE è l’ente pubblico spagnolo per la cibersicurezza, con sede a León, e INCIBE-CERT è la sua squadra di risposta per le imprese e i cittadini. Per il settore pubblico opera invece il CCN-CERT, che dipende dal Centro Nazionale di Intelligence; per la difesa l’ESPDEF-CERT.

2. Il canale nazionale, in pratica

La lingua della notifica è lo spagnolo. INCIBE pubblica avvisi e materiale tecnico in spagnolo e mantiene canali distinti per le segnalazioni delle imprese e per quelle dei cittadini: un fabbricante usa il primo.

La ripartizione spagnola per tipo di soggetto — impresa, amministrazione, difesa — è più marcata che altrove. Un fabbricante privato che fornisce anche l’amministrazione può trovarsi a interagire con due squadre diverse sullo stesso prodotto.

INCIBE-CERT · sito ufficiale

3. Il contesto in cui si inserisce

La Spagna ha recepito la NIS2 confermando questa ripartizione e rafforzando il ruolo di INCIBE come riferimento per il tessuto produttivo. Il modello resta a più squadre, coordinate ma distinte.

Per il CRA la designazione del CSIRT che riceve le notifiche dei fabbricanti segue l’attuazione nazionale del Regolamento e non discende automaticamente da questa ripartizione. Verifica la designazione in vigore prima di depositare.

Un ultimo elemento pratico: INCIBE gestisce anche programmi di supporto alle imprese sulla gestione delle vulnerabilità e mantiene un proprio schema di divulgazione coordinata. Se non hai ancora una politica di divulgazione, quel materiale è un punto di partenza allineato a ciò che l’autorità si aspetta di ricevere.

4. Come si deposita, in breve

Il deposito non è un’email all’autorità: passa dalla piattaforma unica di segnalazione istituita dall’Art. 16, e l’accesso richiede credenziali EU Login validate prima.

La catena dei termini — 24 ore, 72 ore, relazione finale — è la stessa in tutta l’Unione ed è spiegata per intero nella pagina sull’Art. 14. Per l’altro innesco dell’articolo, il termine finale cambia: lo trovi nella pagina sull’incidente grave.

5. Cosa preparare prima di un incidente

Cinque cose, sistemate con calma, fanno la differenza fra una segnalazione depositata in tempo e una depositata tardi. La prima è il punto di contatto verso INCIBE-CERT, designato e validato, con un sostituto nominato: nel giorno del caso non si cerca chi ha le credenziali.

In Spagna conviene chiarire per tempo quale squadra è la tua, soprattutto se vendi anche alla pubblica amministrazione: la risposta non dipende dal prodotto ma da chi sei, e va messa per iscritto prima che serva.

E una nota sul tempo: la Spagna è su CET/CEST nella penisola e su WET/WEST alle Canarie, con festività che cambiano da comunità autonoma a comunità autonoma. Le ventiquattro ore dell’Art. 14 sono le stesse ovunque. Se il tuo presidio è distribuito, fissa un fuso di riferimento unico e scrivilo nella procedura.

Questa guida descrive la nostra lettura del testo normativo e delle procedure pubbliche; non costituisce parere legale, e i dettagli operativi della piattaforma possono evolvere.