Hoe u onder de CRA meldt bij INCIBE-CERT

1. Wie uw melding ontvangt: INCIBE-CERT en CCN-CERT

Spanje verdeelt naar type entiteit: het Instituto Nacional de Ciberseguridad (INCIBE) met INCIBE-CERT voor bedrijven en burgers, en CCN-CERT voor de publieke sector. INCIBE zetelt in León en niet in Madrid, een decentralisatiekeuze met weinig parallellen elders in Europa.

De keten is precies deze: de autoriteit als instelling, INCIBE-CERT als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

INCIBE is het Spaanse publieke cyberbeveiligingsorgaan, gevestigd in León, en INCIBE-CERT is het responsteam voor bedrijven en burgers. Voor de publieke sector werkt daarentegen CCN-CERT, dat onder de nationale inlichtingendienst valt; voor defensie ESPDEF-CERT.

2. Het nationale kanaal in de praktijk

De taal van de melding is Spaans. INCIBE publiceert waarschuwingen en technisch materiaal in het Spaans en houdt gescheiden kanalen aan voor meldingen van bedrijven en van burgers: een fabrikant gebruikt het eerste.

De Spaanse verdeling naar type entiteit — bedrijf, overheid, defensie — is scherper dan elders. Een particuliere fabrikant die ook aan de overheid levert, kan over hetzelfde product met twee verschillende teams te maken krijgen.

INCIBE-CERT · officiële website

3. Het landschap eromheen

Spanje zette NIS2 om met bevestiging van die verdeling en versterking van INCIBE als referentie voor het bedrijfsleven. Het model blijft meerteams: gecoördineerd maar gescheiden.

Voor de CRA volgt de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt de nationale uitvoering van de verordening en vloeit zij niet automatisch voort uit die verdeling. Controleer de geldende aanwijzing voordat u indient.

Nog één praktisch punt: INCIBE voert ook ondersteuningsprogramma's voor bedrijven over het omgaan met kwetsbaarheden en onderhoudt een eigen schema voor gecoördineerde bekendmaking. Hebt u nog geen bekendmakingsbeleid, dan is dat materiaal een startpunt dat aansluit op wat de autoriteit verwacht te ontvangen.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij INCIBE-CERT, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Spanje loont het vroeg duidelijk te maken welk team het uwe is, zeker als u ook aan de overheid levert: het antwoord hangt niet af van het product maar van wie u bent, en het hoort op papier te staan voordat het nodig is.

En een noot over tijd: Spanje zit op het vasteland op CET/CEST en op de Canarische Eilanden op WET/WEST, met feestdagen die per autonome gemeenschap verschillen. De vierentwintig uur van art. 14 zijn overal gelijk. Is uw piket verspreid, leg dan één referentietijdzone vast en schrijf die in de procedure.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.