Jak zgłaszać do INCIBE-CERT na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: INCIBE-CERT i CCN-CERT

Hiszpania dzieli według rodzaju podmiotu: Instituto Nacional de Ciberseguridad (INCIBE) z INCIBE-CERT dla firm i obywateli oraz CCN-CERT dla sektora publicznego. INCIBE ma siedzibę w León, a nie w Madrycie — to decyzja o decentralizacji, mająca niewiele odpowiedników w Europie.

Łańcuch wygląda dokładnie tak: organ jako instytucja, INCIBE-CERT jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

INCIBE to hiszpańska publiczna instytucja cyberbezpieczeństwa z siedzibą w León, a INCIBE-CERT to jej zespół reagowania dla firm i obywateli. Dla sektora publicznego działa natomiast CCN-CERT, podległy krajowej służbie wywiadu; dla obronności — ESPDEF-CERT.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest hiszpański. INCIBE publikuje ostrzeżenia i materiały techniczne po hiszpańsku i prowadzi odrębne kanały dla zgłoszeń firm i obywateli: producent korzysta z pierwszego.

Hiszpański podział według rodzaju podmiotu — firma, administracja, obronność — jest wyraźniejszy niż gdzie indziej. Prywatny producent, który dostarcza także administracji, może w sprawie tego samego produktu rozmawiać z dwoma zespołami.

INCIBE-CERT · oficjalna strona

3. Otoczenie, w którym działa

Hiszpania wdrożyła NIS2, potwierdzając ten podział i wzmacniając rolę INCIBE jako punktu odniesienia dla przedsiębiorstw. Model pozostaje wielozespołowy: skoordynowany, lecz rozdzielony.

Dla CRA wyznaczenie CSIRT przyjmującego zgłoszenia producentów wynika z krajowego wdrożenia rozporządzenia i nie wynika automatycznie z tego podziału. Proszę sprawdzić obowiązujące wyznaczenie przed złożeniem.

Ostatni praktyczny punkt: INCIBE prowadzi też programy wsparcia firm w obsłudze podatności i utrzymuje własny program skoordynowanego ujawniania. Jeśli nie mają Państwo jeszcze polityki ujawniania, ten materiał jest punktem wyjścia zgodnym z tym, czego organ oczekuje.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec INCIBE-CERT, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

W Hiszpanii warto wcześnie ustalić, który zespół jest Państwa — zwłaszcza przy sprzedaży do administracji publicznej: odpowiedź nie zależy od produktu, lecz od tego, kim Państwo są, i powinna być spisana, zanim będzie potrzebna.

I uwaga o czasie: Hiszpania działa w CET/CEST na półwyspie i w WET/WEST na Wyspach Kanaryjskich, ze świętami różniącymi się między wspólnotami autonomicznymi. Dwadzieścia cztery godziny z art. 14 są wszędzie takie same. Jeśli dyżur jest rozproszony, proszę ustalić jedną strefę odniesienia i wpisać ją do procedury.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.