CRA für spanische Hersteller: INCIBE-CERT, CCN und ENAC

Spanische Hersteller unterliegen denselben Pflichten unter der Cyberresilienz-Verordnung wie alle anderen EU-Hersteller. Diese Seite ist ein Länderleitfaden für Spanien: wie Schwachstellen- und Sicherheitsvorfallsmeldungen über INCIBE-CERT laufen, wie Konformitätsbewertungsstellen im spanischen Zwei-Behörden-Modell (CCN notifiziert, ENAC akkreditiert) benannt werden, was die Sprachpflicht für den spanischen Markt konkret bedeutet und was von den nationalen Förderprogrammen noch offen ist, während sich das Recovery-and-Resilience-Fenster schließt. Den vollständigen Pflichtenkatalog finden Sie im Cluster-Leitfaden für Hersteller.

Wann dieser Leitfaden für Sie gilt

Sie sind die Zielleserschaft, wenn Ihre Hersteller-Hauptniederlassung in der Union in Spanien liegt. Das ist der Ort, an dem die für die Cybersicherheit Ihrer Produkte mit digitalen Elementen maßgeblichen Entscheidungen überwiegend getroffen werden. Eine in Spanien eingetragene Vertriebstochtergesellschaft mit Entwicklung im Ausland ist keine Hauptniederlassung. Wenn Ihr Entwicklungsteam, Ihre SDLC-Governance und die für Sicherheits-Update-Freigaben verantwortlichen Personen in Spanien sitzen, gilt dieser Leitfaden für Sie.

Liegt Ihre Hauptniederlassung woanders in der EU und Sie liefern lediglich nach Spanien, laufen Ihre CRA-Meldungen über das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung, nicht über INCIBE-CERT. Die spanische Sprachpflicht für nutzerseitige Informationen gilt jedoch für jedes auf dem spanischen Markt bereitgestellte Produkt.

INCIBE-CERT: der spanische CSIRT-Weg

CRA-Meldungen laufen über das CSIRT, das als Koordinator desjenigen Mitgliedstaats benannt ist, in dem der Hersteller seine Hauptniederlassung in der Union hat. Für Hersteller mit Hauptniederlassung in Spanien ist dieses CSIRT INCIBE-CERT.

INCIBE-CERT veröffentlicht Schwachstellenhinweise auf Spanisch und betreibt den Meldestrom für Sicherheitsvorfälle bei Verbraucherprodukten. CCN-CERT deckt den öffentlichen Sektor und Verschlusssachen ab und ist nicht der CRA-Weg für kommerzielle Hersteller, die Produkte auf dem offenen Markt bereitstellen.

Der technische Kanal für die Meldekadenz von 24 Stunden, 72 Stunden und 14 Tagen ist die ENISA Single Reporting Platform, die am 11. September 2026 in Betrieb geht. Ein spanischer Hersteller meldet über diese Plattform mit INCIBE-CERT als empfangendem Koordinator. Die CSIRT-Benennung regelt das Routing. Die Plattform ist der Übertragungsweg.

Notifizierte Stellen: CCN benennt, ENAC akkreditiert

Produkte der Klasse Important I benötigen eine notifizierte Stelle (Modul B+C oder Modul H) nur dann, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema sie nicht vollständig abdecken. Produkte der Klasse Important II nutzen eine notifizierte Stelle (Modul B+C oder Modul H) oder ein verfügbares und anwendbares Zertifizierungsschema. Kritische Produkte (Anhang IV) folgen Artikel 32(4): dem Zertifizierungsweg nach Artikel 8(1), wo die Kommission ihn ausgelöst hat, andernfalls denselben Wegen nach Artikel 32(3).

Die spanische institutionelle Aufgabenteilung:

• CCN (Centro Criptológico Nacional) ist die notifizierende Behörde, die spanische Konformitätsbewertungsstellen formell gegenüber der Europäischen Kommission im Rahmen der Cyberresilienz-Verordnung benennt.
• ENAC (Entidad Nacional de Acreditación) ist die spanische nationale Akkreditierungsstelle und bewertet die technische Kompetenz eines Kandidaten, bevor CCN ihn benennt.

Der CRA-Rahmen für notifizierte Stellen gilt ab dem 11. Juni 2026, danach können benannte Stellen CRA-Konformitätsbewertungszertifikate ausstellen. Nach dem 11. Juni 2026 sollten Sie die endgültige BOE-Benennung prüfen, bevor Sie formale Einreichungen vornehmen.

Ein spanischer Hersteller kann jede EU-notifizierte Stelle in Anspruch nehmen, nicht nur in Spanien benannte. Die Wahl einer spanisch-benannten Stelle ist eine Beschaffungspräferenz (Bewertung auf Spanisch, unkompliziertere Audit-Logistik im Inland) und keine Pflicht aus der Cyberresilienz-Verordnung.

Marktüberwachung: SETID im MTDFP

Der spanische Entwurf eines Real Decreto benennt SETID im MTDFP als Marktüberwachungsbehörde für CRA-Produkte in Spanien. Diese Zuordnung bleibt bis zur endgültigen Veröffentlichung im BOE vorläufig.

INCIBE unterstützt die technische Seite als bevorzugtes Labor. Der Entwurf gibt INCIBE aber keine öffentlichen Entscheidungsbefugnisse für die CRA-Marktüberwachung. Prüfen Sie den endgültigen BOE-Text, bevor Sie eine formelle Einreichung machen.

Spanische Sprachpflichten in der Praxis

Die Cyberresilienz-Verordnung verlangt, dass nutzerseitige Produktinformationen in einer Sprache verfasst sind, die von Nutzern und der zuständigen Marktüberwachungsbehörde leicht verstanden wird. Für auf dem spanischen Markt bereitgestellte Produkte ist das Spanisch (Kastilisches Spanisch).

Muss auf Spanisch vorliegen:

• Die Benutzeranleitung und Produktinformationen, die mit dem Produkt geliefert werden.
• Die Hersteller-Kontaktdaten (Name, Adresse, E-Mail oder andere digitale Kontaktmöglichkeit), wo immer sie erscheinen, einschließlich auf dem Produkt selbst, der Verpackung oder dem beiliegenden Dokument.
• Die Angabe des Endes des Supportzeitraums, die am Verkaufsort anzuzeigen ist.

Kann mehrsprachig sein:

• Das Produktetikett und die CE-Kennzeichnung.
• Verpackungstext.
• Online-Dokumentation, sofern eine spanische Version erreichbar ist.

Englisch ist in der Regel akzeptabel für:

• Interne technische Dokumentation. Marktüberwachungsbehörden können eine spanische Übersetzung bei begründetem Ersuchen anfordern, planen Sie daher für diesen Fall vor, auch wenn Sie nicht proaktiv übersetzen.

Katalanisch, Galicisch und Baskisch sind in ihren jeweiligen autonomen Gemeinschaften kooffiziell. Die Cyberresilienz-Verordnung schreibt eine Übersetzung in kooffizielle Sprachen nicht vor. Spezifische regionale Beschaffungsverträge oder Branchenaufsichtsbehörden (zum Beispiel bestimmte öffentliche Ausschreibungen) können eigene Sprachklauseln hinzufügen, unabhängig von der Cyberresilienz-Verordnung.

Grenzüberschreitender Vertrieb aus Spanien

Spanische Hersteller, die nach Portugal, Frankreich, Italien oder andere EU-Mitgliedstaaten liefern, unterliegen weiterhin derselben Einzel-Routing-Regel: Ihre Meldungen gehen an INCIBE-CERT, weil das Routing der Hauptniederlassung folgt, nicht dem jeweiligen Lieferziel. Sie melden nicht beim portugiesischen, französischen oder italienischen CSIRT.

Die Sprachpflicht fächert sich je nach Markt auf. Ein nach Frankreich geliefertes Produkt benötigt französischsprachige nutzerseitige Inhalte. Ein nach Portugal geliefertes Produkt benötigt portugiesischsprachige Inhalte. Das spanische Sprachpaket allein deckt diese Märkte nicht ab.

Die Marktüberwachungsbehörde jedes Empfangsmitgliedstaats kann Ihre technische Dokumentation in einer für sie leicht verständlichen Sprache anfordern. Wenn Ihr Vertrieb breiter über die EU läuft, rechnen Sie mit Anfragen in mindestens einer weitverbreiteten Arbeitssprache und übersetzen Sie die am häufigsten angeforderten Abschnitte der technischen Dokumentation frühzeitig als praktische Absicherung.

Nationale Förderprogramme

Das Förderbild hat sich verändert, da sich das Recovery-and-Resilience-Fenster schließt. Prüfen Sie genau, was tatsächlich noch offen ist, bevor Sie einzelne Posten gegen diese Programme planen.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) hat laufende Linien 2026: NEOTEC (technologische Frühphasen-Start-ups), Línea Directa de Innovación (LIC) und Misiones Ciencia e Innovación (große kollaborative F&E-Konsortien). CRA-getriebene Arbeiten passen dort hinein, wo der Ansatz echter F&E und Innovation ist, nicht reine Umsetzung oder Compliance. CDTI plant, über seine 2026-Linien mehr als 1,8 Milliarden EUR zu mobilisieren.
• Activa Ciberseguridad ist ein kleines Gutschein-Programm (rund 2.140 EUR je Begünstigtem) für gewerbliche KMU, betrieben von SGIPYME gemeinsam mit den autonomen Gemeinschaften und EOI. Geeignet für eine erste Cybersicherheitsdiagnose oder einen Plan de ciberseguridad, nicht für die vollständige CRA-Werkzeug-Investition.
• Kit Digital befindet sich in einer Übergangsphase. Alle Kit Digital-Ausschreibungen schlossen im Oktober 2025. Orden TDF/39/2026 (BOE, 28. Januar 2026) erlaubt die Umverteilung von Restmitteln, aber Stand 25. Mai 2026 gibt es kein offenes Antragsfenster. Prüfen Sie kitdigital.red.es/convocatorias, bevor Sie darauf kalkulieren.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) befindet sich in seinem Abschlussfenster. Alle Recovery-and-Resilience-Projekte müssen bis zum 31. August 2026 abgeschlossen sein, mit Spaniens abschließenden Zahlungsanträgen an die Kommission bis zum 30. September 2026. Das PRTR ist daher kein geeignetes Planungsvehikel für die CRA-Compliance-Frist des 11. Dezember 2027. Die 162-Millionen-EUR-Initiative RETECH über INCIBE befindet sich in ihrer letzten Auszahlungsphase.

Für neue Compliance-Investitionen gegen die Verpflichtungsfrist des 11. Dezember 2027 ist das realistische öffentliche Förderbild in Spanien CDTI-Innovationslinien plus etwaige sektorspezifische Programme der autonomen Gemeinschaften. Recovery-and-Resilience-finanzierte Programme gehören ab 2027 nicht mehr dazu.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Beratung wenden Sie sich an qualifizierte Rechtsberater.