CRA para fabricantes españoles: INCIBE-CERT, CCN y ENAC

Los fabricantes españoles tienen las mismas obligaciones bajo la Ley de Ciberresiliencia que cualquier otro fabricante de la UE. Esta guía es un resumen nacional para España: cómo se enrutan las notificaciones de vulnerabilidades e incidentes a través de INCIBE-CERT, cómo funciona la designación de organismos notificados con el reparto entre CCN y ENAC, qué exigen en la práctica las obligaciones lingüísticas en castellano, y qué queda de los programas nacionales de financiación a medida que se cierra la ventana del Plan de Recuperación. Para el conjunto completo de obligaciones del fabricante, consulta la guía del clúster de fabricantes.

Cuándo te aplica esta guía

Eres el lector destinatario si tu «establecimiento principal en la Unión» como fabricante está en España. Eso significa el lugar donde se toman predominantemente las decisiones relacionadas con la ciberseguridad de tus productos con elementos digitales. Una filial de ventas registrada en España con ingeniería fuera del país no es el establecimiento principal. Si tu equipo de ingeniería, la gobernanza de tu SDLC y las personas que aprueban las publicaciones de actualizaciones de seguridad están en España, esta guía es para ti.

Si tu establecimiento principal está en otro Estado miembro de la UE y únicamente comercializas en España, tus notificaciones CRA se enrutan a través del CSIRT de ese otro Estado miembro, no a INCIBE-CERT. La obligación lingüística de castellano para la información al usuario sigue aplicándose a cualquier producto comercializado en el mercado español.

INCIBE-CERT: la ruta del CSIRT español

Las notificaciones del CRA se enrutan al CSIRT designado como coordinador del Estado miembro donde el fabricante tiene su establecimiento principal en la Unión. Para un fabricante con establecimiento principal en España, ese CSIRT es INCIBE-CERT.

INCIBE-CERT publica avisos de vulnerabilidades en castellano y opera el flujo de respuesta a incidentes en productos de consumo. CCN-CERT cubre los sistemas del sector público y los clasificados, y no es la ruta del CRA para los fabricantes comerciales que colocan productos en el mercado abierto.

El canal técnico para la cadencia de notificación de 24 h / 72 h / 14 días es la plataforma única de notificación de ENISA, que entra en funcionamiento el 11 de septiembre de 2026. Un fabricante español notifica a través de esa plataforma con INCIBE-CERT como coordinador receptor. La designación del CSIRT define el enrutamiento. La plataforma es el canal de transmisión.

Organismos notificados: CCN designa, ENAC acredita

Los productos Importantes de Clase I necesitan un organismo notificado (Módulo B+C o Módulo H) únicamente cuando las normas armonizadas, las especificaciones comunes o un esquema de certificación no los cubren íntegramente. Los productos Importantes de Clase II utilizan un organismo notificado (Módulo B+C o Módulo H) o un esquema de certificación disponible y aplicable. Los productos Críticos (Anexo IV) siguen el Artículo 32(4): la vía de certificación del Artículo 8(1) cuando la Comisión la haya activado; de lo contrario, las mismas vías del Artículo 32(3).

El reparto institucional español es el siguiente:

• CCN (Centro Criptológico Nacional) actúa como autoridad notificante que designa formalmente a los organismos españoles de evaluación de la conformidad ante la Comisión Europea bajo el CRA.
• ENAC (Entidad Nacional de Acreditación) es el organismo nacional de acreditación y evalúa la competencia técnica del candidato como paso previo a esa notificación por parte de CCN.

El marco del CRA para los organismos notificados entra en vigor el 11 de junio de 2026, a partir de cuando los organismos designados pueden empezar a emitir certificados de evaluación de conformidad bajo el CRA. Hasta entonces, la cadena española se está poniendo en marcha.

Un fabricante español puede usar cualquier organismo notificado de la UE, no solo los designados en España. Optar por un organismo designado en España es una preferencia de contratación (evaluación en castellano, logística de auditoría en el país) y no un requisito de la Ley de Ciberresiliencia.

Vigilancia del mercado: SETID dentro del MTDFP

El proyecto de Real Decreto designa a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (SETID), dentro del Ministerio para la Transformación Digital y de la Función Pública (MTDFP), como autoridad de vigilancia del mercado para los productos CRA en España. Trata esta designación como provisional hasta que se publique el texto definitivo en el BOE.

INCIBE presta apoyo técnico como laboratorio preferente, pero el proyecto no le atribuye potestades públicas de decisión en vigilancia del mercado CRA. La regla práctica para fabricantes no cambia: verifica la designación definitiva en el BOE antes de enviar cualquier trámite formal.

Obligaciones lingüísticas en castellano: la práctica

La Ley de Ciberresiliencia exige que la información al usuario sobre el producto esté en un idioma fácilmente comprensible para los usuarios y para la autoridad de vigilancia del mercado local. Para los productos comercializados en España, eso es el castellano.

Debe estar en castellano:

• Las instrucciones de uso e información del producto que acompañan al producto.
• Los datos de contacto del fabricante (nombre, dirección, correo electrónico u otro contacto digital) donde quiera que aparezcan, incluyendo en el propio producto, el embalaje o el documento adjunto.
• La información sobre la fecha de fin de soporte mostrada en el punto de venta.

Puede ser multilingüe:

• El etiquetado del producto y el marcado CE.
• El texto del embalaje.
• La documentación en línea, siempre que haya una versión en castellano accesible.

El inglés se acepta normalmente para:

• La documentación técnica interna. Las autoridades de vigilancia del mercado pueden solicitar una traducción al castellano si formulan una petición motivada, así que contempla esa contingencia aunque no traduzcas de forma proactiva.

El catalán, el gallego y el vasco son cooficiales en sus respectivas comunidades autónomas. La Ley de Ciberresiliencia no obliga a traducir a las lenguas cooficiales. Determinados contratos de contratación pública regional o reguladores sectoriales pueden añadir sus propias cláusulas lingüísticas al margen del CRA.

Vender al exterior desde España

Los fabricantes españoles que venden a Portugal, Francia, Italia u otros Estados miembros de la UE mantienen la misma regla de enrutamiento único: tus notificaciones siguen yendo a INCIBE-CERT, porque el enrutamiento sigue al establecimiento principal, no al destino de cada envío. No notificas al CSIRT portugués, francés ni italiano.

La obligación lingüística sí se ramifica por mercado. Un producto enviado al mercado francés necesita información al usuario en francés. Un producto enviado al mercado portugués necesita información en portugués. El pack en castellano no cubre esos mercados.

Cada autoridad de vigilancia del mercado del Estado miembro receptor también puede solicitar tu documentación técnica en un idioma fácilmente comprensible por esa autoridad. Si tu cadena de suministro abarca buena parte de la UE, espera solicitudes en al menos un idioma de trabajo ampliamente utilizado, y considera traducir las secciones más solicitadas de la documentación técnica como medida de precaución práctica.

Programas nacionales de financiación

El panorama de financiación ha cambiado a medida que se cierra la ventana del Plan de Recuperación. Verifica bien qué está abierto antes de planificar ninguna partida contra estos programas.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) tiene líneas activas en 2026: NEOTEC (startups tecnológicas en etapa temprana), Línea Directa de Innovación (LIC) y Misiones Ciencia e Innovación (grandes consorcios de I+D colaborativo). El trabajo impulsado por el CRA encaja donde el enfoque es I+D e innovación genuinos, no implementación pura o cumplimiento normativo. CDTI prevé movilizar más de 1.800 millones de euros en sus líneas de 2026.
• Activa Ciberseguridad es un programa de pequeños bonos (unos 2.140 euros por beneficiario) para pymes industriales, gestionado por SGIPYME con las comunidades autónomas y EOI. Útil para un diagnóstico inicial de ciberseguridad o un plan de ciberseguridad, no para la inversión completa en herramientas CRA.
• Kit Digital está en fase de transición. Todas las convocatorias de Kit Digital cerraron en octubre de 2025. La Orden TDF/39/2026 (BOE, 28 de enero de 2026) permite redistribuir fondos remanentes, pero no hay ventana de solicitud abierta a 25 de mayo de 2026. Consulta kitdigital.red.es/convocatorias antes de contar con este programa.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) está en su ventana de cierre. Todos los proyectos del Plan de Recuperación deben ejecutarse antes del 31 de agosto de 2026, con las solicitudes de pago final de España a la Comisión con fecha límite del 30 de septiembre de 2026. El PRTR no es por tanto un vehículo de planificación viable para el plazo de cumplimiento del CRA del 11 de diciembre de 2027. La iniciativa RETECH de 162 millones de euros a través de INCIBE está en su fase final de desembolso.

Para la nueva inversión en cumplimiento fechada contra el plazo obligatorio del 11 de diciembre de 2027, el panorama realista de financiación pública en España son las líneas de innovación del CDTI más cualquier programa sectorial de las comunidades autónomas. Los programas financiados por el Plan de Recuperación no forman parte de ese panorama a partir de 2027.

Este artículo es solo para fines informativos y no constituye asesoramiento legal. Para orientación específica sobre cumplimiento del CRA, consulta con asesores legales cualificados.