CRA pour les fabricants espagnols : INCIBE-CERT, CCN et ENAC

Les fabricants espagnols sont soumis aux mêmes obligations CRA que n'importe quel autre fabricant de l'Union. Cette page est une note pays pour l'Espagne : le routage des signalements de vulnérabilités et d'incidents par INCIBE-CERT, la répartition des rôles entre CCN et ENAC pour les organismes notifiés, les obligations linguistiques en espagnol, et l'état des programmes nationaux de financement alors que la fenêtre de la Reprise et la Résilience se referme. Pour l'ensemble du dispositif obligatoire, consultez le guide du cluster fabricant.

Champ d'application de ce guide

Vous êtes le lecteur cible si votre « établissement principal dans l'Union » en tant que fabricant se situe en Espagne. Il s'agit du lieu où les décisions relatives à la cybersécurité de vos produits comportant des éléments numériques sont principalement prises. Une filiale commerciale immatriculée en Espagne avec une ingénierie offshore n'est pas l'établissement principal. Si votre équipe d'ingénierie, votre gouvernance SDLC et les personnes qui approuvent les mises à jour de sécurité se trouvent en Espagne, ce guide s'adresse à vous.

Si votre établissement principal se situe ailleurs dans l'Union et que vous expédiez uniquement vers l'Espagne, vos signalements CRA sont acheminés par le CSIRT de votre État membre d'établissement principal, et non par INCIBE-CERT. L'obligation de fournir les informations produit en espagnol s'applique néanmoins pour tout produit mis sur le marché espagnol.

INCIBE-CERT : la voie CSIRT espagnole

Les signalements CRA sont acheminés vers le CSIRT désigné comme coordinateur de l'État membre où le fabricant a son établissement principal dans l'Union. Pour un fabricant dont l'établissement principal est en Espagne, ce CSIRT est INCIBE-CERT.

INCIBE-CERT publie des avis de vulnérabilité en langue espagnole et opère le flux de réponse aux incidents sur les produits grand public. CCN-CERT couvre le secteur public et les systèmes classifiés et ne constitue pas la voie CRA pour les fabricants commerciaux qui mettent des produits sur le marché ouvert.

Le canal technique pour la cadence de signalement 24 h / 72 h / 14 jours est la plateforme unique de signalement de l'ENISA, qui devient opérationnelle le 11 septembre 2026. Un fabricant espagnol dépose ses rapports via cette plateforme, INCIBE-CERT étant le coordinateur destinataire. La désignation du CSIRT définit le routage. La plateforme est le transport.

Organismes notifiés : CCN désigne, ENAC accrédite

Les produits Important Classe I nécessitent un organisme notifié (Module B+C ou Module H) uniquement lorsque les normes harmonisées, spécifications communes, ou un schéma de certification ne les couvrent pas intégralement. Les produits Important Classe II utilisent un organisme notifié (Module B+C ou Module H) ou un schéma de certification disponible et applicable. Les produits Critiques (Annexe IV) suivent l’Article 32(4) : la voie de certification de l’Article 8(1) si la Commission l’a activée, sinon les mêmes voies tierces de l’Article 32(3).

La répartition institutionnelle espagnole est la suivante :

• CCN (Centro Criptológico Nacional) est l'autorité notifiante qui désigne formellement les organismes espagnols notifiés auprès de la Commission européenne au titre du CRA.
• ENAC (Entidad Nacional de Acreditación) est l'organisme national d'accréditation espagnol et évalue la compétence technique d'un candidat avant que CCN ne le notifie.

Le cadre CRA pour les organismes notifiés s'applique à partir du 11 juin 2026, date à partir de laquelle les organismes désignés peuvent commencer à délivrer des certificats d'évaluation de la conformité au titre du CRA. Jusque-là, la chaîne espagnole est en cours de constitution.

Un fabricant espagnol peut recourir à n'importe quel organisme notifié de l'Union, pas uniquement à des organismes désignés en Espagne. Choisir un organisme espagnol relève d'une préférence de passation de marchés (évaluation en espagnol, logistique d'audit en local) et non d'une exigence du CRA.

Surveillance du marché : SETID au sein du MTDFP

Le projet espagnol de Real Decreto désigne SETID au sein du MTDFP comme autorité de surveillance du marché pour les produits CRA en Espagne. Cette attribution reste provisoire jusqu'à la publication définitive au BOE.

INCIBE apporte un soutien technique comme laboratoire préféré. Le projet ne donne toutefois pas à INCIBE de pouvoirs publics de décision pour la surveillance du marché CRA. Vérifiez le texte définitif au BOE avant tout dépôt officiel.

Exigences linguistiques en espagnol en pratique

Le CRA impose que les informations produit destinées aux utilisateurs soient rédigées dans une langue aisément comprise par les utilisateurs et par l'autorité locale de surveillance du marché. Pour les produits mis sur le marché espagnol, il s'agit de l'espagnol (castillan).

Doit être en espagnol :

• Les instructions d'utilisation et les informations produit livrées avec le produit.
• Les coordonnées du fabricant (nom, adresse, e-mail ou autre contact numérique) partout où elles figurent, y compris sur le produit lui-même, l'emballage ou le document d'accompagnement.
• La mention de la date de fin de support affichée au point de vente.

Peut être multilingue :

• L'étiquette produit et le marquage CE.
• Les textes d'emballage.
• La documentation en ligne, à condition qu'une version en espagnol soit accessible.

L'anglais est généralement accepté pour :

• La documentation technique interne. Les autorités de surveillance du marché peuvent en demander une traduction en espagnol sur requête motivée. Prévoyez cette éventualité même si vous ne traduisez pas proactivement.

Le catalan, le galicien et le basque sont co-officiels dans leurs communautés autonomes respectives. Le CRA n'impose pas la traduction dans ces langues co-officielles. Certains marchés publics régionaux ou régulateurs sectoriels peuvent ajouter leurs propres clauses linguistiques, indépendamment du CRA.

Ventes transfrontalières depuis l'Espagne

Les fabricants espagnols qui vendent au Portugal, en France, en Italie ou dans tout autre État membre de l'Union appliquent la même règle de routage unique : les signalements sont toujours adressés à INCIBE-CERT, car le routage suit l'établissement principal et non la destination de chaque expédition. Vous n'effectuez pas de déclaration auprès du CSIRT portugais, français ou italien.

L'obligation linguistique se décline en revanche marché par marché. Un produit expédié vers le marché français doit comporter des informations utilisateur en français. Un produit expédié vers le marché portugais doit comporter des informations en portugais. Le seul pack en espagnol ne couvre pas ces marchés.

Chaque autorité de surveillance du marché de l'État membre destinataire peut également demander votre documentation technique dans une langue qu'elle comprend aisément. Si votre distribution couvre l'ensemble de l'Union, anticipez des demandes dans au moins une langue de travail couramment utilisée. Traduire par anticipation les sections les plus demandées de votre documentation technique est une précaution pratique.

Programmes nationaux de financement

Le paysage du financement a évolué à mesure que la fenêtre de la Reprise et la Résilience se referme. Vérifiez précisément ce qui est ouvert avant de positionner une ligne budgétaire sur l'un de ces dispositifs.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) dispose de lignes actives en 2026 : NEOTEC (startups technologiques en phase précoce), Línea Directa de Innovación (LIC) et Misiones Ciencia e Innovación (grands consortiums collaboratifs de R&D). Les travaux liés au CRA s'inscrivent dans ces lignes lorsque l'angle est une véritable R&D et innovation, et non une simple mise en conformité. CDTI prévoit de mobiliser plus de 1,8 milliard d'euros sur l'ensemble de ses lignes 2026.
• Activa Ciberseguridad est un programme de petits bons (environ 2 140 euros par bénéficiaire) destiné aux PME industrielles, géré par SGIPYME avec les communautés autonomes et EOI. Utile pour un diagnostic initial de cybersécurité ou un plan-de-ciberseguridad, mais pas pour un investissement complet en outillage CRA.
• Kit Digital est en phase de transition. Tous les appels Kit Digital ont fermé en octobre 2025. L'Orden TDF/39/2026 (BOE, 28 janvier 2026) permet la redistribution des fonds résiduels, mais au 25 mai 2026 il n'y a pas de fenêtre de candidature ouverte. Consultez kitdigital.red.es/convocatorias avant de compter sur ce dispositif.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) est dans sa phase de clôture. Tous les projets de Reprise et Résilience doivent être exécutés avant le 31 août 2026, les demandes de paiement final de l'Espagne à la Commission étant dues le 30 septembre 2026. Le PRTR n'est donc pas un véhicule de planification viable pour l'échéance de conformité CRA du 11 décembre 2027. L'initiative RETECH de 162 millions d'euros portée par INCIBE est dans sa phase finale de décaissement.

Pour les nouveaux investissements de conformité positionnés sur l'échéance du 11 décembre 2027, le paysage réaliste du financement public en Espagne se limite aux lignes d'innovation CDTI et aux éventuels programmes sectoriels des communautés autonomes. Les programmes financés par la Reprise et la Résilience ne font pas partie de ce tableau à partir de 2027.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Pour des conseils spécifiques de conformité CRA, consultez un conseiller juridique qualifié.