CRA per i fabbricanti spagnoli: INCIBE-CERT, CCN ed ENAC

I fabbricanti spagnoli sono soggetti agli stessi obblighi del Regolamento sulla ciberresilienza di qualunque altro fabbricante dell'Unione. Questa pagina è una scheda paese per la Spagna: come le segnalazioni di vulnerabilità e incidente vengono instradate tramite INCIBE-CERT, come gli organismi di valutazione della conformità vengono designati secondo la divisione istituzionale spagnola (CCN dovrebbe notificare, ENAC accredita), cosa richiedono concretamente gli obblighi in lingua spagnola, e cosa rimane disponibile dei programmi nazionali di finanziamento ora che la finestra del Piano di Ripresa e Resilienza si è chiusa. Per il quadro completo degli obblighi del fabbricante, consulti la guida del cluster fabbricante.

Quando questa guida si applica alla sua situazione

È il lettore target se lo «stabilimento principale nell'Unione» del fabbricante è in Spagna. Ciò significa il luogo in cui vengono prese principalmente le decisioni relative alla cibersicurezza dei prodotti con elementi digitali. Una filiale di vendita registrata in Spagna con ingegneria offshore non è lo stabilimento principale. Se il suo team di ingegneria, la governance del ciclo di sviluppo software e le persone che approvano i rilasci degli aggiornamenti di sicurezza si trovano in Spagna, questa guida è per Lei.

Se il suo stabilimento principale si trova altrove nell'Unione e Lei spedisce solo in Spagna, le sue segnalazioni CRA vengono instradate tramite il CSIRT dello Stato membro del suo stabilimento principale, non tramite INCIBE-CERT. L'obbligo linguistico in spagnolo per le informazioni rivolte agli utenti si applica comunque per qualsiasi prodotto immesso sul mercato spagnolo.

INCIBE-CERT: la via CSIRT spagnola

Le segnalazioni previste dal Regolamento sulla ciberresilienza vengono instradate al CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha il proprio stabilimento principale nell'Unione. Per un fabbricante con stabilimento principale in Spagna, quel CSIRT è INCIBE-CERT.

INCIBE-CERT pubblica avvisi di vulnerabilità in lingua spagnola e gestisce il flusso di risposta agli incidenti per i prodotti di consumo. CCN-CERT copre il settore pubblico e i sistemi classificati e non rappresenta la via prevista dal Regolamento sulla ciberresilienza per i fabbricanti commerciali che immettono prodotti sul mercato aperto.

Il canale tecnico per la cadenza di notifica di 24 ore, 72 ore e 14 giorni è la piattaforma unica di notifica ENISA, operativa dall'11 settembre 2026. Un fabbricante spagnolo deposita le segnalazioni tramite quella piattaforma con INCIBE-CERT come coordinatore destinatario. La designazione del CSIRT definisce il routing. La piattaforma è il canale di trasmissione.

In Spagna la registrazione sulla piattaforma è coordinata tramite INCIBE-CERT. La sua pagina sul CRA (aggiornata il 9 settembre 2026) descrive tre passaggi. Si richiede l'accesso sulla piattaforma ENISA. INCIBE-CERT chiede i documenti che le servono e verifica che la richiesta sia legittima e provenga da un soggetto rientrante nel Regolamento. Superata la verifica, invia le istruzioni definitive di registrazione. ENISA precisa che la verifica dell'associazione avviene in parallelo al processo di segnalazione e non impedisce a un mandatario di presentare notifiche mentre la convalida è in corso. L'allerta precoce è dovuta senza indebito ritardo ed entro 24 ore da quando se ne viene a conoscenza, a prescindere dallo stato di tale convalida. Se non è chiaro se un caso rientri nel CRA, INCIBE-CERT raccomanda di notificarlo anche tramite i suoi canali abituali.

Organismi notificati: CCN previsto, ENAC accredita

I prodotti importanti di classe I necessitano di un organismo notificato (Modulo B+C o Modulo H) solo quando norme armonizzate, specifiche comuni o uno schema di certificazione non coprono integralmente i requisiti del prodotto. I prodotti importanti di classe II utilizzano un organismo notificato (Modulo B+C o Modulo H) oppure uno schema di certificazione disponibile e applicabile. I prodotti critici (Allegato IV) seguono l'Articolo 32(4): il percorso di certificazione ai sensi dell'Articolo 8(1) quando la Commissione lo ha attivato, altrimenti gli stessi percorsi dell'Articolo 32(3).

La divisione istituzionale spagnola è la seguente:

• Secondo il progetto di Real Decreto, CCN (Centro Criptológico Nacional) dovrebbe essere l'autorità notificante che designa formalmente gli organismi notificati spagnoli alla Commissione europea per il Regolamento sulla ciberresilienza. Al 17 ottobre 2026 NANDO non elenca alcuna autorità notificante spagnola ai sensi del CRA.
• ENAC (Entidad Nacional de Acreditación) è l'ente nazionale di accreditamento spagnolo e valuta la competenza tecnica di un candidato prima della notifica da parte dell'autorità notificante.

Il capo IV del CRA (Articoli da 35 a 51) si applica dall'11 giugno 2026, quindi gli Stati membri possono ora notificare gli organismi di valutazione della conformità. Al 17 ottobre 2026 NANDO non elenca alcun organismo notificato ai sensi del CRA. Prima di pianificare una valutazione, consulti l'elenco NANDO nel Single Market Compliance Space della Commissione per gli organismi notificati CRA e verifichi la designazione definitiva nel BOE prima di qualsiasi deposito formale.

Un fabbricante spagnolo può ricorrere a qualsiasi organismo notificato dell'Unione, non solo a quelli designati in Spagna. Scegliere un organismo designato in Spagna è una preferenza di approvvigionamento (valutazione in spagnolo, logistica degli audit in loco) e non un requisito del Regolamento sulla ciberresilienza.

Vigilanza del mercato: SETID nel MTDFP

Il progetto spagnolo di Real Decreto designa SETID nel MTDFP come autorità di vigilanza del mercato per i prodotti CRA in Spagna. Questa attribuzione resta provvisoria fino alla pubblicazione definitiva nel BOE.

INCIBE supporta il lato tecnico come laboratorio preferenziale. Il progetto però non attribuisce a INCIBE poteri pubblici decisionali per la vigilanza del mercato CRA. Verificare il testo definitivo nel BOE prima di qualsiasi deposito formale.

Obblighi in lingua spagnola nella pratica

Il Regolamento sulla ciberresilienza richiede che le informazioni di prodotto rivolte agli utenti siano in una lingua facilmente comprensibile dagli utenti e dall'autorità di vigilanza del mercato locale. Per i prodotti immessi sul mercato spagnolo, tale lingua è lo spagnolo (castigliano).

Devono essere in spagnolo:

• Le istruzioni per l'uso e le informazioni di prodotto che accompagnano il prodotto.
• I dati di contatto del fabbricante (nome, indirizzo, email o altro recapito digitale) ovunque appaiano, inclusi sul prodotto stesso, sull'imballaggio o nel documento allegato.
• La comunicazione della data di fine supporto mostrata nel punto di acquisto.

Possono essere multilingue:

• L'etichetta del prodotto e la marcatura CE.
• I testi sull'imballaggio.
• La documentazione online, a condizione che una versione in spagnolo sia raggiungibile.

L'inglese è normalmente accettato per:

• La documentazione tecnica interna. Le autorità di vigilanza del mercato possono richiedere una traduzione in spagnolo con una richiesta motivata, per cui è opportuno pianificare questa eventualità anche senza tradurre in modo proattivo.

Catalano, galiziano e basco sono co-ufficiali nelle rispettive comunità autonome. Il Regolamento sulla ciberresilienza non richiede la traduzione nelle lingue co-ufficiali. Specifici appalti pubblici regionali o regolatori di settore (ad esempio, alcuni bandi del settore pubblico) possono aggiungere proprie clausole linguistiche, separate dal Regolamento sulla ciberresilienza.

Vendite transfrontaliere dalla Spagna

I fabbricanti spagnoli che vendono in Portogallo, Francia, Italia o qualsiasi altro Stato membro dell'Unione restano soggetti alla stessa regola di routing unico: le segnalazioni vanno comunque a INCIBE-CERT, perché il routing segue lo stabilimento principale, non la destinazione di ciascuna spedizione. Non si deposita presso il CSIRT portoghese, francese o italiano.

L'obbligo linguistico si ramifica invece per mercato. Un prodotto spedito nel mercato francese necessita di contenuti rivolti agli utenti in francese. Un prodotto spedito nel mercato portoghese necessita di contenuti in portoghese. Il pacchetto linguistico spagnolo non copre quei mercati.

L'autorità di vigilanza del mercato di ciascuno Stato membro destinatario può anche richiedere la documentazione tecnica in una lingua facilmente comprensibile da quell'autorità. Se la distribuzione copre buona parte dell'Unione, è opportuno attendersi richieste in almeno una lingua di lavoro ampiamente utilizzata, e trattare la traduzione anticipata delle sezioni di documentazione tecnica più richieste come una misura di tutela pratica.

Programmi nazionali di finanziamento

Il quadro dei finanziamenti si è modificato con la chiusura della finestra del Piano di Ripresa e Resilienza. Verificare con precisione cosa sia aperto prima di pianificare qualsiasi voce di costo.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) ha linee 2026 attive: NEOTEC (startup tecnologiche in fase iniziale), Línea Directa de Innovación (LIC) e Misiones Ciencia e Innovación (grandi consorzi di R&S collaborativi). Le attività orientate al Regolamento sulla ciberresilienza si adattano dove l'angolo è genuinamente R&S e innovazione, non pura attuazione o conformità. CDTI prevede di mobilitare oltre 1,8 miliardi di euro attraverso le sue linee 2026.
• Activa Ciberseguridad è un piccolo programma a voucher (circa 2.140 euro per beneficiario) per le PMI industriali, gestito da SGIPYME con le comunità autonome e EOI. Utile per una diagnosi iniziale di cibersicurezza o un piano de ciberseguridad, non per l'intero investimento in strumenti previsto dal Regolamento sulla ciberresilienza.
• Kit Digital è in fase di transizione. Tutte le convocatorie Kit Digital si sono chiuse nell'ottobre 2025. Orden TDF/39/2026 (BOE, 28 gennaio 2026) consente la redistribuzione dei fondi residui, ma al 17 ottobre 2026 non esiste una finestra di candidatura aperta. Verificare kitdigital.red.es/convocatorias prima di fare affidamento su questa fonte.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) si è chiuso. I progetti del Piano di Ripresa e Resilienza dovevano essere eseguiti entro il 31 agosto 2026, con le richieste di pagamento finale della Spagna alla Commissione dovute il 30 settembre 2026. Il PRTR non è quindi uno strumento di pianificazione praticabile per la scadenza di conformità al Regolamento sulla ciberresilienza dell'11 dicembre 2027. L'iniziativa RETECH da 162 milioni di euro tramite INCIBE è nella sua fase finale di erogazione.

Per i nuovi investimenti di conformità datati rispetto alla scadenza dell'11 dicembre 2027, il quadro realistico dei finanziamenti pubblici in Spagna sono le linee di innovazione CDTI e gli eventuali programmi settoriali delle comunità autonome. I programmi finanziati dal Piano di Ripresa e Resilienza non fanno parte di quel quadro a partire dal 2027.

Questo articolo è fornito a scopo puramente informativo e non costituisce un parere legale. Per indicazioni specifiche sulla conformità al Regolamento sulla ciberresilienza, consulti un consulente legale qualificato.