CRA per i fabbricanti spagnoli: INCIBE-CERT, CCN ed ENAC

I fabbricanti spagnoli sono soggetti agli stessi obblighi della Legge sulla ciberresilienza di qualunque altro fabbricante dell'Unione. Questa pagina è una scheda paese per la Spagna: come le segnalazioni di vulnerabilità e incidente vengono instradate tramite INCIBE-CERT, come gli organismi di valutazione della conformità vengono designati secondo la divisione istituzionale spagnola (CCN notifica, ENAC accredita), cosa richiedono concretamente gli obblighi in lingua spagnola, e cosa rimane disponibile dei programmi nazionali di finanziamento mentre si chiude la finestra del Piano di Ripresa e Resilienza. Per il quadro completo degli obblighi del fabbricante, consulti la guida del cluster fabbricante.

Quando questa guida si applica alla sua situazione

È il lettore target se lo «stabilimento principale nell'Unione» del fabbricante è in Spagna. Ciò significa il luogo in cui vengono prese principalmente le decisioni relative alla cibersicurezza dei prodotti con elementi digitali. Una filiale di vendita registrata in Spagna con ingegneria offshore non è lo stabilimento principale. Se il suo team di ingegneria, la governance del ciclo di sviluppo software e le persone che approvano i rilasci degli aggiornamenti di sicurezza si trovano in Spagna, questa guida è per Lei.

Se il suo stabilimento principale si trova altrove nell'Unione e Lei spedisce solo in Spagna, le sue segnalazioni CRA vengono instradate tramite il CSIRT dello Stato membro del suo stabilimento principale, non tramite INCIBE-CERT. L'obbligo linguistico in spagnolo per le informazioni rivolte agli utenti si applica comunque per qualsiasi prodotto immesso sul mercato spagnolo.

INCIBE-CERT: la via CSIRT spagnola

Le segnalazioni previste dalla Legge sulla ciberresilienza vengono instradate al CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha il proprio stabilimento principale nell'Unione. Per un fabbricante con stabilimento principale in Spagna, quel CSIRT è INCIBE-CERT.

INCIBE-CERT pubblica avvisi di vulnerabilità in lingua spagnola e gestisce il flusso di risposta agli incidenti per i prodotti di consumo. CCN-CERT copre il settore pubblico e i sistemi classificati e non rappresenta la via prevista dalla Legge sulla ciberresilienza per i fabbricanti commerciali che immettono prodotti sul mercato aperto.

Il canale tecnico per la cadenza di notifica di 24 ore, 72 ore e 14 giorni è la piattaforma unica di notifica ENISA, che diventa operativa l'11 settembre 2026. Un fabbricante spagnolo deposita le segnalazioni tramite quella piattaforma con INCIBE-CERT come coordinatore destinatario. La designazione del CSIRT definisce il routing. La piattaforma è il canale di trasmissione.

Organismi notificati: CCN designa, ENAC accredita

I prodotti importanti di classe I necessitano di un organismo notificato (Modulo B+C o Modulo H) solo quando norme armonizzate, specifiche comuni o uno schema di certificazione non coprono integralmente i requisiti del prodotto. I prodotti importanti di classe II utilizzano un organismo notificato (Modulo B+C o Modulo H) oppure uno schema di certificazione disponibile e applicabile. I prodotti critici (Allegato IV) seguono l'Articolo 32(4): il percorso di certificazione ai sensi dell'Articolo 8(1) quando la Commissione lo ha attivato, altrimenti gli stessi percorsi dell'Articolo 32(3).

La divisione istituzionale spagnola è la seguente:

• CCN (Centro Criptológico Nacional) funge da autorità notificante che designa formalmente gli organismi notificati spagnoli alla Commissione europea per la Legge sulla ciberresilienza.
• ENAC (Entidad Nacional de Acreditación) è l'ente nazionale di accreditamento spagnolo e valuta la competenza tecnica di un candidato prima che CCN lo notifichi.

Il quadro della Legge sulla ciberresilienza per gli organismi notificati si applica dall'11 giugno 2026, a partire dalla quale i corpi designati possono iniziare a rilasciare certificati di valutazione della conformità. Nel frattempo, la catena istituzionale spagnola è in fase di costituzione.

Un fabbricante spagnolo può ricorrere a qualsiasi organismo notificato dell'Unione, non solo a quelli designati in Spagna. Scegliere un organismo designato in Spagna è una preferenza di approvvigionamento (valutazione in spagnolo, logistica degli audit in loco) e non un requisito della Legge sulla ciberresilienza.

Vigilanza del mercato: SETID nel MTDFP

Il progetto spagnolo di Real Decreto designa SETID nel MTDFP come autorità di vigilanza del mercato per i prodotti CRA in Spagna. Questa attribuzione resta provvisoria fino alla pubblicazione definitiva nel BOE.

INCIBE supporta il lato tecnico come laboratorio preferenziale. Il progetto però non attribuisce a INCIBE poteri pubblici decisionali per la vigilanza del mercato CRA. Verificare il testo definitivo nel BOE prima di qualsiasi deposito formale.

Obblighi in lingua spagnola nella pratica

La Legge sulla ciberresilienza richiede che le informazioni di prodotto rivolte agli utenti siano in una lingua facilmente comprensibile dagli utenti e dall'autorità di vigilanza del mercato locale. Per i prodotti immessi sul mercato spagnolo, tale lingua è lo spagnolo (castigliano).

Devono essere in spagnolo:

• Le istruzioni per l'uso e le informazioni di prodotto che accompagnano il prodotto.
• I dati di contatto del fabbricante (nome, indirizzo, email o altro recapito digitale) ovunque appaiano, inclusi sul prodotto stesso, sull'imballaggio o nel documento allegato.
• La comunicazione della data di fine supporto mostrata nel punto di acquisto.

Possono essere multilingue:

• L'etichetta del prodotto e la marcatura CE.
• I testi sull'imballaggio.
• La documentazione online, a condizione che una versione in spagnolo sia raggiungibile.

L'inglese è normalmente accettato per:

• La documentazione tecnica interna. Le autorità di vigilanza del mercato possono richiedere una traduzione in spagnolo con una richiesta motivata, per cui è opportuno pianificare questa eventualità anche senza tradurre in modo proattivo.

Catalano, galiziano e basco sono co-ufficiali nelle rispettive comunità autonome. La Legge sulla ciberresilienza non richiede la traduzione nelle lingue co-ufficiali. Specifici appalti pubblici regionali o regolatori di settore (ad esempio, alcuni bandi del settore pubblico) possono aggiungere proprie clausole linguistiche, separate dalla Legge sulla ciberresilienza.

Vendite transfrontaliere dalla Spagna

I fabbricanti spagnoli che vendono in Portogallo, Francia, Italia o qualsiasi altro Stato membro dell'Unione restano soggetti alla stessa regola di routing unico: le segnalazioni vanno comunque a INCIBE-CERT, perché il routing segue lo stabilimento principale, non la destinazione di ciascuna spedizione. Non si deposita presso il CSIRT portoghese, francese o italiano.

L'obbligo linguistico si ramifica invece per mercato. Un prodotto spedito nel mercato francese necessita di contenuti rivolti agli utenti in francese. Un prodotto spedito nel mercato portoghese necessita di contenuti in portoghese. Il pacchetto linguistico spagnolo non copre quei mercati.

L'autorità di vigilanza del mercato di ciascuno Stato membro destinatario può anche richiedere la documentazione tecnica in una lingua facilmente comprensibile da quell'autorità. Se la distribuzione copre buona parte dell'Unione, è opportuno attendersi richieste in almeno una lingua di lavoro ampiamente utilizzata, e trattare la traduzione anticipata delle sezioni di documentazione tecnica più richieste come una misura di tutela pratica.

Programmi nazionali di finanziamento

Il quadro dei finanziamenti si è modificato con la chiusura della finestra del Piano di Ripresa e Resilienza. Verificare con precisione cosa sia aperto prima di pianificare qualsiasi voce di costo.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) ha linee 2026 attive: NEOTEC (startup tecnologiche in fase iniziale), Línea Directa de Innovación (LIC) e Misiones Ciencia e Innovación (grandi consorzi di R&S collaborativi). Le attività orientate alla Legge sulla ciberresilienza si adattano dove l'angolo è genuinamente R&S e innovazione, non pura attuazione o conformità. CDTI prevede di mobilitare oltre 1,8 miliardi di euro attraverso le sue linee 2026.
• Activa Ciberseguridad è un piccolo programma a voucher (circa 2.140 euro per beneficiario) per le PMI industriali, gestito da SGIPYME con le comunità autonome e EOI. Utile per una diagnosi iniziale di cibersicurezza o un piano de ciberseguridad, non per l'intero investimento in strumenti previsto dalla Legge sulla ciberresilienza.
• Kit Digital è in fase di transizione. Tutte le convocatorie Kit Digital si sono chiuse nell'ottobre 2025. Orden TDF/39/2026 (BOE, 28 gennaio 2026) consente la redistribuzione dei fondi residui, ma al 25 maggio 2026 non esiste una finestra di candidatura aperta. Verificare kitdigital.red.es/convocatorias prima di fare affidamento su questa fonte.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) è nella sua finestra di chiusura. Tutti i progetti del Piano di Ripresa e Resilienza devono essere eseguiti entro il 31 agosto 2026, con le richieste di pagamento finale della Spagna alla Commissione dovute il 30 settembre 2026. Il PRTR non è quindi uno strumento di pianificazione praticabile per la scadenza di conformità alla Legge sulla ciberresilienza dell'11 dicembre 2027. L'iniziativa RETECH da 162 milioni di euro tramite INCIBE è nella sua fase finale di erogazione.

Per i nuovi investimenti di conformità datati rispetto alla scadenza dell'11 dicembre 2027, il quadro realistico dei finanziamenti pubblici in Spagna sono le linee di innovazione CDTI e gli eventuali programmi settoriali delle comunità autonome. I programmi finanziati dal Piano di Ripresa e Resilienza non fanno parte di quel quadro a partire dal 2027.

Questo articolo è fornito a scopo puramente informativo e non costituisce un parere legale. Per indicazioni specifiche sulla conformità alla Legge sulla ciberresilienza, consulti un consulente legale qualificato.