CRA voor Spaanse fabrikanten: INCIBE-CERT, CCN en ENAC

Spaanse fabrikanten vallen onder dezelfde verplichtingen van de Cyberweerbaarheidsverordening als elke andere EU-fabrikant. Deze pagina is een landenbriefing voor Spanje: hoe kwetsbaarheden- en incidentmeldingen via INCIBE-CERT worden gerouteerd, hoe conformiteitsbeoordelingsinstanties worden aangewezen via de Spaanse taakverdeling (CCN naar verwachting notificerend, ENAC accrediteert), wat de Spaanstalige verplichtingen concreet inhouden en welke nationale financieringsprogramma's nog beschikbaar zijn nu het herstelvenster is gesloten. Voor het volledige verplichtingenpakket van de fabrikant, zie de cluster-gids voor fabrikanten.

Wanneer deze gids op u van toepassing is

U bent de doellezer als uw "hoofdvestiging in de Unie" als fabrikant in Spanje ligt. Dat is de plaats waar beslissingen over de cyberbeveiliging van uw producten met digitale elementen overwegend worden genomen. Een in Spanje geregistreerde verkoopsdochter met engineering in het buitenland is geen hoofdvestiging. Als uw engineeringteam, uw SDLC-governance en de mensen die beveiligingsupdates goedkeuren in Spanje zitten, is deze gids voor u.

Als uw hoofdvestiging elders in de EU ligt en u alleen naar Spanje levert, loopt uw CRA-melding via het CSIRT van uw eigen lidstaat van vestiging, niet via INCIBE-CERT. De Spaanstalige verplichting voor gebruikersinformatie geldt wel voor elk product dat op de Spaanse markt wordt geplaatst.

INCIBE-CERT: de Spaanse CSIRT-route

CRA-meldingen worden gerouteerd via het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft. Voor een fabrikant met hoofdvestiging in Spanje is dat CSIRT INCIBE-CERT.

INCIBE-CERT publiceert Spaanstalige kwetsbaarheidsadviezen en beheert de incidentresponsstream voor consumentenproducten. CCN-CERT bedient de publieke sector en geclassificeerde systemen en is niet de CRA-route voor commerciële fabrikanten die producten op de open markt plaatsen.

Het technische kanaal voor de 24u / 72u / 14d-meldingscadans is het ENISA single reporting platform, dat sinds 11 september 2026 operationeel is. Een Spaanse fabrikant dient via dat platform in met INCIBE-CERT als ontvangende coördinator. De CSIRT-aanwijzing bepaalt de routing. Het platform is het transport.

In Spanje wordt de registratie op het platform gecoördineerd via INCIBE-CERT. De CRA-pagina van INCIBE-CERT (bijgewerkt op 9 september 2026) beschrijft drie stappen. U vraagt toegang aan op het platform van ENISA. INCIBE-CERT vraagt de documenten die het nodig heeft en controleert of het verzoek legitiem is en afkomstig van een entiteit die onder de Verordening valt. Is die controle doorlopen, dan stuurt INCIBE-CERT de definitieve registratie-instructies. ENISA geeft aan dat de verificatie van de koppeling parallel aan het meldproces verloopt en een gemachtigde vertegenwoordiger niet verhindert meldingen in te dienen zolang de validatie nog loopt. De vroegtijdige waarschuwing is verschuldigd zonder onnodige vertraging en binnen 24 uur nadat de fabrikant kennis heeft gekregen, ongeacht de stand van die validatie. Twijfelt u of een geval onder de CRA valt, dan raadt INCIBE-CERT aan dat u het ook via zijn gebruikelijke kanalen meldt.

Aangemelde instanties: CCN verwacht, ENAC accrediteert

Belangrijke producten van klasse I hebben alleen een aangemelde instantie nodig (module B+C of module H) wanneer geharmoniseerde normen, gemeenschappelijke specificaties of een certificeringsschema het product niet volledig dekken. Belangrijke producten van klasse II gebruiken een aangemelde instantie (module B+C of module H) of een beschikbaar en toepasselijk certificeringsschema. Kritieke producten (Bijlage IV) volgen artikel 32, lid 4: de certificeringsroute van artikel 8, lid 1, waar de Commissie die heeft geactiveerd, en anders dezelfde routes van artikel 32, lid 3.

De Spaanse institutionele taakverdeling is:

• CCN (Centro Criptológico Nacional) wordt volgens het ontwerp van het Real Decreto de notificerende autoriteit die Spaanse aangemelde instanties formeel aanmeldt bij de Europese Commissie onder de Cyberweerbaarheidsverordening. Per 17 oktober 2026 vermeldt NANDO geen Spaanse notificerende autoriteit onder de CRA.
• ENAC (Entidad Nacional de Acreditación) is de Spaanse nationale accreditatie-instantie en beoordeelt de technische bekwaamheid van een kandidaat voordat de notificerende autoriteit die notificeert.

Hoofdstuk IV van de CRA (artikelen 35 tot en met 51) geldt sinds 11 juni 2026, dus lidstaten kunnen nu conformiteitsbeoordelingsinstanties aanmelden. Per 17 oktober 2026 vermeldt NANDO geen aangemelde instanties onder de CRA. Raadpleeg de NANDO-lijst in de Single Market Compliance Space van de Commissie voor CRA-aangemelde instanties voordat u een beoordeling plant, en verifieer de definitieve BOE-aanwijzing vóór enige formele indiening.

Een Spaanse fabrikant kan elke EU-aangemelde instantie inschakelen en is niet beperkt tot Spaans-aangewezen instanties. Voor een Spaans-aangewezen instantie kiezen is een inkooppreferentie (Spaanstalige beoordeling, logistiek in eigen land) en geen CRA-vereiste.

Markttoezicht: SETID binnen MTDFP

Het Spaanse ontwerp van Real Decreto wijst SETID binnen MTDFP aan als markttoezichtautoriteit voor CRA-producten in Spanje. Die aanwijzing blijft voorlopig tot de definitieve publicatie in het BOE.

INCIBE ondersteunt de technische kant als voorkeurslaboratorium. Het ontwerp geeft INCIBE echter geen publieke beslissingsbevoegdheden voor CRA-markttoezicht. Controleer de definitieve BOE-tekst vóór enige formele indiening.

Spaanstalige verplichtingen in de praktijk

De Cyberweerbaarheidsverordening vereist dat gebruikersinformatie bij het product is opgesteld in een taal die gemakkelijk te begrijpen is door gebruikers en de lokale markttoezichtautoriteit. Voor producten op de Spaanse markt is dat Spaans (Castiliaans).

Moet in het Spaans zijn:

• De gebruikersinstructies en productinformatie die met het product worden meegeleverd.
• De contactgegevens van de fabrikant (naam, adres, e-mail of ander digitaal contactmiddel) overal waar ze voorkomen, ook op het product zelf, de verpakking of het bijgevoegde document.
• De vermelding van de einddatum van de ondersteuning op het punt van aankoop.

Mag meertalig zijn:

• Het productlabel en de CE-markering.
• Verpakkingstekst.
• Online documentatie, mits een Spaanstalige versie bereikbaar is.

Engels is doorgaans aanvaard voor:

• Interne technische documentatie. Markttoezichtautoriteiten kunnen een Spaanstalige vertaling opvragen als zij een gemotiveerd verzoek indienen, dus plan die mogelijkheid in zelfs als u niet proactief vertaalt.

Catalaans, Galicisch en Baskisch zijn co-officieel in hun respectieve autonome gemeenschappen. De Cyberweerbaarheidsverordening verplicht niet tot vertaling in co-officiële talen. Specifieke regionale aanbestedingscontracten of sectorale toezichthouders kunnen eigen taalclausules opleggen, los van de Cyberweerbaarheidsverordening.

Grensoverschrijdend leveren vanuit Spanje

Spaanse fabrikanten die aan Portugal, Frankrijk, Italië of een andere EU-lidstaat leveren, houden dezelfde enkelvoudige routeringsregel: uw meldingen gaan nog steeds naar INCIBE-CERT, want routing volgt de hoofdvestiging, niet de bestemming per zending. U dient niet bij het Portugese, Franse of Italiaanse CSIRT in.

De taalverplichting vertakt zich wel per markt. Een product dat naar de Franse markt wordt geleverd, heeft Franstalige gebruikersinformatie nodig. Een product naar de Portugese markt heeft Portugese informatie nodig. Het enkelvoudige Spaanstalige pakket dekt die markten niet.

Elk ontvangend land kan ook uw technische documentatie opvragen in een taal die die autoriteit gemakkelijk begrijpt. Als uw levering breed door de EU loopt, verwacht dan verzoeken in ten minste één veel gebruikte werktaal, en behandel vroege vertaling van de meest gevraagde secties van de technische documentatie als praktische voorzorgsmaatregel.

Nationale financieringsprogramma's

Het financieringslandschap is verschoven nu het herstelvenster is gesloten. Wees precies over wat open staat voordat u een budgetlijn aan een van deze programma's koppelt.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) heeft actieve 2026-lijnen: NEOTEC (techstartups in een vroeg stadium), Línea Directa de Innovación (LIC) en Misiones Ciencia e Innovación (grote samenwerkende R&D-consortia). Door de CRA gedreven werk past waar de invalshoek echte R&D en innovatie is, niet louter implementatie of compliance. CDTI plant meer dan 1,8 miljard euro te mobiliseren via zijn 2026-lijnen.
• Activa Ciberseguridad is een klein voucherprogramma (circa 2.140 euro per begunstigde) voor industriële mkb-bedrijven, uitgevoerd door SGIPYME met de autonome gemeenschappen en EOI. Nuttig voor een eerste cyberbeveiligingsdiagnose of een plan-de-ciberseguridad, niet voor de volledige CRA-toolinginvestering.
• Kit Digital bevindt zich in een overgangsfase. Alle Kit Digital-rondes sloten in oktober 2025. Orden TDF/39/2026 (BOE, 28 januari 2026) staat herverdeling van resterende middelen toe, maar per 17 oktober 2026 is er geen open aanvraagvenster. Controleer kitdigital.red.es/convocatorias voordat u hierop rekent.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) is gesloten. Herstel- en veerkrachtprojecten moesten uiterlijk 31 augustus 2026 zijn uitgevoerd, en de definitieve betalingsverzoeken van Spanje aan de Commissie waren uiterlijk 30 september 2026 verschuldigd. PRTR is daarmee geen bruikbaar planningsinstrument voor de CRA-nalevingsdeadline van 11 december 2027. Het RETECH-initiatief van 162 miljoen euro via INCIBE bevindt zich in zijn laatste uitbetalingsfase.

Voor nieuwe nalevingsinvesteringen gericht op de deadline van 11 december 2027 is het realistische publieke financieringslandschap in Spanje beperkt tot CDTI-innovatielijnen en eventuele sectorspecifieke programma's via de autonome gemeenschappen. Programma's gefinancierd via herstel en veerkracht maken geen deel uit van dat beeld vanaf 2027.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg een gekwalificeerde juridisch adviseur voor specifieke CRA-compliancevraagstukken.