CRA voor Spaanse fabrikanten: INCIBE-CERT, CCN en ENAC

Spaanse fabrikanten vallen onder dezelfde verplichtingen van de Cyberweerbaarheidsverordening als elke andere EU-fabrikant. Deze pagina is een landenbriefing voor Spanje: hoe kwetsbaarheden- en incidentmeldingen via INCIBE-CERT worden gerouteerd, hoe conformiteitsbeoordelingsinstanties worden aangewezen via de Spaanse taakverdeling (CCN notificeert, ENAC accrediteert), wat de Spaanstalige verplichtingen concreet inhouden en welke nationale financieringsprogramma's nog beschikbaar zijn nu het herstelvenster sluit. Voor het volledige verplichtingenpakket van de fabrikant, zie de cluster-gids voor fabrikanten.

Wanneer deze gids op u van toepassing is

U bent de doellezer als uw "hoofdvestiging in de Unie" als fabrikant in Spanje ligt. Dat is de plaats waar beslissingen over de cyberbeveiliging van uw producten met digitale elementen overwegend worden genomen. Een in Spanje geregistreerde verkoopsdochter met engineering in het buitenland is geen hoofdvestiging. Als uw engineeringteam, uw SDLC-governance en de mensen die beveiligingsupdates goedkeuren in Spanje zitten, is deze gids voor u.

Als uw hoofdvestiging elders in de EU ligt en u alleen naar Spanje levert, loopt uw CRA-melding via het CSIRT van uw eigen lidstaat van vestiging, niet via INCIBE-CERT. De Spaanstalige verplichting voor gebruikersinformatie geldt wel voor elk product dat op de Spaanse markt wordt geplaatst.

INCIBE-CERT: de Spaanse CSIRT-route

CRA-meldingen worden gerouteerd via het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft. Voor een fabrikant met hoofdvestiging in Spanje is dat CSIRT INCIBE-CERT.

INCIBE-CERT publiceert Spaanstalige kwetsbaarheidsadviezen en beheert de incidentresponsstream voor consumentenproducten. CCN-CERT bedient de publieke sector en geclassificeerde systemen en is niet de CRA-route voor commerciële fabrikanten die producten op de open markt plaatsen.

Het technische kanaal voor de 24u / 72u / 14d-meldingscadans is het ENISA single reporting platform, dat operationeel wordt op 11 september 2026. Een Spaanse fabrikant dient via dat platform in met INCIBE-CERT als ontvangende coördinator. De CSIRT-aanwijzing bepaalt de routing. Het platform is het transport.

Aangemelde instanties: CCN notificeert, ENAC accrediteert

Voor belangrijke producten van klasse I waarbij geen geharmoniseerde norm wordt toegepast, voor belangrijke producten van klasse II en voor kritieke producten vereist de conformiteitsbeoordeling een aangemelde instantie (module B+C of module H).

De Spaanse institutionele taakverdeling is:

• CCN (Centro Criptológico Nacional) treedt op als notificerende autoriteit die Spaanse aangemelde instanties formeel aanmeldt bij de Europese Commissie onder de Cyberweerbaarheidsverordening.
• ENAC (Entidad Nacional de Acreditación) is de Spaanse nationale accreditatie-instantie en beoordeelt de technische bekwaamheid van een kandidaat voordat CCN die notificeert.

Het CRA-kader voor aangemelde instanties is van toepassing vanaf 11 juni 2026, waarna aangewezen instanties CRA-conformiteitsbeoordelingscertificaten kunnen beginnen uit te geven. Tot die datum wordt de Spaanse keten opgebouwd.

Een Spaanse fabrikant kan elke EU-aangemelde instantie inschakelen en is niet beperkt tot Spaans-aangewezen instanties. Voor een Spaans-aangewezen instantie kiezen is een inkooppreferentie (Spaanstalige beoordeling, logistiek in eigen land) en geen CRA-vereiste.

Markttoezicht: SETID binnen MTDFP

Het Spaanse ontwerp van Real Decreto wijst SETID binnen MTDFP aan als markttoezichtautoriteit voor CRA-producten in Spanje. Die aanwijzing blijft voorlopig tot de definitieve publicatie in het BOE.

INCIBE ondersteunt de technische kant als voorkeurslaboratorium. Het ontwerp geeft INCIBE echter geen publieke beslissingsbevoegdheden voor CRA-markttoezicht. Controleer de definitieve BOE-tekst vóór enige formele indiening.

Spaanstalige verplichtingen in de praktijk

De Cyberweerbaarheidsverordening vereist dat gebruikersinformatie bij het product is opgesteld in een taal die gemakkelijk te begrijpen is door gebruikers en de lokale markttoezichtautoriteit. Voor producten op de Spaanse markt is dat Spaans (Castiliaans).

Moet in het Spaans zijn:

• De gebruikersinstructies en productinformatie die met het product worden meegeleverd.
• De contactgegevens van de fabrikant (naam, adres, e-mail of ander digitaal contactmiddel) overal waar ze voorkomen, ook op het product zelf, de verpakking of het bijgevoegde document.
• De vermelding van de einddatum van de ondersteuning op het punt van aankoop.

Mag meertalig zijn:

• Het productlabel en de CE-markering.
• Verpakkingstekst.
• Online documentatie, mits een Spaanstalige versie bereikbaar is.

Engels is doorgaans aanvaard voor:

• Interne technische documentatie. Markttoezichtautoriteiten kunnen een Spaanstalige vertaling opvragen als zij een gemotiveerd verzoek indienen, dus plan die mogelijkheid in zelfs als u niet proactief vertaalt.

Catalaans, Galicisch en Baskisch zijn co-officieel in hun respectieve autonome gemeenschappen. De Cyberweerbaarheidsverordening verplicht niet tot vertaling in co-officiële talen. Specifieke regionale aanbestedingscontracten of sectorale toezichthouders kunnen eigen taalclausules opleggen, los van de Cyberweerbaarheidsverordening.

Grensoverschrijdend leveren vanuit Spanje

Spaanse fabrikanten die aan Portugal, Frankrijk, Italië of een andere EU-lidstaat leveren, houden dezelfde enkelvoudige routeringsregel: uw meldingen gaan nog steeds naar INCIBE-CERT, want routing volgt de hoofdvestiging, niet de bestemming per zending. U dient niet bij het Portugese, Franse of Italiaanse CSIRT in.

De taalverplichting vertakt zich wel per markt. Een product dat naar de Franse markt wordt geleverd, heeft Franstalige gebruikersinformatie nodig. Een product naar de Portugese markt heeft Portugese informatie nodig. Het enkelvoudige Spaanstalige pakket dekt die markten niet.

Elk ontvangend land kan ook uw technische documentatie opvragen in een taal die die autoriteit gemakkelijk begrijpt. Als uw levering breed door de EU loopt, verwacht dan verzoeken in ten minste één veel gebruikte werktaal, en behandel vroege vertaling van de meest gevraagde secties van de technische documentatie als praktische voorzorgsmaatregel.

Nationale financieringsprogramma's

Het financieringslandschap is verschoven nu het herstelvenster sluit. Wees precies over wat open staat voordat u een budgetlijn aan een van deze programma's koppelt.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) heeft actieve 2026-lijnen: NEOTEC (techstartups in een vroeg stadium), Línea Directa de Innovación (LIC) en Misiones Ciencia e Innovación (grote samenwerkende R&D-consortia). Door de CRA gedreven werk past waar de invalshoek echte R&D en innovatie is, niet louter implementatie of compliance. CDTI plant meer dan 1,8 miljard euro te mobiliseren via zijn 2026-lijnen.
• Activa Ciberseguridad is een klein voucherprogramma (circa 2.140 euro per begunstigde) voor industriële mkb-bedrijven, uitgevoerd door SGIPYME met de autonome gemeenschappen en EOI. Nuttig voor een eerste cyberbeveiligingsdiagnose of een plan-de-ciberseguridad, niet voor de volledige CRA-toolinginvestering.
• Kit Digital bevindt zich in een overgangsfase. Alle Kit Digital-rondes sloten in oktober 2025. Orden TDF/39/2026 (BOE, 28 januari 2026) staat herverdeling van resterende middelen toe, maar per 25 mei 2026 is er geen open aanvraagvenster. Controleer kitdigital.red.es/convocatorias voordat u hierop rekent.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) bevindt zich in zijn slotvenster. Alle herstel- en veerkrachtprojecten moeten uiterlijk 31 augustus 2026 zijn uitgevoerd, met de definitieve betalingsverzoeken van Spanje aan de Commissie op 30 september 2026. PRTR is daarmee geen bruikbaar planningsinstrument voor de CRA-nalevingsdeadline van 11 december 2027. Het RETECH-initiatief van 162 miljoen euro via INCIBE bevindt zich in zijn laatste uitbetalingsfase.

Voor nieuwe nalevingsinvesteringen gericht op de deadline van 11 december 2027 is het realistische publieke financieringslandschap in Spanje beperkt tot CDTI-innovatielijnen en eventuele sectorspecifieke programma's via de autonome gemeenschappen. Programma's gefinancierd via herstel en veerkracht maken geen deel uit van dat beeld vanaf 2027.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg een gekwalificeerde juridisch adviseur voor specifieke CRA-compliancevraagstukken.