CRA dla hiszpańskich producentów: INCIBE-CERT, CCN i ENAC

Hiszpańscy producenci podlegają tym samym obowiązkom wynikającym z aktu o cyberodporności co każdy inny producent w Unii. Niniejsza strona to nota krajowa dla Hiszpanii: jak zgłoszenia podatności i incydentów trafiają przez INCIBE-CERT, jak ciała oceniające zgodność uzyskują wyznaczenie w ramach hiszpańskiego podziału (CCN ma notyfikować, ENAC akredytuje), czego faktycznie wymagają obowiązki językowe dotyczące języka hiszpańskiego oraz co pozostaje z krajowych programów finansowania teraz, gdy okno funduszu odbudowy się zamknęło. Pełny zestaw obowiązków producenta omówiony jest w przewodniku klastrowym dla producentów.

Kiedy ten przewodnik dotyczy producenta

Docelowym czytelnikiem jest podmiot, którego „główna siedziba producenta w Unii" mieści się w Hiszpanii. Chodzi o miejsce, w którym decyzje dotyczące cyberbezpieczeństwa produktów z elementami cyfrowymi są podejmowane przede wszystkim. Hiszpańska filia sprzedaży z inżynierią za granicą nie jest główną siedzibą. Jeżeli zespół inżynierów, zarządzanie cyklem SDLC i osoby zatwierdzające wydania aktualizacji bezpieczeństwa działają w Hiszpanii, ten przewodnik jest właściwy dla tego podmiotu.

Jeżeli główna siedziba producenta mieści się gdzie indziej w UE, a wysyłka odbywa się tylko do Hiszpanii, zgłoszenia CRA trafiają przez CSIRT państwa członkowskiego głównej siedziby, a nie przez INCIBE-CERT. Obowiązek językowy w zakresie informacji dla użytkowników w języku hiszpańskim nadal obowiązuje dla każdego produktu wprowadzonego na rynek hiszpański.

INCIBE-CERT: hiszpańska ścieżka CSIRT

Zgłoszenia CRA trafiają do CSIRT wyznaczonego jako koordynator państwa członkowskiego, w którym producent ma główną siedzibę w Unii. Dla producenta z główną siedzibą w Hiszpanii tym CSIRT jest INCIBE-CERT.

INCIBE-CERT publikuje hiszpańskojęzyczne biuletyny o podatnościach i prowadzi strumień reagowania na incydenty dotyczące produktów konsumenckich. CCN-CERT obsługuje sektor publiczny i systemy niejawne i nie jest ścieżką CRA dla komercyjnych producentów wprowadzających produkty na otwarty rynek.

Kanałem technicznym dla cyklu raportowania 24h / 72h / 14 dni jest platforma jednolitego zgłaszania ENISA, która działa od 11 września 2026 r. Hiszpański producent składa zgłoszenia przez tę platformę, a INCIBE-CERT pełni rolę koordynatora odbierającego. Wyznaczenie CSIRT to routing. Platforma to kanał transportu.

W Hiszpanii rejestrację na platformie koordynuje INCIBE-CERT. Jego strona o CRA (aktualizacja z 9 września 2026 r.) opisuje trzy kroki. Producent występuje o dostęp na platformie ENISA. INCIBE-CERT prosi o potrzebne dokumenty i sprawdza, czy wniosek jest zasadny i pochodzi od podmiotu objętego rozporządzeniem. Po pozytywnym wyniku tej weryfikacji przesyła końcowe instrukcje rejestracji. ENISA wyjaśnia, że weryfikacja powiązania przebiega równolegle do procesu zgłaszania i nie blokuje upoważnionemu przedstawicielowi składania zgłoszeń podczas oczekiwania na walidację. Wczesne ostrzeżenie należy przekazać bez zbędnej zwłoki i w ciągu 24 godzin od uzyskania wiedzy, niezależnie od stanu tej walidacji. Gdy nie ma pewności, czy dany przypadek mieści się w zakresie CRA, INCIBE-CERT zaleca dodatkowe zgłoszenie do niego zwykłymi kanałami.

Jednostki notyfikowane: CCN przewidziany, ENAC akredytuje

Produkty Important Klasy I wymagają jednostki notyfikowanej (Moduł B+C lub Moduł H) wyłącznie w przypadku, gdy normy zharmonizowane, wspólne specyfikacje lub schemat certyfikacji nie pokrywają ich w pełni. Produkty Important Klasy II korzystają z jednostki notyfikowanej (Moduł B+C lub Moduł H) lub dostępnego i mającego zastosowanie schematu certyfikacji. Produkty Krytyczne (Załącznik IV) stosują Artykuł 32(4): ścieżkę certyfikacji z Artykułu 8(1) tam, gdzie Komisja ją uruchomiła, w przeciwnym razie te same ścieżki z Artykułu 32(3).

Hiszpański podział instytucjonalny wygląda następująco:

• Według projektu Real Decreto CCN (Centro Criptológico Nacional) ma być organem notyfikującym, który formalnie wyznacza hiszpańskie jednostki notyfikowane do Komisji Europejskiej na podstawie CRA. Na dzień 17 października 2026 r. NANDO nie wymienia żadnego hiszpańskiego organu notyfikującego w ramach CRA.
• ENAC (Entidad Nacional de Acreditación) jest hiszpańskim krajowym organem akredytującym i ocenia kompetencje techniczne kandydata przed notyfikacją przez organ notyfikujący.

Rozdział IV CRA (Artykuły 35-51) stosuje się od 11 czerwca 2026 r., więc państwa członkowskie mogą już notyfikować jednostki oceniające zgodność. Na 17 października 2026 r. NANDO nie wykazuje żadnej jednostki notyfikowanej w ramach CRA. Przed zaplanowaniem oceny należy sprawdzić wykaz NANDO w Single Market Compliance Space pod kątem jednostek notyfikowanych CRA oraz zweryfikować ostateczne wyznaczenie w BOE przed jakimkolwiek formalnym zgłoszeniem.

Hiszpański producent może korzystać z dowolnej jednostki notyfikowanej w UE, nie tylko wyznaczonej w Hiszpanii. Wybór jednostki wyznaczonej w Hiszpanii to preferencja zakupowa (ocena w języku hiszpańskim, logistyka audytów w kraju) i nie stanowi wymogu CRA.

Nadzór rynku: SETID w MTDFP

Hiszpański projekt Real Decreto wyznacza SETID w MTDFP jako organ nadzoru rynku dla produktów CRA w Hiszpanii. To wyznaczenie pozostaje tymczasowe do czasu ostatecznej publikacji w BOE.

INCIBE wspiera stronę techniczną jako preferowane laboratorium. Projekt nie przyznaje jednak INCIBE publicznych uprawnień decyzyjnych w zakresie nadzoru rynku CRA. Przed jakimkolwiek formalnym zgłoszeniem należy sprawdzić ostateczny tekst BOE.

Wymogi językowe w języku hiszpańskim w praktyce

CRA wymaga, aby informacje produktowe skierowane do użytkowników były sporządzone w języku zrozumiałym dla użytkowników i lokalnego organu nadzoru rynku. Dla produktów wprowadzanych na rynek hiszpański jest to język hiszpański (kastylijski).

Musi być w języku hiszpańskim:

• Instrukcje użytkowania i informacje o produkcie dołączone do produktu.
• Dane kontaktowe producenta (nazwa, adres, adres e-mail lub inny kontakt cyfrowy) wszędzie tam, gdzie są podane, w tym na samym produkcie, opakowaniu lub towarzyszącym dokumencie.
• Informacja o dacie zakończenia wsparcia widoczna w miejscu zakupu.

Może być wielojęzyczne:

• Etykieta produktu i oznakowanie CE.
• Tekst opakowania.
• Dokumentacja online, pod warunkiem że wersja w języku hiszpańskim jest dostępna.

Język angielski jest co do zasady akceptowany dla:

• Wewnętrznej dokumentacji technicznej. Organy nadzoru rynku mogą zażądać tłumaczenia na język hiszpański na uzasadniony wniosek, dlatego producent powinien być na tę ewentualność przygotowany, nawet jeśli nie wykonuje tłumaczenia proaktywnie.

Kataloński, galicyjski i baskijski są współurzędowe w swoich wspólnotach autonomicznych. CRA nie wymaga tłumaczenia na języki współurzędowe. Konkretne regionalne umowy zamówień publicznych lub regulatorzy sektorowi mogą dodawać własne klauzule językowe, odrębne od CRA.

Sprzedaż transgraniczna z Hiszpanii

Producenci z Hiszpanii sprzedający do Portugalii, Francji, Włoch lub innego państwa członkowskiego UE obowiązuje ta sama zasada jednolitego routingu: zgłoszenia nadal trafiają do INCIBE-CERT, ponieważ routing wynika z głównej siedziby, a nie z miejsca dostawy. Producent nie składa zgłoszeń do portugalskiego, francuskiego ani włoskiego CSIRT.

Obowiązek językowy rozszerza się natomiast proporcjonalnie do rynków docelowych. Produkt wysyłany na rynek francuski wymaga treści skierowanych do użytkowników w języku francuskim. Produkt wysyłany na rynek portugalski wymaga treści w języku portugalskim. Jeden pakiet w języku hiszpańskim nie pokrywa tych rynków.

Organ nadzoru rynku każdego państwa członkowskiego może również zażądać dokumentacji technicznej w języku zrozumiałym dla tego organu. Jeżeli produkt jest dystrybuowany szeroko w całej UE, producent powinien liczyć się z wnioskami w co najmniej jednym szeroko stosowanym języku roboczym i traktować wcześniejsze tłumaczenie najczęściej żądanych sekcji dokumentacji technicznej jako praktyczne zabezpieczenie.

Krajowe programy finansowania

Obraz finansowania zmienił się, gdy okno funduszy odbudowy i odporności się zamknęło. Przed zaplanowaniem jakiejkolwiek pozycji budżetowej w oparciu o te programy należy zweryfikować, co jest aktualnie dostępne.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) ma aktywne linie na 2026 r.: NEOTEC (wczesne startupy technologiczne), Línea Directa de Innovación (LIC) oraz Misiones Ciencia e Innovación (duże konsorcja R&D). Prace nakierowane przez CRA kwalifikują się tam, gdzie kąt jest autentycznym R&D i innowacją, a nie czystym wdrożeniem lub zgodnością. CDTI planuje zmobilizować ponad 1,8 miliarda euro w ramach swoich linii na 2026 r.
• Activa Ciberseguridad to mały program voucherowy (około 2 140 euro na beneficjenta) dla przemysłowych MŚP, realizowany przez SGIPYME z udziałem wspólnot autonomicznych i EOI. Przydatny dla wstępnej diagnozy cyberbezpieczeństwa lub planu cyberbezpieczeństwa, nie zaś dla pełnych inwestycji w narzędzia CRA.
• Kit Digital jest w fazie przejściowej. Wszystkie nabory Kit Digital zamknęły się w październiku 2025 r. Orden TDF/39/2026 (BOE, 28 stycznia 2026 r.) pozwala na redystrybucję pozostałych środków, ale na 17 października 2026 r. nie ma otwartego okna aplikacyjnego. Przed uwzględnieniem tego źródła należy sprawdzić kitdigital.red.es/convocatorias.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) został zamknięty. Projekty musiały być zrealizowane do 31 sierpnia 2026 r., a ostateczne wnioski o płatność do Komisji były wymagane do 30 września 2026 r. PRTR nie jest zatem realnym instrumentem planistycznym dla terminu zgodności CRA wynoszącego 11 grudnia 2027 r. Inicjatywa RETECH o wartości 162 milionów euro realizowana przez INCIBE jest w swojej końcowej fazie wypłat.

Dla nowych inwestycji compliance z datą wymagalności 11 grudnia 2027 r. realistyczny obraz publicznego finansowania w Hiszpanii to linie innowacyjne CDTI oraz ewentualne programy sektorowe za pośrednictwem wspólnot autonomicznych. Programy finansowane z funduszy odbudowy i odporności nie wchodzą w ten obraz od 2027 r.

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W sprawach konkretnej zgodności z CRA należy skonsultować się z wykwalifikowanym doradcą prawnym.