CRA för spanska tillverkare: INCIBE-CERT, CCN och ENAC

Spanska tillverkare möter samma CRA-skyldigheter som alla andra EU-tillverkare. Den här landguiden handlar om Spanien: hur sårbarhets- och incidentrapporter dirigeras via INCIBE-CERT, hur bedömningsorgan för överensstämmelse designeras under den spanska uppdelningen (CCN anmäler, ENAC ackrediterar), vad de spanskspråkiga skyldigheterna faktiskt kräver och vad som fortfarande är tillgängligt från nationella finansieringsprogram när återhämtningsfönstret stänger. För den fullständiga tillverkarobligationsuppsättningen, se tillverkarklusterguiden.

När den här guiden gäller dig

Du är rätt läsare om din tillverkares "huvudsakliga etablering i unionen" är i Spanien. Det innebär den plats där beslut rörande cybersäkerheten för dina produkter med digitala element i huvudsak fattas. Ett spanskt registrerat försäljningsbolag med teknikteam utomlands är inte huvudetableringen. Om ditt teknikteam, din SDLC-styrning och de personer som godkänner utgivning av säkerhetsuppdateringar sitter i Spanien, är den här guiden för dig.

Om din huvudsakliga etablering finns på annan plats i EU och du bara levererar till Spanien, dirigeras dina CRA-rapporter via CSIRT för det land där din huvudetablering är, inte INCIBE-CERT. Den spanskspråkiga skyldigheten för användarriktat information gäller ändå för varje produkt som placeras på den spanska marknaden.

INCIBE-CERT: den spanska CSIRT-vägen

CRA-notifieringar dirigeras via det CSIRT som utsetts som koordinator för den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen. För en tillverkare vars huvudetablering är i Spanien är det CSIRT INCIBE-CERT.

INCIBE-CERT publicerar spanskspråkiga sårbarhetsrådgivningar och driver incidenthanteringsströmmen för konsumentprodukter. CCN-CERT täcker offentlig sektor och klassificerade system och är inte CRA-vägen för kommersiella tillverkare som placerar produkter på den öppna marknaden.

Den tekniska kanalen för 24h/72h/14d-rapportkadenset är den gemensamma rapporteringsplattformen (ENISA), som öppnar 11 september 2026. En spansk tillverkare lämnar in via den plattformen med INCIBE-CERT som mottagande koordinator. CSIRT-designationen är dirigeringen. Plattformen är transporten.

Anmälda organ: CCN designerar, ENAC ackrediterar

För produkter av viktig klass I där ingen harmoniserad standard tillämpas, produkter av viktig klass II och kritiska produkter kräver bedömning av överensstämmelse ett anmält organ (modul B+C eller modul H).

Den spanska institutionella uppdelningen är:

• CCN (Centro Criptológico Nacional) agerar som anmälande myndighet och designerar formellt spanska organ för bedömning av överensstämmelse till Europeiska kommissionen under CRA.
• ENAC (Entidad Nacional de Acreditación) är det spanska nationella ackrediteringsorganet och bedömer den tekniska kompetensen hos en kandidat innan CCN anmäler den.

CRA-ramverket för anmälda organ gäller från 11 juni 2026, varefter designerade organ kan börja utfärda CRA-certifikat för bedömning av överensstämmelse. Nu när ramverksdatumet 11 juni 2026 har passerat bör du verifiera det slutliga BOE-utpekandet innan någon formell anmälan.

Du kan som spansk tillverkare använda vilket EU-anmält organ som helst, inte bara spanskdesignerade. Att välja ett spanskdesignerat organ är en inköpspreferens (spanskspråkig bedömning, revisionslogistik i landet) och inte ett CRA-krav.

Marknadskontroll: SETID inom MTDFP

Det spanska utkastet till Real Decreto utser SETID inom MTDFP till marknadskontrollmyndighet för CRA-produkter i Spanien. Den beteckningen är preliminär tills den slutliga texten publiceras i BOE.

INCIBE stöder den tekniska sidan som föredraget laboratorium. Utkastet ger däremot inte INCIBE offentliga beslutsbefogenheter för CRA-marknadskontroll. Kontrollera den slutliga BOE-texten före någon formell inlämning.

Spanskspråkiga krav i praktiken

CRA kräver att användarriktat produktinformation ska vara på ett språk som användare och den lokala marknadskontrollmyndigheten lätt förstår. För produkter som placeras på den spanska marknaden är det spanska (kastilianska).

Måste vara på spanska:

• Bruksanvisningar och produktinformation som medföljer produkten.
• Tillverkarens kontaktuppgifter (namn, adress, e-post eller annan digital kontakt) överallt där de visas, inklusive på produkten, förpackningen eller medföljande dokument.
• Uppgifter om supportperiodens slut som visas vid köptillfället.

Kan vara flerspråkig:

• Produktetiketten och CE-märkningen.
• Text på förpackningen.
• Onlinedokumentation, förutsatt att en svensk version är åtkomlig.

Engelska godtas normalt för:

• Intern teknisk dokumentation. Marknadskontrollmyndigheter kan begära en spansk översättning om de gör en motiverad begäran, så planera för det även om du inte översätter proaktivt.

Katalanska, galiciska och baskiska är samofficiella språk i respektive autonomiregion. CRA kräver inte översättning till samofficiella språk. Specifika regionala upphandlingskontrakt eller sektorsregulatorer (till exempel vissa offentliga upphandlingar) kan lägga till egna språkklausuler, separat från CRA.

Försäljning gränsöverskridande från Spanien

Du som spansk tillverkare och säljer till Portugal, Frankrike, Italien eller något annat EU-land följer samma enskilda routingregel: dina rapporter går ändå till INCIBE-CERT, eftersom routing följer huvudetablering, inte leveransdestination per försändelse. Du lämnar inte in till det portugisiska, franska eller italienska CSIRT.

Språkskyldigheten sprider sig per marknad. En produkt som levereras till den franska marknaden behöver franskspråkigt användarriktat innehåll. En produkt som levereras till den portugisiska marknaden behöver portugisiskt innehåll. Det enda spanskspråkiga paketet täcker inte de marknaderna.

Varje mottagande medlemsstats marknadskontrollmyndighet kan också begära din tekniska dokumentation på ett språk som den myndigheten lätt förstår. Om din leverans löper brett över EU, förvänta dig begäranden på minst ett allmänt använt arbetsspråk och behandla tidig översättning av de mest efterfrågade avsnitten av teknisk dokumentation som en praktisk försäkring.

Nationella finansieringsprogram

Finansieringsbilden har förändrats när återhämtnings- och motståndskraftsfönstret stänger. Var noggrann med vad som är öppet innan du planerar ett belopp mot något av dessa.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) har aktiva 2026-linjer: NEOTEC (tidiga teknikstartups), Línea Directa de Innovación (LIC) och Misiones Ciencia e Innovación (stora samarbetande FoU-konsortier). CRA-drivet arbete passar in när vinkeln är äkta FoU och innovation, inte ren implementering eller efterlevnad. CDTI planerar att mobilisera över 1,8 miljarder euro inom sina 2026-linjer.
• Activa Ciberseguridad är ett litet voucherprogram (ungefär 2 140 euro per stödmottagare) för industriella SMF, drivet av SGIPYME med autonomiregionerna och EOI. Användbart för en inledande cybersäkerhetsdiagnos eller en plan-de-ciberseguridad, inte för den fullständiga CRA-verktygsinvesteringen.
• Kit Digital befinner sig i en övergångsfas. Alla Kit Digital-utlysningar stängde i oktober 2025. Orden TDF/39/2026 (BOE, 28 januari 2026) tillåter omfördelning av återstående medel, men den 25 maj 2026 finns inget öppet ansökningsfönster. Kontrollera kitdigital.red.es/convocatorias innan du räknar med det.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) befinner sig i sitt avslutningsfönster. Alla återhämtnings- och motståndskraftsprojekt måste vara genomförda senast 31 augusti 2026, med Spaniens slutliga betalningsbegäranden till kommissionen senast 30 september 2026. PRTR är därför inte ett realistiskt planeringsinstrument för CRA-efterlevnadsfristen den 11 december 2027. Det 162 miljoner euro stora RETECH-initiativet via INCIBE är i sin slutliga utbetalningsfas.

För ny efterlevnadsinvestering daterad mot 11 december 2027-skyldighetsdatumet är den realistiska offentliga finansieringsbilden i Spanien CDTI:s innovationslinjer plus eventuella sektorsspecifika program via autonomiregionerna. Återhämtnings- och motståndskraftsfinansierade program ingår inte i den bilden från 2027 och framåt.

Den här artikeln är enbart avsedd för informationsändamål och utgör inte juridisk rådgivning. Konsultera kvalificerat juridiskt ombud för specifik CRA-efterlevnadsvägledning.