CRA för spanska tillverkare: INCIBE-CERT, CCN och ENAC

Spanska tillverkare möter samma CRA-skyldigheter som alla andra EU-tillverkare. Den här landguiden handlar om Spanien: hur sårbarhets- och incidentrapporter dirigeras via INCIBE-CERT, hur bedömningsorgan för överensstämmelse designeras under den spanska uppdelningen (CCN väntas anmäla, ENAC ackrediterar), vad de spanskspråkiga skyldigheterna faktiskt kräver och vad som fortfarande är tillgängligt från nationella finansieringsprogram nu när återhämtningsfönstret har stängt. För den fullständiga tillverkarobligationsuppsättningen, se tillverkarklusterguiden.

När den här guiden gäller dig

Du är rätt läsare om din tillverkares "huvudsakliga etablering i unionen" är i Spanien. Det innebär den plats där beslut rörande cybersäkerheten för dina produkter med digitala element i huvudsak fattas. Ett spanskt registrerat försäljningsbolag med teknikteam utomlands är inte huvudetableringen. Om ditt teknikteam, din SDLC-styrning och de personer som godkänner utgivning av säkerhetsuppdateringar sitter i Spanien, är den här guiden för dig.

Om din huvudsakliga etablering finns på annan plats i EU och du bara levererar till Spanien, dirigeras dina CRA-rapporter via CSIRT för det land där din huvudetablering är, inte INCIBE-CERT. Den spanskspråkiga skyldigheten för användarriktat information gäller ändå för varje produkt som placeras på den spanska marknaden.

INCIBE-CERT: den spanska CSIRT-vägen

CRA-notifieringar dirigeras via det CSIRT som utsetts som koordinator för den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen. För en tillverkare vars huvudetablering är i Spanien är det CSIRT INCIBE-CERT.

INCIBE-CERT publicerar spanskspråkiga sårbarhetsrådgivningar och driver incidenthanteringsströmmen för konsumentprodukter. CCN-CERT täcker offentlig sektor och klassificerade system och är inte CRA-vägen för kommersiella tillverkare som placerar produkter på den öppna marknaden.

Den tekniska kanalen för 24h/72h/14d-rapportkadenset är den gemensamma rapporteringsplattformen (ENISA), som är öppen sedan 11 september 2026. En spansk tillverkare lämnar in via den plattformen med INCIBE-CERT som mottagande koordinator. CSIRT-designationen är dirigeringen. Plattformen är transporten.

I Spanien samordnas registreringen på plattformen via INCIBE-CERT. Dess CRA-sida (uppdaterad 9 september 2026) beskriver tre steg. Du begär åtkomst på ENISA:s plattform. INCIBE-CERT ber om de handlingar som behövs och kontrollerar att begäran är legitim och kommer från en enhet som omfattas av förordningen. När kontrollen är godkänd skickar INCIBE-CERT de slutliga registreringsanvisningarna. ENISA anger att kontrollen av kopplingen sker parallellt med rapporteringsprocessen och inte hindrar en auktoriserad representant från att lämna in anmälningar medan valideringen pågår. Den tidiga varningen ska lämnas utan onödigt dröjsmål och inom 24 timmar efter att tillverkaren fått kännedom, oavsett hur valideringen står till. Om du är osäker på om ett fall omfattas av CRA rekommenderar INCIBE-CERT att du även anmäler det via de vanliga kanalerna.

Anmälda organ: CCN väntas, ENAC ackrediterar

Produkter av viktig klass I behöver ett anmält organ (modul B+C eller modul H) bara när harmoniserade standarder, gemensamma specifikationer eller ett certifieringsschema inte täcker dem fullt ut. Produkter av viktig klass II använder ett anmält organ (modul B+C eller modul H) eller ett tillgängligt och tillämpligt certifieringsschema. Kritiska produkter (bilaga IV) följer artikel 32.4: certifieringsvägen enligt artikel 8.1 där kommissionen har aktiverat den, annars samma vägar som i artikel 32.3.

Den spanska institutionella uppdelningen är:

• Enligt utkastet till Real Decreto väntas CCN (Centro Criptológico Nacional) bli den anmälande myndighet som formellt designerar spanska organ för bedömning av överensstämmelse till Europeiska kommissionen under CRA. Den 17 oktober 2026 listar NANDO ingen spansk anmälande myndighet enligt CRA.
• ENAC (Entidad Nacional de Acreditación) är det spanska nationella ackrediteringsorganet och bedömer den tekniska kompetensen hos en kandidat innan den anmälande myndigheten anmäler den.

Kapitel IV i CRA (artiklarna 35 till 51) har gällt sedan 11 juni 2026, så medlemsstaterna kan nu anmäla organ för bedömning av överensstämmelse. Per den 17 oktober 2026 listar NANDO inga anmälda organ under CRA. Kontrollera kommissionens NANDO-lista i Single Market Compliance Space efter CRA-anmälda organ innan du planerar en bedömning, och verifiera det slutliga BOE-utpekandet innan någon formell anmälan.

Du kan som spansk tillverkare använda vilket EU-anmält organ som helst, inte bara spanskdesignerade. Att välja ett spanskdesignerat organ är en inköpspreferens (spanskspråkig bedömning, revisionslogistik i landet) och inte ett CRA-krav.

Marknadskontroll: SETID inom MTDFP

Det spanska utkastet till Real Decreto utser SETID inom MTDFP till marknadskontrollmyndighet för CRA-produkter i Spanien. Den beteckningen är preliminär tills den slutliga texten publiceras i BOE.

INCIBE stöder den tekniska sidan som föredraget laboratorium. Utkastet ger däremot inte INCIBE offentliga beslutsbefogenheter för CRA-marknadskontroll. Kontrollera den slutliga BOE-texten före någon formell inlämning.

Spanskspråkiga krav i praktiken

CRA kräver att användarriktat produktinformation ska vara på ett språk som användare och den lokala marknadskontrollmyndigheten lätt förstår. För produkter som placeras på den spanska marknaden är det spanska (kastilianska).

Måste vara på spanska:

• Bruksanvisningar och produktinformation som medföljer produkten.
• Tillverkarens kontaktuppgifter (namn, adress, e-post eller annan digital kontakt) överallt där de visas, inklusive på produkten, förpackningen eller medföljande dokument.
• Uppgifter om supportperiodens slut som visas vid köptillfället.

Kan vara flerspråkig:

• Produktetiketten och CE-märkningen.
• Text på förpackningen.
• Onlinedokumentation, förutsatt att en svensk version är åtkomlig.

Engelska godtas normalt för:

• Intern teknisk dokumentation. Marknadskontrollmyndigheter kan begära en spansk översättning om de gör en motiverad begäran, så planera för det även om du inte översätter proaktivt.

Katalanska, galiciska och baskiska är samofficiella språk i respektive autonomiregion. CRA kräver inte översättning till samofficiella språk. Specifika regionala upphandlingskontrakt eller sektorsregulatorer (till exempel vissa offentliga upphandlingar) kan lägga till egna språkklausuler, separat från CRA.

Försäljning gränsöverskridande från Spanien

Du som spansk tillverkare och säljer till Portugal, Frankrike, Italien eller något annat EU-land följer samma enskilda routingregel: dina rapporter går ändå till INCIBE-CERT, eftersom routing följer huvudetablering, inte leveransdestination per försändelse. Du lämnar inte in till det portugisiska, franska eller italienska CSIRT.

Språkskyldigheten sprider sig per marknad. En produkt som levereras till den franska marknaden behöver franskspråkigt användarriktat innehåll. En produkt som levereras till den portugisiska marknaden behöver portugisiskt innehåll. Det enda spanskspråkiga paketet täcker inte de marknaderna.

Varje mottagande medlemsstats marknadskontrollmyndighet kan också begära din tekniska dokumentation på ett språk som den myndigheten lätt förstår. Om din leverans löper brett över EU, förvänta dig begäranden på minst ett allmänt använt arbetsspråk och behandla tidig översättning av de mest efterfrågade avsnitten av teknisk dokumentation som en praktisk försäkring.

Nationella finansieringsprogram

Finansieringsbilden har förändrats när återhämtnings- och motståndskraftsfönstret stänger. Var noggrann med vad som är öppet innan du planerar ett belopp mot något av dessa.

• CDTI (Centro para el Desarrollo Tecnológico Industrial) har aktiva 2026-linjer: NEOTEC (tidiga teknikstartups), Línea Directa de Innovación (LIC) och Misiones Ciencia e Innovación (stora samarbetande FoU-konsortier). CRA-drivet arbete passar in när vinkeln är äkta FoU och innovation, inte ren implementering eller efterlevnad. CDTI planerar att mobilisera över 1,8 miljarder euro inom sina 2026-linjer.
• Activa Ciberseguridad är ett litet voucherprogram (ungefär 2 140 euro per stödmottagare) för industriella SMF, drivet av SGIPYME med autonomiregionerna och EOI. Användbart för en inledande cybersäkerhetsdiagnos eller en plan-de-ciberseguridad, inte för den fullständiga CRA-verktygsinvesteringen.
• Kit Digital befinner sig i en övergångsfas. Alla Kit Digital-utlysningar stängde i oktober 2025. Orden TDF/39/2026 (BOE, 28 januari 2026) tillåter omfördelning av återstående medel, men den 17 oktober 2026 finns inget öppet ansökningsfönster. Kontrollera kitdigital.red.es/convocatorias innan du räknar med det.
• Plan de Recuperación, Transformación y Resiliencia (PRTR) har stängt. Återhämtnings- och motståndskraftsprojekt skulle vara genomförda senast 31 augusti 2026, och Spaniens slutliga betalningsbegäranden till kommissionen skulle lämnas in senast 30 september 2026. PRTR är därför inte ett realistiskt planeringsinstrument för CRA-efterlevnadsfristen den 11 december 2027. Det 162 miljoner euro stora RETECH-initiativet via INCIBE är i sin slutliga utbetalningsfas.

För ny efterlevnadsinvestering daterad mot 11 december 2027-skyldighetsdatumet är den realistiska offentliga finansieringsbilden i Spanien CDTI:s innovationslinjer plus eventuella sektorsspecifika program via autonomiregionerna. Återhämtnings- och motståndskraftsfinansierade program ingår inte i den bilden från 2027 och framåt.

Den här artikeln är enbart avsedd för informationsändamål och utgör inte juridisk rådgivning. Konsultera kvalificerat juridiskt ombud för specifik CRA-efterlevnadsvägledning.