Spanien ist der viertgrößte EU-Markt und hat eine der ambitioniertesten nationalen Cybersecurity-Agenden. Auffällig: eine doppelte CSIRT-Struktur, die bei CRA-Meldungen zunächst Verwirrung stiftet, aber klar zu navigieren ist.
Zuständige Meldebehörde: INCIBE-CERT (Wirtschaft) und CCN-CERT (öffentliche Verwaltung)
Für Hersteller und den privaten Sektor ist INCIBE-CERT (Instituto Nacional de Ciberseguridad) die primäre CRA-Meldestelle. Kontakt: incidencias@incibe-cert.es, Postanschrift Av. José Aguado 41, 24005 León, Web https://www.incibe-cert.es. Für Vorfälle mit Bezug zur öffentlichen Verwaltung ist zusätzlich CCN-CERT (Centro Criptológico Nacional) zuständig — https://www.ccn-cert.cni.es.
Marktüberwachung
Marktüberwachung wird voraussichtlich beim Ministerio para la Transformación Digital y de la Función Pública in Kooperation mit AEPD (Datenschutz) und der Secretaría de Estado de Telecomunicaciones angesiedelt sein.
Notified Bodies
Applus+, Bureau Veritas Iberia und AENOR positionieren sich für die CRA-Notifizierung. Spanien betreibt zusätzlich ein nationales Zertifizierungsschema (ENS — Esquema Nacional de Seguridad), das nicht identisch mit dem CRA ist, aber komplementäre Anerkennung genießt.
Sprachanforderungen
Kastilisches Spanisch ist Standard für nutzerseitige Dokumentation und Konformitätserklärung. In Katalonien, Baskenland und Galicien können regionale Sprachversionen zusätzlich erforderlich werden, insbesondere im öffentlichen Sektor.
Praktischer Fahrplan
- Aufsetzen der Meldung bei INCIBE-CERT — der Standardweg für privatwirtschaftliche Hersteller.
- Prüfen, ob Ihre Produkte auch für die öffentliche Verwaltung relevant sind — dann parallel CCN-CERT-Registrierung.
- ENS-Konformität als komplementäres Verkaufsargument nutzen, wenn Sie an spanische Behörden verkaufen.
- Sprachversionen für Katalonien / Baskenland / Galicien im DoC-Prozess vorsehen, wenn regionaler Vertrieb geplant ist.