Per què és important tenir una CRA pròpia: control, temps de resposta i coordinació PCI-intrusió

La Central Receptora d’Alarmes és el sistema nerviós de la seguretat d’una organització. Analitzem per què disposar d’una CRA pròpia (en lloc de subcontractar el servei) s’ha convertit en un factor diferencial el 2026.

Què és una CRA i per què és important

Una Central Receptora d’Alarmes (CRA) és el centre operatiu 24/7 on convergeixen els senyals dels sistemes de seguretat electrònica: intrusió, control d’accessos, videovigilància i sistemes tècnics. L’operador de la CRA rep els esdeveniments, els verifica, coordina la resposta (vigilant, policia) i notifica el client.

Les alarmes d’incendi segueixen un procés diferent, gestionat per la Central Receptora d’Incendis (CRI): la tecnologia, els protocols de verificació i l’avís als bombers responen a una lògica diferent de la d’una alarma d’intrusió. Per això, a SIEF-2 mantenim la CRA i la CRI com a centres operatius separats, tot i que coordinats entre si en formar part de la mateixa organització.

A Espanya, les CRA estan regulades pel Reglament de Seguretat Privada i han d’estar homologades per la Direcció General de la Policia. Els requisits tècnics (redundància, disponibilitat, procediments de verificació) són estrictes i no deixen marge per a la improvisació.

La pregunta que moltes empreses instal·ladores es plantegen avui és: té sentit operar una CRA pròpia o és millor subcontractar-la a un tercer? La resposta, segons la nostra experiència, depèn del tipus de servei que es vulgui oferir.

CRA externa vs. CRA pròpia: avantatges i contrapartides

La CRA externa és una opció viable per a moltes empreses petites i mitjanes: externalitzes un servei complex, redueixes el cost fix i compleixes la normativa. Però té limitacions quan el client exigeix flexibilitat i una coordinació real amb el manteniment PCI i amb la CRI.

Una CRA pròpia permet:

• Coordinar la verificació amb el coneixement de la instal·lació. L’operador que atén una alarma coneix el projecte, sap quins sensors hi ha i recorda el perfil del client.
• Coordinar la CRA amb la CRI sense fusionar-les. Cadascuna manté la seva pròpia tecnologia i procés de verificació, però, en pertànyer a la mateixa organització, una alarma d’incendi pot anar acompanyada d’accions coordinades (avís als responsables, activació del tècnic de guàrdia) sense dependre de traspassos entre proveïdors diferents.
• Personalitzar els procediments per client, per horari i per circumstància (obres, inventaris, esdeveniments).
• Traçar la resposta completa en un únic sistema, facilitant l’auditoria i la millora contínua.

La contrapartida és el cost: una CRA pròpia homologada requereix redundància de sistemes, personal 24/7 amb habilitació, infraestructura de comunicacions redundant i certificacions (normalment EN 50518/UNE-EN 50518 per a centrals certificades).

Temps de resposta d’una CRA: on s’hi juga tot

La regulació espanyola estableix temps màxims per a la verificació d’alarmes i la comunicació a les forces de l’ordre, però els clients més exigents demanen SLA interns molt per sota d’aquests límits. En projectes industrials i logístics hem signat:

• Verificació visual d’alarma d’intrusió: menys de 30 segons des de la recepció.
• Avís a les forces de l’ordre o vigilància: menys de 60 segons si l’alarma és real.
• Notificació al responsable del client: menys de 2 minuts pel canal preestablert.

Per complir aquests temps és imprescindible que la CRA conegui l’entorn, disposi de càmeres ben posicionades i estigui integrada amb el sistema de gestió d’emergències. En una CRA externa genèrica, l’operador atén 200 clients diferents i tracta cada esdeveniment com un cas genèric.

Aquests SLA corresponen a l’operativa d’intrusió de la CRA. La CRI, com que és un centre diferent amb la seva pròpia tecnologia de verificació, té els seus propis temps de resposta per a les alarmes d’incendi i l’avís als bombers, que desenvolupem detalladament en el nostre article dedicat a la gestió d’alarmes d’incendi.

Videoverificació a la CRA: el canvi de paradigma

La videoverificació (confirmar visualment l’alarma abans d’actuar) s’ha imposat com a estàndard. No només per eficàcia, sinó perquè la legislació espanyola la considera un criteri preferent abans de l’avís a les forces de l’ordre: una alarma verificada rep un tractament prioritari, mentre que una de no verificada pot ser desestimada.

Les CRA modernes també integren IA: quan arriba l’alarma, el sistema mostra a l’operador un enregistrament amb un resum automàtic («persona travessant la línia perimetral a les 03:41, en direcció sud, amb el cos sencer visible»). L’operador decideix en qüestió de segons. Aquesta capacitat és relativament nova i no totes les CRA del mercat l’ofereixen actualment.

Coordinació entre la CRA i la CRI: centres separats, mateixa organització

La majoria de proveïdors que només revenen el servei de CRA no tenen cap relació amb el manteniment PCI de les instal·lacions que protegeixen. Les alarmes d’incendi, en aquest model, solen rebre un tractament secundari: es reben i es deriven al 112 o al mantenidor, sense més valor operatiu que l’avís.

A SIEF-2, la CRA (intrusió, accessos, videovigilància) i la CRI (incendis) són centres operatius separats, amb tecnologia i processos de verificació propis de cada disciplina. Però, en pertànyer a la mateixa organització i estar coordinats amb l’equip de manteniment PCI, això permet:

• Diagnòstic remot: la CRI rep l’estat detallat de la central d’incendis (quin llaç, quin detector, historial, temperatura, nivell de brutícia), sense dependre d’un tercer extern desconnectat del manteniment.
• Decisió informada: si un detector estava en prealarma des de feia 2 hores per pols, la CRI pot valorar l’alarma amb aquest context tècnic abans d’escalar-la.
• Activació directa del tècnic de guàrdia, sense tràmits entre empreses diferents.
• Traçabilitat conjunta: l’historial tècnic i el d’alarmes —generats per centres diferents— queden documentats sota la mateixa organització, facilitant l’auditoria del rendiment.

Ciberseguretat a la CRA: requisits davant de NIS2

Una CRA és un objectiu d’alt valor per als atacants: si es compromet, es poden silenciar alarmes, manipular enregistraments o desactivar sistemes. Per això, les CRA modernes compleixen criteris de ciberseguretat estrictes:

• Certificació ISO/IEC 27001 de l’operació.
• Arquitectura segmentada amb DMZ entre Internet i els servidors de gestió.
• Comunicacions xifrades TLS 1.3 amb els panells i les càmeres del camp.
• Autenticació multifactor per als operadors.
• Auditoria periòdica de vulnerabilitats.
• Pla de continuïtat i DRP provat.

Amb l’arribada de NIS2, això passa de ser una bona pràctica a ser una obligació per a moltes organitzacions. Treballar amb una CRA que no compleixi aquests criteris significa traslladar el risc propi a un proveïdor que no el controla.

Quan té sentit una CRA pròpia per a una empresa client

La majoria d’empreses no necessita operar la seva pròpia CRA, ja que és desproporcionat i complex. Però sí que té sentit exigir:

• Que el proveïdor de seguretat operi una CRA pròpia o participi en una, i no sigui un simple revenedor.
• Que, si també gestiona incendis, disposi d’una CRI coordinada amb el manteniment PCI (encara que operi com a centre separat).
• Que els SLA incloguin temps de verificació i no només temps de recepció.
• Que disposi de videoverificació amb IA i de la certificació adequada.
• Que la comunicació amb la instal·lació sigui redundant i xifrada.

Una CRA que coneix la instal·lació, treballa coordinadament amb la CRI i amb el manteniment de la seguretat electrònica, verifica visualment en segons i està auditada segons estàndards moderns és un soci operatiu, no una baula més de la cadena. A SIEF-2 operem una CRA pròpia, coordinada amb la nostra CRI i amb el servei de manteniment PCI i de seguretat electrònica, precisament per aquesta raó: creiem que la continuïtat del servei i la velocitat de resposta només s’aconsegueixen quan la mateixa organització que dissenya i instal·la és la que vigila 24/7, amb cada disciplina gestionada segons el procés que li correspon.

Si vols conèixer com podem coordinar els teus sistemes de seguretat sota una mateixa organització, parla amb el nostre equip.