Ja, mit Mega128CAN meinte ich den AT90CAN128....
Ist mir sowieso schleierhaft, warum die den AT90... genannt haben, bis auf die zusätzliche CAN-Schnittstelle ist der nämlich nahezu identisch mit dem ATMega128, die sind auch Pin-Kompatibel.

Deine Beschaltung sollte so funktionieren. Wenn Du auf Nummer sicher gehen willst, kannst in die SCK-Leitung zwischen dem ISP-Anschluss und der Abzweigung zum SPI noch einen Widerstand einsetzen, so wie's auch in der Application Note gemacht wird. Als Wert würde ich 10k nehmen.

Gruß,
askazo