NIS2: el marco jurídico de la UE para la ciberseguridad

NIS2 abarca 18 sectores: once sectores de alta criticidad en el anexo I (entre otros, energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y aguas residuales, infraestructura digital, gestión de servicios TIC en B2B, administración pública, espacio) y siete otros sectores críticos en el anexo II (entre otros, servicios postales y de mensajería, gestión de residuos, química, alimentación, industria manufacturera, proveedores digitales, investigación). Según la regla del size-cap, las empresas de estos sectores quedan en principio incluidas en el ámbito de aplicación a partir del tamaño mediano: desde 50 empleados o más de 10 millones de euros de volumen de negocios anual y de balance general anual, calculados conforme a la Recomendación 2003/361/CE. Las grandes empresas de los sectores del anexo I (a partir de 250 empleados o más de 50 millones de euros de volumen de negocios y más de 43 millones de euros de balance) se consideran por regla general entidades esenciales; las demás, entidades importantes. Determinados proveedores, como los prestadores cualificados de servicios de confianza, están incluidos con independencia de su tamaño.

El art. 20 consagra la ciberseguridad como tarea de la dirección: los órganos de dirección deben aprobar las medidas de gestión de riesgos del art. 21, supervisar su aplicación y pueden ser considerados responsables de las infracciones. El art. 20, apartado 2, obliga a los miembros de los órganos de dirección a asistir a formaciones para poder identificar riesgos y evaluar las prácticas de gestión de riesgos y su impacto en los servicios prestados; deben ofrecerse periódicamente formaciones comparables a los empleados. La transposición alemana en el § 38 BSIG es más estricta: las direcciones deben aplicar ellas mismas las medidas y supervisar su aplicación, responden conforme a las normas del derecho de sociedades por los daños causados de forma culposa, y la participación en las formaciones está configurada expresamente como obligación periódica (§ 38, apdo. 3 BSIG).

Todas las entidades deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas, con un enfoque que abarque todos los riesgos. El art. 21, apartado 2, enumera para ello diez ámbitos mínimos: políticas de análisis de riesgos y de seguridad de los sistemas de información, gestión de incidentes, continuidad de las actividades con copias de seguridad, recuperación y gestión de crisis, seguridad de la cadena de suministro incluidas las relaciones con los proveedores directos (letra d), seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas informáticos incluida la gestión de vulnerabilidades, políticas para evaluar la eficacia de las medidas, ciberhigiene y formación en ciberseguridad, criptografía y cifrado, seguridad de los recursos humanos con control de acceso y gestión de activos, así como autenticación multifactor y comunicaciones (de emergencia) seguras. El § 30, apdo. 2 BSIG incorpora este catálogo casi literalmente al derecho alemán.

Los incidentes significativos deben notificarse de forma escalonada: una alerta temprana sin demora indebida, a más tardar 24 horas después de tener conocimiento del incidente; una notificación con una primera evaluación de la gravedad, el impacto y los indicadores de compromiso a más tardar a las 72 horas; a petición, un informe intermedio con actualizaciones de la situación; y, a más tardar un mes después de la notificación, un informe final con las causas, el tipo de amenaza y las medidas correctoras. Si el incidente sigue en curso, un informe de situación sustituye inicialmente al informe final. En Alemania, el BSI recibe las notificaciones (§ 32 BSIG); los operadores de instalaciones críticas deben aportar además información sobre la instalación afectada y los efectos de su fallo.

El Bundestag aprobó la NIS2UmsuCG el 13 de noviembre de 2025; está en vigor desde el 6 de diciembre de 2025, un año largo después de que expirara el plazo de transposición de la UE en octubre de 2024. Su pieza central es el BSIG reformado: distingue entre entidades particularmente importantes, entidades importantes y operadores de instalaciones críticas (§ 28 BSIG); el legislador estima unas 30.000 entidades afectadas. Las entidades afectadas deben registrarse por sí mismas ante el BSI en un plazo de tres meses (§ 33 BSIG); para las entidades que ya estaban incluidas en el ámbito de aplicación al entrar en vigor la ley, el plazo legal expiró el 6 de marzo de 2026, y un plazo adicional comunicado por el BSI finaliza el 31 de julio de 2026. Para la autoevaluación, el BSI pone a disposición una comprobación de afectación en línea, sin carácter vinculante; no está prevista ninguna notificación por parte de las autoridades: cada organización debe comprobar bajo su propia responsabilidad si está afectada.

Para las entidades esenciales, NIS2 prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial; para las entidades importantes, de hasta 7 millones de euros o el 1,4 %, aplicándose en cada caso el importe más alto. El BSIG alemán adopta estos marcos sancionadores (§ 65 BSIG). Además, el BSI dispone de facultades de supervisión que van desde requerimientos de información hasta auditorías, siendo la supervisión de las entidades particularmente importantes más amplia que la de las importantes. A ello se suma la responsabilidad personal de las direcciones conforme al § 38 BSIG, que no pueden eludir sus obligaciones de aplicación y supervisión mediante delegación.