Adecuación a NIS2 para entidades esenciales e importantes

Primero, el tipo de entidad del anexo I o II; después, el tamaño. Ser mediana empresa o mayor significa tener al menos 50 empleados, o un volumen de negocios y un balance general anuales ambos superiores a 10 millones de euros, teniendo en cuenta los datos de las empresas asociadas y vinculadas conforme a la Recomendación 2003/361/CE. Una entidad del anexo I que supera los límites máximos de la mediana empresa (250 empleados, o un volumen de negocios superior a 50 millones de euros y un balance general superior a 43 millones) es esencial. Las demás entidades incluidas son importantes, salvo que concurra otro de los supuestos del artículo 3, apartado 1. Los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios de DNS son esenciales sea cual sea su tamaño.

Sí. El sector agua potable (sector 6 del anexo I) comprende a los suministradores y distribuidores de aguas destinadas al consumo humano tal como se definen en la Directiva (UE) 2020/2184, y el sector aguas residuales (sector 7), a las empresas dedicadas a la recogida, la eliminación o el tratamiento de aguas residuales urbanas, domésticas o industriales tal como se definen en la Directiva 91/271/CEE. El sector 6 excluye a los distribuidores para los que la distribución de agua de consumo humano es una parte no esencial de su actividad general de distribución de otras mercancías y bienes; el sector 7 excluye a las empresas para las que esa actividad es una parte no esencial de su actividad general. Al tratarse de sectores del anexo I, la entidad que supera los límites máximos de la mediana empresa es esencial y la mediana empresa es importante, salvo que concurra otro supuesto del artículo 3, apartado 1: las entidades críticas conforme a la Directiva (UE) 2022/2557 son esenciales, y un Estado miembro puede considerar también esenciales a las entidades que identificó como operadores de servicios esenciales antes del 16 de enero de 2023 (artículo 3, apartado 1, letras f) y g)).

Una alerta temprana al CSIRT o, en su caso, a la autoridad competente, sin demora indebida y en cualquier caso en un plazo de 24 horas desde que se tiene constancia de un incidente significativo. Cuando proceda, indica si cabe sospechar que el incidente responde a una acción ilícita o malintencionada o si puede tener repercusiones transfronterizas. En 72 horas sigue la notificación del incidente, con una evaluación inicial de su gravedad e impacto y, si están disponibles, indicadores de compromiso; el informe final se presenta a más tardar un mes después de esa notificación. Un incidente es significativo si ha causado o puede causar graves perturbaciones operativas o pérdidas económicas, o perjuicios considerables a terceros (artículo 23, apartado 3).

A su autoridad competente, a través de su CSIRT de referencia (artículo 19 del Real Decreto-ley 12/2018). El CSIRT de referencia depende del tipo de entidad: el CCN-CERT para las entidades del ámbito subjetivo de la Ley 40/2015, es decir, el sector público, y el INCIBE-CERT para las demás, operado conjuntamente con el CNPIC en los incidentes que afectan a operadores críticos (artículo 11). El Real Decreto 43/2021 obliga a notificar los incidentes con un nivel de impacto crítico, muy alto o alto, según la Instrucción nacional de notificación y gestión de ciberincidentes de su anexo, que fija también los plazos (artículos 9 y 10). Su procedimiento debe cubrir estas reglas y la secuencia de 24 horas, 72 horas y un mes de NIS2, y lo actualizamos cuando se publique la transposición española.

El artículo 20 obliga a los órganos de dirección de las entidades esenciales e importantes a aprobar las medidas para la gestión de riesgos de ciberseguridad, supervisar su puesta en práctica y asistir a formaciones, y los hace responder por el incumplimiento del artículo 21. Para las entidades esenciales, el artículo 32 añade que quienes actúan como representantes legales pueden ser considerados responsables por incumplir su deber de garantizar el cumplimiento y, si las medidas de ejecución resultan ineficaces, puede prohibirse temporalmente el ejercicio de funciones de dirección a las personas con responsabilidades de dirección a nivel de director general o representante legal. El derecho nacional fija los detalles, incluidas las normas aplicables a las instituciones públicas.

La seguridad de la cadena de suministro, incluidas las relaciones con los proveedores y prestadores de servicios directos, es una de las medidas mínimas del artículo 21, apartado 2, letra d). La entidad debe tener en cuenta las vulnerabilidades específicas de cada proveedor directo, la calidad general de sus productos y sus prácticas de ciberseguridad, incluido el desarrollo seguro, y los resultados de las evaluaciones coordinadas de riesgos de las cadenas de suministro críticas a escala de la Unión (artículo 21, apartado 3). NIS2 no crea una categoría aparte para la OT: un sistema de redes y de información incluye cualquier dispositivo que realice un tratamiento automático de datos digitales con arreglo a un programa (artículo 6, punto 1), de modo que los autómatas, las estaciones de ingeniería y los accesos de mantenimiento remoto quedan cubiertos cuando la entidad los utiliza en sus operaciones o en la prestación de sus servicios.

Muchas medidas coinciden, pero no todas, y la respuesta depende de la categoría y del alcance de sus sistemas certificados. Puntos que hay que revisar: la conformidad con el ENS se determina por sistema de información, mientras que el artículo 21 cubre los sistemas de redes y de información que utiliza en sus operaciones o servicios; la protección de la cadena de suministro (op.ext.3) solo se exige en categoría ALTA, mientras que el artículo 21, apartado 2, letra d), se aplica a toda entidad NIS2; el ENS no fija la secuencia de notificación de 24 horas, 72 horas y un mes; y el artículo 20 añade formación y responsabilidad para el órgano de dirección. La matriz de medidas muestra qué evidencias del ENS puede reutilizar y qué queda pendiente.

No directamente. El artículo 24 permite a los Estados miembros exigir a las entidades esenciales e importantes el uso de determinados productos, servicios y procesos TIC certificados con esquemas europeos de certificación de la ciberseguridad, como EUCC, para demostrar el cumplimiento de requisitos concretos del artículo 21, y faculta a la Comisión para hacerlo obligatorio para categorías de entidades mediante actos delegados. En España, el ENS ya exige productos de seguridad con la funcionalidad de seguridad certificada, de forma proporcionada a la categoría del sistema (artículo 19 del Real Decreto 311/2022 y medida op.pl.5).