Marc Sureda
La Comisión Europea ha remitido al Estado español ante el Tribunal de Justicia de la Unión Europea el pasado 8 de julio debido a la falta de notificación sobre la transposición completa de la Directiva NIS2. Esta normativa tiene como objetivo principal elevar las exigencias mínimas de ciberseguridad dentro del territorio comunitario. Este procedimiento legal afecta exclusivamente a la administración pública por su demora y no repercute de manera directa sobre las organizaciones empresariales, aunque genera incertidumbre en el tejido corporativo sobre el momento exacto en que las nuevas obligaciones serán efectivas.
Es necesario aclarar que, al tratarse de una directiva europea, las exigencias no recaen sobre las empresas hasta que se promulgue la legislación nacional correspondiente. El texto que adaptará estas normas en España, denominado Ley de Coordinación y Gobernanza de la Ciberseguridad, inició su recorrido como anteproyecto en el Consejo de Ministros en enero de 2025. Sin embargo, a pesar de tramitarse por la vía de urgencia, todavía se encuentra a la espera de su aprobación parlamentaria y de su posterior publicación en el Boletín Oficial del Estado. Cabe recordar que el plazo estipulado desde Europa para completar esta adaptación finalizó el 17 de octubre de 2024.
Ante esta situación de pausa administrativa, desde las empresas proveedoras de servicios de alojamiento y registro de dominios se recomienda mantener la cautela y prepararse progresivamente. Representantes de la compañía tecnológica cdmon señalan que, si bien las medidas aún no son de obligado cumplimiento, su alcance ya está definido de forma clara y estable. Por lo tanto, advierten de que en el momento en que se apruebe la legislación definitiva, los periodos de tiempo otorgados a las corporaciones para adaptarse a las nuevas exigencias serán previsiblemente reducidos.
Una vez que el marco legal adquiera plena vigencia, la normativa abarcará a más de 5.700 corporaciones operativas en el país, según las estimaciones gubernamentales. Estas organizaciones pertenecen a 18 sectores económicos diferentes y deberán cumplir con el requisito de contar con una plantilla superior a los 50 trabajadores o, alternativamente, registrar una facturación que exceda los 10 millones de euros. Por otro lado, los proveedores que gestionan infraestructuras digitales básicas, como es el caso de los servicios de resolución de nombres de dominio o los registros de nivel superior, estarán sujetos a la directiva independientemente de su volumen de negocio o de su número de empleados.
En cuanto al futuro régimen de penalizaciones, el marco normativo establecerá diferencias según la catalogación de cada organización. Las entidades consideradas esenciales se expondrán a sanciones económicas que alcanzarán los 10 millones de euros o el 2% de su facturación a nivel global, aplicándose siempre la cifra que resulte más elevada. Para las corporaciones catalogadas como importantes, las multas tendrán un tope de 7 millones de euros o el uno con 4% de sus ingresos. Adicionalmente, se contempla la posibilidad de inhabilitar temporalmente a los directivos de las entidades esenciales en aquellos escenarios que revistan una gravedad excepcional, aunque esta medida no se aplicará de forma automática y quedará a discreción del regulador.
A nivel organizativo, el Instituto Nacional de Ciberseguridad subraya que la directiva obligará a las cúpulas directivas a aprobar y supervisar directamente las políticas de gestión de riesgos, además de exigirles recibir formación especializada en la materia. Este cambio implica que la protección de los sistemas informáticos dejará de ser un asunto delegable en exclusiva a los departamentos técnicos para convertirse en una competencia primordial de la alta dirección empresarial.
Los especialistas del sector insisten en que las organizaciones pueden aprovechar los momentos de menor actividad corporativa para adelantar aquellas tareas de adecuación que no dependen estrictamente de la publicación oficial de la ley. Entre las acciones estratégicas aconsejadas destaca la comprobación de si la compañía entra en el ámbito de aplicación de la norma, la adaptación a estándares de seguridad reconocidos como la norma internacional de sistemas de gestión de seguridad de la información o el Esquema Nacional de Seguridad, así como la realización de simulacros para afinar los procedimientos de notificación de incidentes. En definitiva, anticiparse a estas obligaciones legales resulta fundamental para reducir el riesgo real de sufrir ataques cibernéticos, constituyendo una medida de prevención más que un simple mecanismo para sortear futuras sanciones.
