Directiva NIS2 para garantizar un elevado nivel común de ciberseguridad en toda la Unión Europea

Directiva CER relativa a la resiliencia de las entidades críticas (ciber resiliencia)

El día 27 de diciembre, el Diario Oficial de la Unión Europea (DOUE) publicó la Directiva (UE)  2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022  relativa a las medidas destinadas a garantizar un elevado nivel común de  ciberseguridad en toda la Unión. Esta nueva normativa, conocida como Directiva NIS2, deroga su anterior versión y modifica el Reglamento relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior.

La Directiva obliga a los Estados miembros a adoptar estrategias nacionales de ciberseguridad y a designar o establecer autoridades competentes de gestión de crisis de ciberseguridad, puntos de contacto únicos sobre ciberseguridad y equipos de respuesta a ciber incidentes. Además, los países de la UE deberán establecer una serie de medidas para gestionar los ciber riesgos, así como notificar  obligatoriamente a las entidades competentes las brechas de ciberseguridad. De hecho, fija normas y obligaciones relativas al intercambio de  información sobre ciberseguridad, supervisión y ejecución para los Estados miembros.

En la anterior versión de la Directiva, los Estados miembros eran los responsables de determinar qué entidades cumplían los criterios para ser consideradas como operadores de servicios esenciales. Ahora, la nueva Directiva NIS2 establece criterios específicos para determinar qué entidades se encuentran bajo su ámbito de aplicación. En concreto, añade nuevos sectores críticos: el subsector hidrógeno, de los servicios postales y de mensajería o de la gestión de residuos.

Por otro lado, ayer también se publicó la Directiva (UE)  2022/2557 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022  relativa a la resiliencia de las entidades críticas. Esta normativa, conocida como Directiva de CER o Ciber resiliencia, deroga la Directiva 2008/114/CE sobre la identificación y designación de infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección.

La Directiva obliga a los Estados miembros a adoptar medidas específicas para garantizar la prestación de los servicios esenciales, pero sobre todo establece la identificación de las entidades críticas y aborda el cumplimiento de las obligaciones impuestas a estas últimas.

Además, la Directiva fija obligaciones con el fin de que las entidades críticas aumenten su resiliencia y capacidad de prestar sus servicios en el mercado interior, e implanta normas sobre la supervisión, ejecución e identificación de las entidades críticas de especial importancia europea. Asimismo, establece procedimientos comunes de cooperación e información sobre su aplicación.

Ambas Directivas entran en vigor 20 días después de su publicación y los Estados miembros deberán transponerla a su ordenamiento jurídico a más tardar el 17 de octubre de 2024.