Novedades en la transposición de NIS2

Nota informativa del área de TMT de ECIJA Madrid.

El pasado 14 de enero ha sido aprobado por el Consejo de Ministros el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad que tiene como objeto transponer al Ordenamiento Jurídico español la Directiva 2022/2555 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión Europea (“NIS 2”). Las principales novedades más destacadas que recoge son las siguientes:

• Amplía los Sectores Críticos a los de “Industria Nuclear” y de “Seguridad privada”. A cada Sector le es asignado un punto de contacto sectorial sobre ciberseguridad.
• Prevée la creación del Centro Nacional de Ciberseguridad como autoridad nacional de ciberseguridad, así como punto de contacto único. Este organismo tendrá entre otras funciones, la de elaborar y mantener un registro de Entidades Esenciales que revisará, al menos, cada dos (2) años. Para ello, las entidades deberán autoevaluar su condición de esenciales, y remitir dicha información a las Autoridades de Control en un plazo de tres (3) meses desde dicha autoevaluación, lo cual será tomado de base para elaborar el registro.
• Determina las tres (3) Autoridades de Control asociadas a los tres (3) Ministerios implicados, para el ejercicio de las funciones de supervisión y ejecución.
• Configura el principio de lex specialis sobre el Reglamento DORA, excluyendo a las entidades financieras de las obligaciones de gestión de los riesgos de ciberseguridad y de notificación, a la supervisión y ejecución, así como al régimen sancionador.
• Valida la certificación voluntaria del Perfil de Cumplimiento Específico del ENS como evidencia de cumplimiento para entidades esenciales, y permite la autoevaluación de seguridad para el caso de entidades importantes.
• Categoriza las infracciones en muy graves, graves y leves, contemplando sanciones de hasta 10.000.000 € o el 2% del volumen de negocio.