Ciberataques en sectores críticos: a la espera de NIS2

Hace un par de semanas, varios cientos de supermercados en Francia sufrieron un ciberataque dirigido no contra sus sistemas de información corporativos, sino contra un activo típicamente invisible para el consumidor: los sistemas de refrigeración conectados. Según la información publicada por La Vanguardia, alrededor de 400 tiendas de alimentación se vieron afectadas por el incidente entre domingo y lunes, obligando al desecho de productos frescos y generando preocupación por la seguridad alimentaria. De acuerdo con las fuentes citadas, los atacantes aprovecharon los sistemas de control del fabricante de las máquinas de refrigeración en dichos establecimientos para descongelar de forma remota refrigeradores, congeladores y otras unidades de almacenamiento en frío de las tiendas afectadas.

La maquinaria industrial, incluidas las unidades de refrigeración así como el software que permite su explotación, se caracterizó durante años por estar aislada de Internet, sin haber sido diseñada para asegurar la protección frente a ciberataques. Este paradigma ha cambiado: su conexión actual mediante sensores y sistemas de monitorización remota la sitúa en una posición crítica ante ataques malintencionados. Dicho de otro modo: el incidente francés es, con casi total exactitud, el tipo de escenario que la Directiva (UE) 2022/2555 (más conocida por su acrónimo en inglés “NIS2”) ha pretendido prevenir desde el minuto cero de su concepción. Y es también, por extensión, un buen pretexto para preguntarse en qué situación jurídica se encontraría España si un suceso análogo afectara a sus cadenas de distribución alimentaria.

El marco europeo: por qué NIS2 es relevante

NIS2 establece "medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión", derogando la anterior Directiva (UE) 2016/1148 (normalmente denominada "NIS1"). El valor añadido de NIS2 no está tanto en imponer obligaciones de ciberseguridad —ya existían con NIS1— cuanto en ampliar sustancialmente su ámbito y homogeneizar su contenido en todos los Estados miembros.

A estos efectos, interesan tres rasgos del régimen derivado de esta norma. En primer lugar, el ámbito ampliado y basado en el tamaño: NIS2 se aplica, con carácter general, a las entidades públicas o privadas de los tipos mencionados en sus Anexos I ("sectores de alta criticidad") y II ("otros sectores críticos") que tengan la consideración de medianas empresas conforme a la Recomendación 2003/361/CE o que superen los umbrales previstos para estas, con independencia de que los Estados miembros puedan incluir también microempresas y pequeñas empresas que cumplan criterios cualificados. Las entidades incluidas se clasifican en dos categorías —"entidades esenciales" y "entidades importantes"— en función de la criticidad de su sector, el tipo de servicio prestado y su tamaño, con regímenes de supervisión y ejecución diferenciados.

En segundo lugar, el régimen alcanza con claridad al escenario alimentario. El Anexo II incluye expresamente la "producción, transformación y distribución de alimentos", comprendiendo a las empresas alimentarias definidas en el Reglamento (CE) nº 178/2002 que se dediquen a la distribución al por mayor y a la producción y transformación industriales. Lo relevante para un episodio como el francés es que el supermercado-tipo que opera plataformas logísticas, centrales de compras o almacenes de distribución al por mayor queda dentro del perímetro por esta vía, aunque la venta minorista en sí no sea el sector de referencia.

En tercer lugar, las obligaciones son transversales y proporcionadas al tamaño. Las entidades esenciales e importantes deben adoptar medidas técnicas, operativas y de organización adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad y para prevenir o minimizar las repercusiones de los incidentes, evaluando la proporcionalidad en función del grado de exposición al riesgo, el tamaño de la entidad y la probabilidad y gravedad de los incidentes. Esas medidas se basan en un enfoque "todos los peligros" e incluyen, al menos, políticas de seguridad y análisis de riesgos; gestión de incidentes; continuidad de las actividades; seguridad de la cadena de suministro —incluidas las relaciones con proveedores directos—; seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, con gestión y divulgación de vulnerabilidades; procedimientos para evaluar la eficacia de las medidas; prácticas básicas de ciberhigiene y formación; criptografía y cifrado; seguridad de los recursos humanos y control de accesos; y uso de autenticación multifactorial o continua y comunicaciones seguras cuando proceda.

A ello se suma una exigencia nuclear en materia de gobernanza: los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos, supervisar su puesta en práctica y responder por su incumplimiento, debiendo además recibir formación periódica y promover formación similar entre su personal. Esto desplaza la ciberseguridad desde el perímetro técnico-operativo al terreno de la responsabilidad de administradores y directivos.

En paralelo, NIS2 introduce un régimen de notificación escalonada de incidentes significativos: las entidades deben notificar al CSIRT o, en su caso, a la autoridad competente, cualquier incidente que tenga un impacto significativo en la prestación de sus servicios, entendiéndose por tal aquel que haya causado o pueda causar graves perturbaciones operativas o pérdidas económicas para la entidad afectada, o que haya afectado o pueda afectar a otras personas físicas o jurídicas con perjuicios materiales o inmateriales considerables.

El esquema es tripartito: alerta temprana en 24 horas desde el conocimiento del incidente, notificación en 72 horas con evaluación inicial e indicadores de compromiso, y un informe final a más tardar un mes después, con descripción detallada del incidente, causa principal probable, medidas paliativas y, cuando proceda, repercusiones transfronterizas.

El régimen sancionador cierra el sistema. Las entidades esenciales se exponen a multas administrativas de un máximo de, al menos, 10 millones de euros o del 2 % del volumen de negocios anual total a nivel mundial del grupo al que pertenecen, optándose por la de mayor cuantía; y las entidades importantes, a multas de un máximo de, al menos, 7 millones de euros o del 1,4 % del referido volumen de negocios, de nuevo con la regla de la mayor cuantía.

El escenario español: una transposición pendiente

NIS2 debía estar transpuesta por los Estados miembros antes del 17 de octubre de 2024. España preparó a tal efecto un Anteproyecto de Ley de coordinación y gobernanza de la ciberseguridad, publicado por el Ministerio del Interior en enero de 2025. Según su propia Exposición de Motivos, el texto perseguía regular un marco institucional, mejorar la coordinación entre autoridades competentes y los órganos de cooperación comunitarios, ofrecer una cobertura completa de los sectores y servicios de vital importancia dentro del mercado interior, y garantizar la seguridad jurídica en lo que atañe a las medidas de gestión de riesgos de ciberseguridad y a las obligaciones de notificación.

Debe advertirse, no obstante, que la tramitación del Anteproyecto ha quedado paralizada a resultas de la convocatoria electoral, toda vez que no llegó a ser aprobado como proyecto de ley ni remitido a las Cortes Generales —por lo que no le alcanza la caducidad que la disolución produce sobre las iniciativas pendientes ante las Cámaras— y que el Gobierno en funciones no puede presentar proyectos de ley (art. 21.5 de la Ley 50/1997, de 27 de noviembre, del Gobierno). Corresponderá al Gobierno que resulte de las elecciones decidir si retoma, modifica o abandona el texto y, en su caso, aprobarlo y remitirlo como proyecto de ley. En consecuencia, a día de hoy, España no cuenta con una ley formal de transposición de NIS2 y continúan vigentes las disposiciones del Real Decreto-ley 12/2018, de 7 de septiembre, que transpuso en su momento NIS1 y que, a su vez, fue desarrollado por el Real Decreto 43/2021, de 26 de enero.

Esta circunstancia tiene varias implicaciones prácticas que conviene subrayar: (i) aunque NIS2 no impone, por sí sola, obligaciones a las entidades privadas mientras no se transponga —las directivas carecen de efecto directo horizontal—, aquellas de sus disposiciones que sean claras, precisas e incondicionales pueden invocarse frente a las Administraciones públicas (efecto directo vertical), y los tribunales y autoridades españoles deben interpretar el Derecho interno vigente, en la medida de lo posible, de conformidad con la Directiva; (ii) el futuro texto que se tramite tras la nueva legislatura previsiblemente mantendrá líneas de continuidad con el Anteproyecto, por lo que su análisis conserva valor como anticipación; y (iii) hasta que se complete la transposición, la Comisión Europea mantiene abierto el procedimiento de infracción contra España por falta de notificación de medidas de incorporación.

Ahora bien, la imposibilidad de que el Gobierno en funciones remita un proyecto de ley a las Cortes no impide por completo la transposición durante este periodo. Ni el artículo 86 de la Constitución ni el artículo 21 de la Ley 50/1997 vedan al Gobierno en funciones la aprobación de reales decretos-leyes, por lo que cabría incorporar NIS2 al ordenamiento español mediante esta vía, tal como ha ocurrido en otras ocasiones con Gobiernos en funciones y Cortes disueltas. Para ello, el Gobierno debería acreditar la concurrencia de una situación de extraordinaria y urgente necesidad (art. 86.1 CE) y, adicionalmente, las razones de urgencia o interés general que justifican que adopte una medida que excede del despacho ordinario de los asuntos públicos (art. 21.3 de la Ley 50/1997); el vencimiento del plazo de transposición y la pendencia del procedimiento de infracción constituirían el principal fundamento de esa motivación, que debería explicitarse en la exposición de motivos. Asimismo, el texto habría de respetar los límites materiales del artículo 86.1 CE, en particular la prohibición de afectar a los derechos, deberes y libertades del Título I, lo que exigiría revisar con cautela los aspectos del Anteproyecto con incidencia en la protección de datos personales.

En cuanto al procedimiento, el real decreto-ley entraría en vigor y produciría efectos desde su publicación en el Boletín Oficial del Estado, sin necesidad de ratificación previa. No obstante, debería someterse a debate y votación de totalidad para su convalidación o derogación en el plazo de los treinta días siguientes a su promulgación (art. 86.2 CE). Estando disueltas las Cortes, esta competencia corresponde a la Diputación Permanente del Congreso de los Diputados (art. 78.2 CE); de no obtenerse la convalidación en dicho plazo, el real decreto-ley quedaría derogado. Su eventual tramitación posterior como proyecto de ley por el procedimiento de urgencia, que permitiría introducir enmiendas (art. 86.3 CE), correspondería, en su caso, a las Cortes Generales que resulten de las elecciones.

Habiendo indicado lo anterior, parece pertinente proyectar cómo afectará este nuevo marco normativo a las empresas y entidades que se vean sometidas a NIS2 cuando esta sea transpuesta al Derecho español. Para ello, cabe partir del Anteproyecto para anticipar razonablemente el régimen que resultaría de aplicación en España. Sus elementos principales son los que se resumen a continuación.

Ámbito de aplicación

La ley (o, en su caso, el real decreto-ley) se aplicaría a las entidades públicas o privadas con residencia fiscal en España pertenecientes a los sectores recogidos en sus Anexos I y II cuando tengan la consideración de medianas o grandes empresas, es decir, que ocupen a 50 o más trabajadores o cuyo volumen de negocios anual y cuyo balance general anual superen, ambos, los 10 millones de euros.

Independientemente de su tamaño, el Anteproyecto incluye también, entre otros supuestos, a proveedores de redes y servicios de comunicaciones electrónicas disponibles al público, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel y proveedores de DNS; entidades que sean el único proveedor en España de un servicio esencial; entidades cuya perturbación pueda tener repercusiones significativas sobre la seguridad nacional, pública, el orden público, la salud pública, la actividad económica o la prestación de servicios públicos, o pueda inducir riesgos sistémicos; las entidades del sector público conforme a la Ley 40/2015; las identificadas como entidades críticas; universidades y centros de investigación con proyectos relacionados con los sectores críticos; y, por cláusula abierta, cualquier otra entidad identificada por la autoridad de control mediante resolución motivada.

Entidades esenciales frente a entidades importantes

Conforme al Anteproyecto, son entidades esenciales, entre otras, las pertenecientes a los sectores del Anexo I que sean grandes empresas (250 o más trabajadores, o volumen de negocios superior a 50 millones de euros y balance superior a 43 millones de euros), los prestadores cualificados de servicios de confianza y registros de nombres de dominio y proveedores de DNS con independencia de su tamaño, los proveedores de redes y servicios de comunicaciones electrónicas de tamaño mediano, la Administración General del Estado, las Comunidades Autónomas, diputaciones, cabildos, consejos insulares y municipios de gran población, las entidades identificadas como críticas y las que lo fueran como operadores de servicios esenciales antes del 16 de enero de 2023 en virtud del Real Decreto-ley 12/2018. Son entidades importantes el resto de las pertenecientes a los Anexos I o II que no puedan considerarse esenciales, incluidos los municipios de más de 20.000 habitantes que no sean de gran población y las entidades de su sector público institucional.

¿Dónde encajaría una cadena de supermercados?

La respuesta exige distinguir funciones. El Anexo II del Anteproyecto, en coherencia con NIS2, encuadra en el sector 4 ("producción, transformación y distribución de alimentos") a las empresas alimentarias del Reglamento (CE) nº 178/2002 que se dediquen a la distribución al por mayor y a la producción y transformación industriales. Un operador de la gran distribución alimentaria estaría, por tanto, sujeto a las obligaciones del marco NIS2 en lo que respecta a su actividad mayorista y a sus plataformas y centros logísticos, no por su actividad de venta minorista en tienda, salvo que fuera identificado específicamente por la autoridad de control a la luz de los criterios cualitativos del artículo 3 (único proveedor, impacto significativo sobre la salud pública o la actividad económica, riesgo sistémico, etc.). El punto de contacto sectorial correspondería al Ministerio de Agricultura, Pesca y Alimentación, al Ministerio de Sanidad, al Ministerio de Industria y Turismo y a la Agencia Española de Seguridad Alimentaria y Nutrición (AESAN), adscrita al Ministerio de Derechos Sociales, Consumo y Agenda 2030, cada uno en lo que le concierne.

El caso francés ilustra, además, un segundo plano de aplicación que no cabe perder de vista: el desarrollador del software de refrigeración. En la medida en que un proveedor de este tipo encaje en el sector 5 del Anexo II ("Fabricación", subsectores de productos informáticos, electrónicos y ópticos, material eléctrico o maquinaria y equipo, según cada caso), estaría asimismo sujeto a las obligaciones derivadas del Anteproyecto si tuviera residencia fiscal en España. Y, con independencia de ello, la obligación de "seguridad de la cadena de suministro" del artículo 15.2.d) desplaza buena parte de la carga al cliente —el supermercado— que debe exigir y supervisar la postura de ciberseguridad de sus proveedores directos.

Obligaciones sustantivas por tipología de entidad

En línea con NIS2, el Anteproyecto exige a los órganos de dirección de las entidades esenciales e importantes aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implantación efectiva, asumir la responsabilidad por su incumplimiento y recibir formación periódica, debiendo además organizar formaciones similares para sus empleados.

El Centro Nacional de Ciberseguridad determinaría las medidas técnicas, operativas y de organización que deban implantar las entidades esenciales e importantes, tomando como base el Esquema Nacional de Seguridad y las normas técnicas europeas e internacionales equivalentes. Esas medidas incluirían, al menos, las políticas de seguridad y el análisis de riesgos; la gestión de incidentes; la continuidad del negocio y la gestión de crisis; la seguridad de la cadena de suministro con punto de contacto principal por proveedor; la seguridad en adquisición, desarrollo y mantenimiento de redes y sistemas, con gestión y divulgación de vulnerabilidades; los procedimientos para evaluar la eficacia de las medidas; las prácticas básicas de ciberhigiene y formación; criptografía y cifrado; seguridad de recursos humanos y control de accesos; y autenticación multifactorial y comunicaciones seguras cuando proceda.

Para las entidades sujetas al Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, el correspondiente Perfil de Cumplimiento Específico para entidades esenciales e importantes acreditaría el cumplimiento de las medidas de gestión de riesgos; lo mismo valdría, de modo voluntario, para entidades no sujetas al RD 311/2022. El grado de prueba se graduaría según la categoría: las entidades esenciales deberían obtener y mantener una certificación de conformidad acreditativa, mientras que las entidades importantes podrían optar entre esa certificación o una autoevaluación de la postura de seguridad.

Se añadiría asimismo una obligación organizativa específica. Las entidades esenciales e importantes deberían designar un responsable de la seguridad de la información —persona, unidad u órgano colegiado—, que actuaría como punto de contacto y coordinación técnica con las autoridades de control y los CSIRT nacionales de referencia, con comunicación de su designación en el plazo de tres meses y de los sucesivos nombramientos y ceses en el plazo de un mes. En las entidades esenciales, dicho responsable, su representante persona física en caso de órgano colegiado y su sustituto deberían, además, ser personal acreditado por el Ministerio del Interior, extendiéndose la exigencia al resto de personal de ciberseguridad en entidades esenciales que fueran también críticas; el régimen de acreditación se desarrollaría reglamentariamente conforme a la Ley 5/2014, de 4 de abril, de Seguridad Privada.

Notificación de incidentes significativos

En caso de que el nuevo régimen se apruebe conforme a lo previsto en el Anteproyecto, las entidades esenciales e importantes deberán notificar a la autoridad de control, a través de su CSIRT nacional de referencia, cualquier incidente significativo, con una alerta temprana en el plazo máximo de 24 horas desde el conocimiento del incidente —indicando, en su caso, si cabe sospechar acción ilícita o malintencionada o repercusiones transfronterizas—, y una notificación del incidente en el plazo máximo de 72 horas, con una evaluación inicial de peligrosidad e impacto e indicadores de compromiso cuando estén disponibles.

Para los prestadores de servicios de confianza, el plazo de 72 horas se reduce a 24 cuando el incidente afecte a la prestación de sus servicios. Se complementa con un informe intermedio a instancias del CSIRT o la autoridad de control y un informe final en el plazo máximo de un mes desde la notificación del incidente, con descripción detallada, causa principal probable, medidas paliativas y, cuando proceda, repercusiones transfronterizas e indicadores de compromiso y tácticas, técnicas y procedimientos (TTPs) detectados; si el incidente sigue en curso al elaborar el informe final, se presentará un informe de situación y un informe final en el plazo de un mes desde su gestión completa.

Las notificaciones se cursarán, preferentemente, a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes, gestionada por el CCN-CERT bajo la dirección del Centro Nacional de Ciberseguridad, con la colaboración del INCIBE-CERT y el ESPDEF-CERT.

Supervisión y régimen sancionador

En el Anteproyecto la competencia sancionadora se reparte entre los titulares del Ministerio de Defensa, del Ministerio para la Transformación Digital y de la Función Pública y del Ministerio del Interior para las infracciones muy graves, previo informe preceptivo del Centro Nacional de Ciberseguridad; y las autoridades de control sectoriales para las graves y leves.

Las sanciones oscilan entre 500.001 y 2.000.000 € para las muy graves, 100.001 y 500.000 € para las graves y 10.000 y 100.000 € para las leves; adicionalmente, las infracciones muy graves consistentes en falta de implantación de medidas o incumplimiento reiterado de notificación pueden sancionarse, cuando la autora sea entidad esencial, con hasta 10.000.000 € o el 2 % del volumen de negocios anual total a nivel mundial del grupo, optándose por la de mayor cuantía, y cuando se trate de entidad importante, con hasta 7.000.000 € o el 1,4 %, con la misma regla. El Anteproyecto reproduce, por tanto, los umbrales mínimos del artículo 34 de NIS2 y los superpone a un cuadro sancionador propio con tramos específicos para infracciones muy graves, graves y leves.

Dos aspectos adicionales merecen destacarse. Conforme al Anteproyecto, los miembros de los órganos de dirección responden solidariamente de las infracciones que las entidades cometan. En este sentido, tendrá que verse si la norma que finalmente transponga NIS2 al Derecho español mantendrá un régimen tan estricto en cuanto a la responsabilidad de los citados miembros.