No hay régimen sancionador, ni europeo ni por remisión al Derecho nacional. El Reglamento no contiene un artículo de sanciones, no ordena a los Estados establecer uno y no prevé multas por nada de lo que regula. Es coherente con su naturaleza: reparte financiación y crea instrumentos de cooperación, y las consecuencias del incumplimiento son las de un programa de gasto y las de un contrato, no las de una norma de policía administrativa.

No hay régimen de notificación de incidentes. El Reglamento no define un incidente notificable propio (toma prestadas de NIS2 las nociones de incidente significativo y de incidente a gran escala), no impone a ninguna entidad un deber de avisar y no fija plazos de notificación. Lo que sí tiene son tres relojes que conviene no confundir con una notificación. El primero corre hacia dentro de la maquinaria: cuando un centro cibernético transfronterizo obtiene información sobre un incidente a gran escala potencial o en curso, tiene que hacer llegar la información y las alertas tempranas a las autoridades de los Estados y a la Comisión por EU-CyCLONe y la red de CSIRT sin demora indebida. El segundo es de respuesta administrativa: presentada una solicitud de apoyo de la Reserva, el órgano de contratación responde sin demora y en un plazo máximo de cuarenta y ocho horas. Y el tercero es posterior: quien haya recibido apoyo entrega un informe resumido sobre el servicio prestado, los resultados y las conclusiones en el plazo de dos meses desde que el apoyo termina. Quien tenga que notificar un incidente lo hará por NIS2 o por la norma sectorial que le alcance, nunca por este Reglamento.

Centros cibernéticos nacionales

El Estado que decide participar designa o crea una entidad única bajo su autoridad, que puede ser un CSIRT, una autoridad de gestión de crisis de ciberseguridad, una autoridad competente de NIS2 u otra entidad. Tiene que poder actuar como puerta de entrada hacia las organizaciones públicas y privadas del país y ser capaz de detectar, agregar y analizar datos sobre ciberamenazas con tecnologías de vanguardia (art. 4)

Consorcios y centros transfronterizos

Tres Estados o más pueden montar un centro cibernético transfronterizo mediante un acuerdo de consorcio por escrito, que fija qué información se pone en común y con qué gobernanza. Los centros se coordinan estrechamente con la red de CSIRT y, ante un incidente a gran escala potencial o en curso, tienen que hacer llegar la información y las alertas tempranas por EU-CyCLONe y la red de CSIRT sin demora indebida (arts. 5, 6 y 7)

Proveedores de seguridad gestionada

Aquí está la única obligación de mercado del Reglamento, y llega por vía de pliego: el órgano de contratación tiene que incluir once criterios en los procedimientos de la Reserva, entre ellos integridad y competencia técnica del personal, habilitación de seguridad cuando el Estado la exija, protección de la información clasificada extendida a filiales y subcontratistas, nivel de seguridad de los propios sistemas del proveedor, y equipo sin vulnerabilidades aprovechables conocidas (art. 17.2)

Autoridades y CSIRT solicitantes

La lista de usuarios es cerrada: autoridades de gestión de crisis de ciberseguridad y CSIRT de los Estados miembros, el CERT-UE, y las autoridades de terceros países asociados al Programa Europa Digital que el Consejo haya autorizado. Antes de recibir apoyo, el usuario tiene que haber tomado todas las medidas apropiadas para atenuar los efectos del incidente, y después presenta un informe resumido en dos meses (art. 14.3, art. 15.2 y art. 16.9)

Entidades que reciben los servicios

Una empresa no puede pedir la Reserva por su cuenta, y tampoco puede recibirla si no está en el universo de NIS2: los servicios solo pueden usarse respecto de entidades que operan en sectores de alta criticidad u otros sectores críticos, o de instituciones, órganos y organismos de la Unión (art. 16.8)

Entidades de sectores de alta criticidad

La Comisión determina cada vez qué sectores o subsectores del anexo I de NIS2 entran en la convocatoria, y la participación es voluntaria tanto para el Estado como para la entidad. Lo que sí tiene continuidad es el resultado: cuando las pruebas producen recomendaciones que la entidad puede integrar en un plan corrector, la autoridad responsable revisa su seguimiento (art. 12.4 y 12.7)

Exclusiones

Reglamento (UE) 2025/38 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, por el que se establecen medidas destinadas a reforzar la solidaridad y las capacidades en la Unión a fin de detectar ciberamenazas e incidentes, prepararse y responder a ellos y por el que se modifica el Reglamento (UE) 2021/694 (Reglamento de Cibersolidaridad)

Identificador

CELEX 32025R0038

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Todo lo que regula es ciberseguridad, y aun así casi nada es exigible por pertenecer a un sector. El Reglamento reparte dinero y crea tres instrumentos: una red de centros cibernéticos para detectar amenazas, una reserva de servicios de respuesta que se despliega a petición, y una revisión posterior de los incidentes grandes. Las obligaciones nacen de dos decisiones voluntarias. La del Estado, que si participa en el Sistema Europeo de Alerta de Ciberseguridad tiene que designar un centro cibernético nacional con capacidad real de detección y responder de la seguridad de la infraestructura. Y la del proveedor de servicios de seguridad gestionados, que si quiere entrar en la Reserva tiene que acreditar personal, habilitaciones, protección de información clasificada hasta sus subcontratistas y equipo sin vulnerabilidades aprovechables conocidas. Esa segunda es la única obligación de mercado del Reglamento, y llega por el pliego de una contratación pública, no por el articulado.

Valoración del curador · nivel 3 de 5

Designar un centro cibernético nacional Ciber

La obligación fundacional del Estado que participa, y nace solo si participa. Designa o crea una entidad única que actúa bajo su autoridad y que puede ser un CSIRT, una autoridad de gestión de crisis de ciberseguridad, otra autoridad competente de NIS2 o una entidad distinta. Esa entidad tiene que poder hacer dos cosas: actuar como punto de referencia y pasarela hacia las demás organizaciones públicas y privadas del país para recoger y analizar información sobre ciberamenazas, y contribuir a un centro cibernético transfronterizo.

Literal de la norma Cuando un Estado miembro decida participar en el Sistema Europeo de Alerta de Ciberseguridad, designará o, en su caso, establecerá un centro cibernético nacional a efectos del presente Reglamento.

Art. 4.1 y 4.2

Capacidad real de detectar, agregar y analizar Ciber

El centro cibernético nacional no es un buzón ni una figura de coordinación: la norma le exige capacidad técnica. Tiene que ser capaz de detectar, agregar y analizar datos e información pertinentes sobre ciberamenazas e incidentes, incluida la inteligencia sobre amenazas, usando en particular tecnologías de vanguardia, y con el objetivo declarado de prevenir incidentes, no solo de constatarlos.

Literal de la norma será capaz de detectar, agregar y analizar datos e información pertinentes para las ciberamenazas e incidentes, como la inteligencia sobre ciberamenazas, utilizando en particular tecnologías de vanguardia, con el objetivo de prevenir incidentes

Art. 4.2.b)

Cooperar con el sector privado sin poder exigirle datos Ciber

El centro cibernético nacional puede cooperar con entidades privadas para intercambiar datos que ayuden a detectar y prevenir amenazas, en particular con las comunidades sectoriales e intersectoriales de entidades esenciales e importantes de NIS2, y esa información puede incluir telemetría, datos de sensores y registros. Conviene leer con cuidado el verbo: puede solicitar y recibir, no puede obligar. El propio Reglamento aclara que estos centros no tienen la obligación ni la potestad de hacer cumplir esas solicitudes.

Art. 4.3 · considerando 14

Comprometerse a entrar en un centro transfronterizo

El Estado seleccionado para la contratación conjunta se compromete a pedir que su centro cibernético nacional participe en un centro cibernético transfronterizo. No es una declaración de intenciones: si no lo hace en el plazo de dos años desde que se adquieren las herramientas o desde que recibe la subvención, si esta fecha es anterior, deja de poder beneficiarse de cualquier otro apoyo de la Unión de este capítulo hasta que se adhiera a uno.

Art. 4.4 · art. 9.2

Escribir qué se comparte y bajo qué gobernanza Ciber

El acuerdo de consorcio por escrito es donde vive lo que de verdad se pone en común. Tiene que recoger el compromiso de compartir la información entre los miembros y las condiciones en que se comparte, un marco de gobernanza que aclare e incentive esa puesta en común entre todos los participantes, y objetivos de contribución al desarrollo de herramientas avanzadas como las de inteligencia artificial y análisis de datos. La lista de lo compartible es amplia: ciberamenazas, cuasiincidentes, vulnerabilidades, técnicas y procedimientos, indicadores de compromiso, tácticas de los adversarios, alertas y recomendaciones de configuración de herramientas de detección.

Art. 5.3 · art. 6.1 y 6.2

Acuerdos de cooperación e interoperabilidad entre centros Ciber

Los centros cibernéticos transfronterizos celebran acuerdos de cooperación entre sí en los que especifican los principios de interoperabilidad y de puesta en común, e informan a la Comisión de los que celebren. Los requisitos de interoperabilidad de esos acuerdos se basan en las directrices que ENISA tenía que emitir antes del 5 de febrero de 2026, con los formatos y protocolos de intercambio y teniendo en cuenta las normas y mejores prácticas internacionales.

Art. 6.3 y 6.4

Alerta temprana por EU-CyCLONe y la red de CSIRT Ciber

Es el único deber con reloj del capítulo. Cuando un centro cibernético transfronterizo obtiene información relativa a un incidente de ciberseguridad a gran escala potencial o en curso, tiene que garantizar que la información pertinente y las alertas tempranas lleguen a las autoridades de los Estados miembros y a la Comisión a través de EU-CyCLONe y de la red de CSIRT, sin demora indebida, a efectos de conciencia situacional común.

Art. 7.2

Responder de la seguridad de la infraestructura del Sistema Ciber

El Estado participante garantiza un alto nivel de ciberseguridad de la infraestructura del Sistema, y la norma desglosa qué entiende por eso: confidencialidad y seguridad de los datos, seguridad física de la infraestructura, y una red gestionada y controlada de forma que quede protegida frente a las amenazas, incluidos los datos e información que circulan por ella. No tasa controles ni remite a un catálogo: fija el objetivo y deja la implantación al Estado.

Literal de la norma Los Estados miembros que participen en el Sistema Europeo de Alerta de Ciberseguridad garantizarán un alto nivel de ciberseguridad, incluida la confidencialidad y seguridad de los datos, así como de seguridad física de la infraestructura del Sistema Europeo de Alerta de Ciberseguridad, y velarán por que la red se gestione y controle adecuadamente, de tal manera que se proteja de las amenazas y se garantice su seguridad y la de los sistemas, incluidos los datos e información puestos en común a través de la red.

Art. 8.1

Controlar lo que sale hacia entidades que no son públicas Ciber

La contrapartida de abrir la red a entidades privadas. El Estado participante tiene que velar por que la puesta en común de información dentro del Sistema con cualquier entidad que no sea una autoridad u organismo público de un Estado miembro no afecte negativamente a los intereses de seguridad de la Unión ni de los Estados miembros. Es una decisión que hay que poder justificar antes de compartir, no después.

Art. 8.2

Contratación conjunta con el ECCC y reparto de costes

El dinero entra por dos convocatorias de manifestaciones de interés que resuelve el ECCC, y en las dos la contratación de herramientas, infraestructuras o servicios es conjunta con él, con un acuerdo de alojamiento y uso firmado antes de iniciar el procedimiento. Para un centro cibernético nacional la contribución de la Unión cubre hasta la mitad de los costes de adquisición y hasta la mitad de los de funcionamiento; para un centro transfronterizo, hasta tres cuartas partes de la adquisición y hasta la mitad del funcionamiento. El resto lo pagan el Estado o el consorcio.

Art. 9.1 y 9.3

Cómo se contrata la Reserva

Antes que los criterios sobre el proveedor están los principios que gobiernan la contratación. El órgano de contratación tiene que garantizar que la Reserva, considerada en su conjunto, incluya servicios que puedan prestarse en todos los Estados miembros, teniendo en cuenta los requisitos nacionales de lenguas y de certificación o acreditación; proteger los intereses esenciales de seguridad de la Unión y de sus Estados; y aportar valor añadido de la Unión desarrollando capacidades de ciberseguridad dentro de ella. Puede añadir criterios propios a los del Reglamento en estrecha cooperación con los Estados miembros.

Art. 17.1 y 17.3

Integridad y competencia técnica del personal Ciber

El primer criterio no es técnico, es de personas, y es exigente: el proveedor demuestra que su personal tiene el máximo grado de integridad profesional, independencia y responsabilidad, además de la competencia técnica necesaria en su ámbito específico. Y no basta con tenerlo hoy: hay que garantizar la permanencia y la continuidad de los conocimientos especializados y de los recursos técnicos. Es lo mismo que el Cybersecurity Act pide a un esquema de certificación de servicios de seguridad gestionados, escrito aquí como requisito de contratación.

Literal de la norma el proveedor demostrará que su personal tiene el máximo grado de integridad profesional, independencia y responsabilidad y la competencia técnica necesaria para llevar a cabo las actividades en su ámbito específico, y garantizará la permanencia y continuidad de los conocimientos especializados, así como los recursos técnicos necesarios

Art. 17.2.a)

Información clasificada protegida hasta el subcontratista Ciber

La obligación no se detiene en el proveedor: alcanza a todas sus filiales y subcontratistas pertinentes, que cumplen las normas aplicables de protección de la información clasificada y tienen establecidas las medidas adecuadas, incluidos acuerdos entre ellos, para proteger la información confidencial del servicio. La norma señala expresamente qué es lo delicado: las pruebas, las conclusiones y los informes. Quien subcontrate parte de una respuesta a incidentes tiene que poder acreditar esa cadena antes de presentarse.

Literal de la norma el proveedor, y todas las filiales y subcontratistas pertinentes, cumplirán las normas aplicables en materia de protección de la información clasificada y habrán establecido las medidas adecuadas, como, en su caso, acuerdos entre sí, para proteger la información confidencial relacionada con el servicio y, en particular, las pruebas, conclusiones e informes

Art. 17.2.b)

Estructura de gobierno transparente y sin conflictos Ciber parcial

El proveedor tiene que aportar pruebas suficientes de la transparencia de su estructura de gobierno y de que es improbable que esa estructura ponga en peligro su imparcialidad, la calidad de sus servicios o genere conflictos de intereses. Es el criterio que mira quién controla realmente a la empresa, y conecta con el principio de proteger los intereses esenciales de seguridad de la Unión y de sus Estados miembros.

Art. 17.2.c)

Habilitación de seguridad cuando el Estado la exija Ciber

El proveedor dispone de la habilitación de seguridad adecuada, al menos para el personal destinado a participar en la prestación del servicio, cuando así lo exija el Estado miembro. El condicionante importa: la exigencia no la fija el Reglamento, la fija cada Estado donde el servicio vaya a prestarse, de modo que la cobertura geográfica que ofrezca un proveedor depende de las habilitaciones que sea capaz de sostener.

Art. 17.2.d)

Seguridad de los propios sistemas del proveedor Ciber

Un criterio de una línea y de alcance amplio: el proveedor dispone del nivel de seguridad pertinente para sus sistemas informáticos. La norma no remite a un marco ni a un catálogo de controles, así que lo que cuente como pertinente se concreta en el pliego de cada contratación. Es la pregunta que un proveedor de seguridad rara vez tiene documentada sobre sí mismo.

Art. 17.2.e)

Equipo sin vulnerabilidades aprovechables conocidas Ciber

El hardware y el software con los que se presta el servicio tienen que estar libres de vulnerabilidades aprovechables conocidas, llevar las últimas actualizaciones de seguridad y cumplir, en todo caso, toda disposición aplicable del Reglamento de Ciberresiliencia. Es la única remisión normativa dura de los criterios: el maletín con el que se llega a la respuesta a un incidente queda sujeto al régimen de producto de la Unión.

Literal de la norma el proveedor estará equipado con el hardware y software necesarios para prestar el servicio solicitado, sin vulnerabilidades aprovechables conocidas, que incluirán las últimas actualizaciones de seguridad y cumplirán, en todo caso, toda disposición aplicable del Reglamento (UE) 2024/2847

Art. 17.2.f)

Experiencia previa, plazo breve y lengua

Tres criterios de capacidad operativa que definen el perfil de quien entra. El proveedor demuestra experiencia en la prestación de servicios similares a autoridades nacionales o a entidades de sectores de alta criticidad u otros sectores críticos; puede prestar el servicio en un plazo breve en los Estados en los que se ofrezca; y puede prestarlo en una o varias lenguas oficiales de las instituciones de la Unión o del Estado miembro que lo requiera.

Art. 17.2.g), h) e i)

Certificarse cuando exista el esquema europeo Ciber

El criterio con la fecha en blanco. Una vez que se establezca un esquema europeo de certificación de la ciberseguridad para los servicios de seguridad gestionados al amparo del Cybersecurity Act, el proveedor tendrá que estar certificado conforme a ese esquema en el plazo de dos años desde la fecha de aplicación del esquema. El objeto certificable existe desde que el Reglamento (UE) 2025/37 lo añadió al marco de certificación, pero el esquema en sí no está adoptado, de modo que el plazo de dos años no ha empezado a correr.

Literal de la norma una vez que se haya establecido un esquema europeo de certificación de la ciberseguridad para los servicios de seguridad gestionados con arreglo al Reglamento (UE) 2019/881, el proveedor será certificado de conformidad con dicho esquema en dos años a partir de la fecha de aplicación del esquema

Art. 17.2.j)

Condiciones de conversión de lo no consumido

El proveedor incluye en su oferta las condiciones en las que un servicio de respuesta a incidentes comprometido y no utilizado puede convertirse en servicios de preparación estrechamente relacionados con la respuesta, como ejercicios o formaciones. Es la pieza que evita que la capacidad reservada se pierda cuando el año pasa sin crisis.

Art. 17.2.k) · art. 14.2

Haber hecho lo propio antes de pedir apoyo Ciber

La Reserva no sustituye a la respuesta nacional, la complementa, y el Reglamento lo convierte en condición de acceso: para recibir apoyo, el usuario toma todas las medidas apropiadas para atenuar los efectos del incidente, incluida cuando proceda la asistencia técnica directa y otros recursos propios. Lo que haya hecho se declara en la solicitud y es uno de los criterios con los que se evalúa y se prioriza.

Literal de la norma Para recibir el apoyo de la Reserva de Ciberseguridad de la UE, los usuarios a que se refiere el artículo 14, apartado 3, tomarán todas las medidas apropiadas para atenuar los efectos del incidente para el que se solicite el apoyo, incluida, cuando proceda, la prestación de asistencia técnica directa, y otros recursos para ayudar a la respuesta y a los esfuerzos de recuperación.

Art. 15.2 · art. 16.3

Cómo se pide y en cuánto se contesta

La solicitud de un Estado miembro viaja por el punto de contacto único designado conforme a NIS2, y el CERT-UE la presenta por sí mismo. Tiene que llevar información sobre la entidad afectada y las repercusiones posibles, incluido el riesgo de contagio a otro Estado, el servicio solicitado y el uso previsto, las medidas ya tomadas y, en su caso, otras formas de apoyo disponibles. El órgano de contratación responde sin demora y, en cualquier caso, en un plazo máximo de cuarenta y ocho horas desde la presentación.

Art. 15.3 y 15.5 · art. 16.1

Para qué y sobre quién puede usarse el apoyo Ciber

Dos límites duros. El del objeto: los servicios recibidos solo pueden emplearse para apoyar la respuesta a incidentes significativos, a gran escala o equivalentes a gran escala e iniciar la recuperación, y solo respecto de entidades que operan en sectores de alta criticidad u otros sectores críticos, o de instituciones, órganos y organismos de la Unión. Y el de la información: todas las partes limitan su uso y su puesta en común a lo estrictamente necesario, tratan lo confidencial o clasificado conforme al Derecho aplicable y usan protocolos de intercambio como el TLP.

Art. 16.2 y 16.8

Informe resumido dos meses después del apoyo Ciber

Terminado el apoyo, el usuario tiene dos meses para entregar un informe resumido sobre el servicio prestado, los resultados obtenidos y las conclusiones extraídas. Un Estado miembro lo dirige a la Comisión, a ENISA, a la red de CSIRT y a EU-CyCLONe; el CERT-UE, a la Comisión, a ENISA y al Consejo Interinstitucional de Ciberseguridad. Es la lección aprendida convertida en obligación, y quien recibe el apoyo tiene que poder reconstruir después lo que pasó.

Art. 16.9

Los acuerdos con el proveedor y quién responde

Los servicios se prestan conforme a acuerdos específicos entre el proveedor de confianza y el usuario, y pueden incluir también a la entidad afectada. Esos acuerdos incluyen, entre otras cosas, condiciones en materia de responsabilidad, y se basan en plantillas que prepara ENISA previa consulta a los Estados miembros. Conviene saber de antemano dónde queda el riesgo: ni la Comisión, ni ENISA, ni los usuarios asumen responsabilidad contractual por los daños causados a terceros por los servicios prestados.

Art. 16.5, 16.6 y 16.7

Pruebas coordinadas de preparación Ciber

El brazo preventivo del Mecanismo de Emergencia. Financia pruebas coordinadas sobre entidades que operan en sectores de alta criticidad, y la norma dice de qué pueden consistir: pruebas de penetración y evaluación de amenazas. La Comisión determina cada vez, consultando al Grupo de Cooperación, a EU-CyCLONe y a ENISA, qué sectores o subsectores del anexo I de NIS2 entran en la convocatoria, apoyándose en las evaluaciones de riesgos coordinadas y las pruebas de resiliencia de la Unión. Los escenarios de riesgo y las metodologías comunes los elabora el Grupo de Cooperación. La participación de los Estados es voluntaria.

Art. 11.a) · art. 12.1 a 12.6

Seguimiento de los hallazgos de las pruebas Ciber

El punto donde una prueba deja de ser un ejercicio. Cuando una entidad de un sector de alta criticidad participa voluntariamente y las pruebas dan lugar a recomendaciones de medidas específicas, que la entidad podrá integrar en un plan corrector, la autoridad del Estado responsable de esas pruebas revisará, cuando proceda, el seguimiento de esas medidas por parte de las entidades participantes. Aceptar la prueba trae consigo que alguien vuelva a preguntar por los hallazgos.

Art. 12.7

Otras acciones de preparación y asistencia mutua

Además de las pruebas coordinadas, el Mecanismo financia por subvención acciones de preparación para entidades de sectores no incluidos en aquellas convocatorias, que pueden cubrir el seguimiento de vulnerabilidades y riesgos, los ejercicios y la formación. Y financia la asistencia técnica que un Estado miembro presta a otro afectado por un incidente significativo o a gran escala, incluida la que se canaliza por la asistencia mutua de NIS2.

Art. 13 · art. 18

Revisión europea de un incidente concreto Ciber

El tercer instrumento, y el que menos se conoce. A petición de la Comisión o de EU-CyCLONe, y con la aprobación del Estado afectado, ENISA revisa y evalúa las ciberamenazas, las vulnerabilidades aprovechables conocidas y las medidas paliativas de un incidente significativo o a gran escala concreto, y entrega un informe con las causas principales y las conclusiones extraídas. Para prepararlo coopera con las partes interesadas, incluidas la industria y, cuando proceda, las propias entidades afectadas. El informe puede anonimizarse a petición del Estado o del usuario afectado, y no incluye datos sobre vulnerabilidades aprovechadas activamente que sigan sin subsanar. ENISA puede publicar una versión accesible al público.

Literal de la norma No incluirá ningún dato sobre las vulnerabilidades aprovechadas activamente que permanezcan sin subsanar.

Art. 21

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 4.2.b) y 4.3 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Art. 8.1 y 8.2 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 8.1 · art. 9.1 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 17.2.a) y d) · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 17.2.b) · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Art. 17.2.f) · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 17.2.j) · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 15.2 · art. 16.9 · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Art. 12 · categorización del curador, no de la norma

Estado miembro participante

El Estado que decide entrar en el Sistema Europeo de Alerta de Ciberseguridad. La decisión es suya y nadie se la impone, pero al tomarla asume tres cosas: designar o crear un centro cibernético nacional, garantizar la ciberseguridad y la seguridad física de la infraestructura del Sistema, y cuidar de que la información que se pone en común con entidades que no son autoridades públicas no dañe los intereses de seguridad de la Unión ni de los Estados. Si además resulta seleccionado para la contratación conjunta, se compromete a pedir la entrada de su centro en un centro cibernético transfronterizo.

Art. 4.1 · art. 8 · art. 4.4

Centro cibernético nacional

La entidad única que actúa bajo la autoridad de su Estado y coordina la detección de ciberamenazas en el país. Puede ser un CSIRT, una autoridad de gestión de crisis de ciberseguridad, una autoridad competente de NIS2 u otra entidad distinta. Tiene que poder actuar como puerta de entrada hacia las organizaciones públicas y privadas del país, y ser capaz de detectar, agregar y analizar datos sobre ciberamenazas con tecnologías de vanguardia. Puede pedir a entidades privadas datos de telemetría, sensores y registro, pero el Reglamento no le da potestad para exigirlos.

Art. 4.2 y 4.3

Consorcio anfitrión transfronterizo

La agrupación de al menos tres Estados que acuerdan por escrito montar y financiar un centro cibernético transfronterizo. El acuerdo de consorcio no es un trámite: es donde se escribe qué información se pone en común, en qué condiciones y con qué gobernanza, y donde se reparte la responsabilidad de cumplir el Reglamento. Cada centro transfronterizo celebra además acuerdos de cooperación con los demás, y sus cláusulas de interoperabilidad se apoyan en las directrices que publica ENISA.

Literal de la norma un consorcio compuesto por Estados participantes, que han acordado establecer y contribuir a la adquisición de herramientas, infraestructuras y servicios para un centro cibernético transfronterizo y a su funcionamiento

Art. 2.2 · art. 5 · art. 6

Proveedor de seguridad gestionada

Quien presta a terceros servicios de gestión de riesgos de ciberseguridad, en el sentido en que lo define NIS2. Por serlo no le obliga nada de este Reglamento. Es la figura de partida de la que sale la única obligación de mercado que hay aquí: la que asume el que se presenta a la contratación de la Reserva de Ciberseguridad de la UE.

Art. 2.16, por remisión al art. 6, punto 40, de la Directiva (UE) 2022/2555

Proveedor de confianza de la Reserva

El proveedor seleccionado para formar parte de la Reserva de Ciberseguridad de la UE. Llega ahí por una contratación pública cuyos pliegos incluyen once criterios tasados, y desde ese momento presta los servicios de respuesta mediante acuerdos específicos con el usuario y, en su caso, con la entidad afectada, acuerdos que tienen que incluir condiciones de responsabilidad. Sus servicios de respuesta no utilizados pueden convertirse en servicios de preparación si así lo ofertó.

Literal de la norma los proveedores de servicios de seguridad gestionados seleccionados para formar parte de la Reserva de Ciberseguridad de la UE de conformidad con el artículo 17

Art. 2.17 · art. 17.2 · art. 16.5

Órgano de contratación

La Comisión o, en la medida en que se le haya encomendado el funcionamiento y la administración de la Reserva, ENISA. Es quien redacta los pliegos con los criterios de selección, quien evalúa las solicitudes de apoyo y quien las prioriza cuando llegan varias a la vez. Puede añadir criterios a los once del Reglamento en estrecha cooperación con los Estados miembros.

Art. 2.15 · art. 17 · art. 16.1 y 16.4

Usuario de la Reserva

Quien puede pedir los servicios de la Reserva, y la lista es cerrada: las autoridades de gestión de crisis de ciberseguridad y los CSIRT de los Estados miembros, el CERT-UE, y las autoridades competentes de los terceros países asociados al Programa Europa Digital que el Consejo haya autorizado. Una empresa no es usuario y no puede pedir apoyo por su cuenta: lo pide su Estado a través del punto de contacto único de NIS2.

Art. 14.3 · art. 15.3

Entidad de sectores de alta criticidad

Los tipos de entidad de los anexos I y II de NIS2. Aparecen en tres sitios distintos y en ninguno se les impone un deber directo: son el universo sobre el que pueden usarse los servicios de la Reserva, son a quienes se dirigen las pruebas coordinadas de preparación, con participación voluntaria, y son las entidades afectadas con las que ENISA coopera al revisar un incidente. Cuando una participa en las pruebas y estas producen recomendaciones, la autoridad de su Estado revisa el seguimiento.

Art. 2.5 y 2.6 · art. 16.8 · art. 12 · art. 21.2

ENISA

La Agencia de la Unión Europea para la Ciberseguridad. Aquí hace cuatro cosas: emite las directrices de interoperabilidad en las que se apoyan los acuerdos entre centros cibernéticos transfronterizos, opera y administra la Reserva en la medida en que la Comisión se la encomiende, cartografía cada dos años los servicios que necesitan los usuarios y su disponibilidad, y elabora los informes de revisión de incidentes.

Art. 6.4 · art. 14.5 y 14.6 · art. 21

Comisión Europea

Tiene la responsabilidad general de la ejecución de la Reserva, fija sus prioridades junto con el Grupo de Cooperación y las revisa cada dos años, determina qué sectores del anexo I de NIS2 entran en cada convocatoria de pruebas coordinadas, y puede completar el Reglamento por acto delegado especificando los tipos y el número de servicios de respuesta que la Reserva necesita.

Art. 14.4 · art. 12.4 · art. 14.7

Centro Europeo de Competencia (ECCC)

El organismo que ejecuta la parte de dinero del Sistema Europeo de Alerta de Ciberseguridad. Selecciona por convocatoria de manifestaciones de interés a los Estados y a los consorcios anfitriones, contrata con ellos conjuntamente las herramientas, infraestructuras y servicios, y puede concederles subvenciones para explotarlos. Prepara además, al menos cada dos años, la cartografía de lo que hace falta y de lo que hay disponible en la Unión.

Art. 9