A quién obliga

Designación como operador esencial, o prestar uno de tres servicios digitales

Por designación
Entrada automática
Casos particulares
Vía territorial
Roles que reparte

Notificación
de incidentes

A quién se notifica
Autoridad
CSIRT
Afectados —
Público
Cadena —

Régimen sancionador

Calendario ciber

Calendario ciber

09/09/2018

Entrada en vigor, al día siguiente de la publicación. Nacen el deber de adoptar medidas técnicas y de organización (art. 16.1), el de notificar los incidentes con efectos perturbadores significativos (art. 19.1) y el de resolverlos (art. 28.1). Sin plazos numéricos ni catálogo de medidas: el reglamento que los concreta no llegó hasta 2021

Disp. final cuarta · nota de vigencia del BOE
Calendario ciber

09/11/2018

Vence el plazo para la primera relación de servicios esenciales y de sus operadores: energía, transporte, salud, sistema financiero, agua e infraestructuras digitales. La inclusión en el régimen se produce por designación en esta relación, no por umbral de tamaño

Disp. adicional primera, a)
Calendario ciber · fecha derivada

09/12/2018

Los proveedores de servicios digitales que ya venían prestando servicios comunican su actividad a la autoridad competente. Tres meses desde la entrada en vigor

Disp. adicional cuarta
Calendario ciber

09/11/2019

Vence el plazo para la segunda relación de operadores: el resto de sectores estratégicos del anexo de la Ley 8/2011

Disp. adicional primera, b)
Calendario ciber

29/01/2021

Entra en vigor el Real Decreto 43/2021 y con él su anexo, que es la Instrucción nacional de notificación y gestión de ciberincidentes. Es la fecha en la que aparecen la política de seguridad con diez contenidos mínimos, la Declaración de Aplicabilidad, el responsable de la seguridad de la información, la taxonomía de peligrosidad e impacto y los plazos de notificación de la Tabla 3, que la norma de 2018 no contenía

RD 43/2021, disp. final tercera · fuente oficial ↗
Calendario ciber · fecha derivada

29/04/2021

Los operadores ya designados comunican a su autoridad competente la identidad del responsable de la seguridad de la información. Tres meses desde la entrada en vigor del reglamento

RD 43/2021, disp. adicional primera · fuente oficial ↗
Calendario ciber

31/03/2022

Entran en vigor las redacciones vigentes de los arts. 9 y 16. La autoridad competente de los proveedores de servicios digitales pasa a ser la Secretaría de Estado de Digitalización e Inteligencia Artificial, y las entidades del sector público pueden exigir por contrato a sus proveedores de nube medidas más estrictas que las legales, previo informe preceptivo y vinculante del Centro Criptológico Nacional

RDL 6/2022, disp. final 25 · fuente oficial ↗

Qué implantar

Medidas de seguridad
Gestión y notificación de incidentes
Supervisión y relación con la autoridad

Mapa NIST CSF

GOBERNAR NIST CSF 2.0 IDENTIFICAR Identificar · 3 medidas PROTEGER Proteger · 2 medidas DETECTAR Detectar · 1 medida RESPONDER Responder · 2 medidas RECUPERAR Recuperar · 1 medida
15 medidas sobre NIST CSF 2.0 Elige una función en la rueda o en la lista para ver sus categorías y medidas.

Gobernar GV

GV.OC Contexto organizativo
GV.RM Estrategia de gestión de riesgos
GV.RR Funciones, responsabilidades y autoridades
GV.PO Política
GV.OV Supervisión
GV.SC Gestión de riesgos de la cadena de suministro de seguridad cibernética

Identificar ID

ID.AM Gestión de activos
ID.RA Evaluación de riesgos
ID.IM Mejora

Proteger PR

PR.AT Concienciación y capacitación
PR.PS Seguridad de la plataforma

Detectar DE

DE.CM Monitoreo continuo
DE.AE Análisis de acontecimientos adversos

Responder RS

RS.MA Gestión de incidentes
RS.AN Análisis de incidentes
RS.CO Notificación y comunicación de la respuesta al incidente
RS.MI Mitigación de incidentes

Recuperar RC

RC.RP Ejecución del Plan de Recuperación de Incidentes
RC.CO Comunicación de la recuperación del incidente
Sanción

Infracción muy grave

Conducta
Infracciones muy graves: no subsanar las deficiencias requeridas cuando eso hizo vulnerable al operador ante un incidente significativo, incumplir de forma reiterada el deber de notificar (reiterado es a partir del segundo incumplimiento) o no tomar las medidas necesarias para resolver un incidente con efecto perturbador significativo
Importe
Multa de 500.001 hasta 1.000.000 euros

Art. 36.2 · art. 37.1.a)
Sanción

Infracción grave

Conducta
Infracciones graves: la primera falta de notificación de un incidente significativo, la tercera desatención de un requerimiento en cinco años, incumplir las instrucciones técnicas de seguridad, la notoria falta de interés en resolver un incidente, informar falsamente al público sobre los estándares o certificaciones que se mantienen, y poner obstáculos a las auditorías
Importe
Multa de 100.001 hasta 500.000 euros

Art. 36.3 · art. 37.1.b)
Sanción

Infracción leve

Conducta
Infracciones leves: no facilitar información requerida o darla incompleta o tarde, no someterse a una auditoría ordenada, no notificar los sucesos sin efecto adverso real, no completar la información de una notificación y no seguir las indicaciones del CSIRT de referencia
Importe
Amonestación o multa hasta 100.000 euros

Art. 36.4 · art. 37.1.c)
Sanción

Administraciones públicas

Conducta
Las mismas infracciones del art. 36, cuando las comete un órgano o entidad de las Administraciones Públicas
Importe
Sin multa. El órgano sancionador dicta una resolución con las medidas que procede adoptar para que cesen o se corrijan los efectos, y puede proponer además la iniciación de actuaciones disciplinarias

Art. 40
Régimen sancionador · todo el detalle

Escalones

Infracción muy grave

Infracciones muy graves: no subsanar las deficiencias requeridas cuando eso hizo vulnerable al operador ante un incidente significativo, incumplir de forma reiterada el deber de notificar (reiterado es a partir del segundo incumplimiento) o no tomar las medidas necesarias para resolver un incidente con efecto perturbador significativo

Multa de 500.001 hasta 1.000.000 euros

Art. 36.2 · art. 37.1.a)
Infracción grave

Infracciones graves: la primera falta de notificación de un incidente significativo, la tercera desatención de un requerimiento en cinco años, incumplir las instrucciones técnicas de seguridad, la notoria falta de interés en resolver un incidente, informar falsamente al público sobre los estándares o certificaciones que se mantienen, y poner obstáculos a las auditorías

Multa de 100.001 hasta 500.000 euros

Art. 36.3 · art. 37.1.b)
Infracción leve

Infracciones leves: no facilitar información requerida o darla incompleta o tarde, no someterse a una auditoría ordenada, no notificar los sucesos sin efecto adverso real, no completar la información de una notificación y no seguir las indicaciones del CSIRT de referencia

Amonestación o multa hasta 100.000 euros

Art. 36.4 · art. 37.1.c)
Administraciones públicas

Las mismas infracciones del art. 36, cuando las comete un órgano o entidad de las Administraciones Públicas

Sin multa. El órgano sancionador dicta una resolución con las medidas que procede adoptar para que cesen o se corrijan los efectos, y puede proponer además la iniciación de actuaciones disciplinarias

Art. 40

Matices

  • El tope de un millón de euros es un orden de magnitud inferior al mínimo que NIS2 obliga a España a fijar cuando la transponga: 10 000 000 EUR o el 2 % del volumen de negocios mundial para las entidades esenciales. Aquí no hay ningún porcentaje sobre facturación: el volumen de facturación solo entra como criterio de graduación, no como base de cálculo.
  • Responde la entidad, y solo la entidad. No hay responsabilidad personal de directivos ni prohibición temporal de ejercer funciones directivas, que es una de las medidas nuevas de NIS2.
  • La escala está construida para castigar la reincidencia, no el error: no notificar una vez es infracción grave; no notificar dos veces es muy grave. El preámbulo lo dice sin rodeos: la norma «se decanta por impulsar la subsanación de la infracción antes que su castigo».
  • Tener un programa de recompensa por el descubrimiento de vulnerabilidades es un criterio legal de graduación de la sanción (art. 38.g). No aparece en ninguna otra norma del corpus.
  • Dos válvulas de escape: la sanción puede bajarse a la escala inmediatamente inferior si la entidad regulariza de forma diligente o reconoce su culpabilidad (art. 39.1), y la autoridad puede apercibir en lugar de abrir expediente si la infracción es leve o grave y no ha sancionado al infractor en los dos años previos, con excepciones tasadas (art. 39.2 y 39.3).
  • Las sanciones firmes por infracciones muy graves y graves pueden publicarse en el BOE y en la web de la autoridad competente, a costa del sancionado (art. 37.2).
  • Quién sanciona está a medias: las muy graves las impone el Ministro competente, y las graves y leves corresponden «al órgano de la autoridad competente que se determine mediante el reglamento de desarrollo». El reglamento de desarrollo llegó en 2021 y no lo determinó: la palabra sanción no aparece ni una vez en todo el Real Decreto 43/2021.
  • No se sanciona dos veces por lo mismo: si los hechos también están tipificados en la normativa sectorial del prestador y hay identidad del bien jurídico protegido, no procede sancionar por esta norma (art. 42.1). El procedimiento tiene un plazo máximo de un año, y el trámite de alegaciones no puede durar menos de un mes (art. 41.3).
Aviso

En el real decreto-ley no hay ningún plazo numérico: solo dice «sin dilación indebida». Los relojes están en la Tabla 3 del anexo del Real Decreto 43/2021, que es la Instrucción nacional de notificación y gestión de ciberincidentes: no una norma aparte, sino el anexo de ese real decreto. Y el detalle que más se pasa por alto: solo la notificación inicial cuenta desde que se conoce el incidente; la intermedia y la final cuentan desde que se envió la inicial. Es al revés que en NIS2.
Notificación de incidentes

Notificación inicial · peligrosidad o impacto ALTO, MUY ALTO o CRÍTICO

Plazo
Inmediata
Desde cuándo corre
Desde el momento de tener conocimiento del incidente. El real decreto-ley solo dice «sin dilación indebida»

RD 43/2021, anexo, tabla 3 · RDL art. 22.1
Notificación de incidentes

Notificación intermedia · nivel CRÍTICO

Plazo
24/48 horas
Desde cuándo corre
Desde la remisión de la notificación inicial, no desde el conocimiento del incidente. La tabla no dice cuándo son 24 y cuándo 48

RD 43/2021, anexo, tabla 3
Notificación de incidentes

Notificación intermedia · nivel MUY ALTO

Plazo
72 horas
Desde cuándo corre
Desde la remisión de la notificación inicial, no desde el conocimiento del incidente

RD 43/2021, anexo, tabla 3
Notificación de incidentes

Notificación final · nivel CRÍTICO

Plazo
20 días
Desde cuándo corre
Desde la remisión de la notificación inicial. El real decreto-ley, en cambio, la ata a la resolución del incidente (art. 22.3): los dos textos no dicen lo mismo

RD 43/2021, anexo, tabla 3
Notificación de incidentes

Notificación final · nivel MUY ALTO

Plazo
40 días
Desde cuándo corre
Desde la remisión de la notificación inicial, con la misma discrepancia con el art. 22.3 del real decreto-ley

RD 43/2021, anexo, tabla 3
Notificación de incidentes

Nivel ALTO · la tabla no fija notificación intermedia ni final

Plazo
Sin plazo: la tabla marca un guion en las dos columnas
Desde cuándo corre
No hay disparador porque no hay plazo. El art. 22.2 y 22.3 del real decreto-ley sí exigen intermedias y final, sin distinguir nivel

RD 43/2021, anexo, tabla 3 · RDL art. 22.2 y 22.3
Notificación de incidentes

Operador con incidencia en la Defensa Nacional

Plazo
Sin plazo numérico: «de inmediato»
Desde cuándo corre
Desde que el operador aprecia que el incidente pudiera tener impacto en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas

RD 43/2021, art. 4.2
A quién se notifica

El CSIRT de referencia, que es la puerta de entrada

Cuándo
Todas las notificaciones. El destinatario final es la autoridad competente, que las recibe a través de él
En España
Los tres están designados por la propia norma: CCN-CERT para el sector público (entidades del ámbito de la Ley 40/2015), INCIBE-CERT para el resto de entidades y para la ciudadanía, operado junto con el CNPIC en lo que afecta a operadores críticos, y ESPDEF-CERT del Mando Conjunto del Ciberespacio para lo que incide en la Defensa Nacional. Son los mismos que sigue nombrando la ficha de NIS2, porque NIS2 no ha cambiado nada de esto en España.
INCIBE-CERT ↗ CCN-CERT ↗ ESPDEF-CERT · Mando Conjunto del Ciberespacio ↗

Art. 19.1 y 19.2 · art. 11
A quién se notifica

La autoridad competente

Cuándo
Es la destinataria de todas las notificaciones, que le llegan a través del CSIRT de referencia
En España
Depende de quién seas, y la designación como operador crítico gana al sector: la Secretaría de Estado de Seguridad del Ministerio del Interior, a través del CNPIC, si eres operador crítico, sea cual sea tu sector; la autoridad sectorial del art. 3 del RD 43/2021 si no lo eres; la Secretaría de Estado de Digitalización e Inteligencia Artificial para los proveedores de servicios digitales; y el Ministerio de Defensa, a través del Centro Criptológico Nacional, para el sector público.
Ministerio del Interior · CNPIC ↗

Art. 9 · art. 10.d)
A quién se notifica

El ESPDEF-CERT del Mando Conjunto del Ciberespacio, a través del CSIRT de referencia

Cuándo
Cuando el incidente pueda impactar en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas
En España
El CERT del Mando Conjunto del Ciberespacio. Se llega a él a través del CSIRT de referencia, no directamente, y solo lo activan los operadores designados con incidencia en la Defensa Nacional por la Comisión Nacional para la Protección de las Infraestructuras Críticas.
ESPDEF-CERT · Mando Conjunto del Ciberespacio ↗

RD 43/2021, art. 4.2
A quién se notifica

La Agencia Española de Protección de Datos

Cuándo
Si el incidente supone una violación de datos personales. La notificación del art. 33 del RGPD es independiente y esta no la sustituye
En España
La notificación de un ciberincidente no excluye ni sustituye la que haya que hacer a la AEPD. Lo que sí exige el reglamento es que la notificación de este régimen incluya los campos del formulario de la AEPD, y la plataforma común puede usarse para las dos.
Agencia Española de Protección de Datos ↗

RD 43/2021, art. 9.3
A quién se notifica

El público o terceros potencialmente interesados

Cuándo
Cuando la autoridad competente lo exija al operador, o decida informar ella misma tras consultarle

Art. 26
Notificación de incidentes · todo el detalle

Qué es notificable

Los incidentes que puedan tener efectos perturbadores significativos en el servicio, que el reglamento traduce en un umbral medible: nivel de impacto crítico, muy alto o alto. Y también, aunque todavía no hayan causado ningún daño, los sucesos cuyo nivel de peligrosidad sea crítico, muy alto o alto.

Literal de la norma los incidentes que puedan tener efectos perturbadores significativos en dichos servicios

En el real decreto-ley no hay ningún plazo numérico: solo dice «sin dilación indebida». Los relojes están en la Tabla 3 del anexo del Real Decreto 43/2021, que es la Instrucción nacional de notificación y gestión de ciberincidentes: no una norma aparte, sino el anexo de ese real decreto. Y el detalle que más se pasa por alto: solo la notificación inicial cuenta desde que se conoce el incidente; la intermedia y la final cuentan desde que se envió la inicial. Es al revés que en NIS2.

Supuestos y plazos

Notificación inicial · peligrosidad o impacto ALTO, MUY ALTO o CRÍTICO

Inmediata

Desde el momento de tener conocimiento del incidente. El real decreto-ley solo dice «sin dilación indebida»

RD 43/2021, anexo, tabla 3 · RDL art. 22.1
Notificación intermedia · nivel CRÍTICO

24/48 horas

Desde la remisión de la notificación inicial, no desde el conocimiento del incidente. La tabla no dice cuándo son 24 y cuándo 48

RD 43/2021, anexo, tabla 3
Notificación intermedia · nivel MUY ALTO

72 horas

Desde la remisión de la notificación inicial, no desde el conocimiento del incidente

RD 43/2021, anexo, tabla 3
Notificación final · nivel CRÍTICO

20 días

Desde la remisión de la notificación inicial. El real decreto-ley, en cambio, la ata a la resolución del incidente (art. 22.3): los dos textos no dicen lo mismo

RD 43/2021, anexo, tabla 3
Notificación final · nivel MUY ALTO

40 días

Desde la remisión de la notificación inicial, con la misma discrepancia con el art. 22.3 del real decreto-ley

RD 43/2021, anexo, tabla 3
Nivel ALTO · la tabla no fija notificación intermedia ni final

Sin plazo: la tabla marca un guion en las dos columnas

No hay disparador porque no hay plazo. El art. 22.2 y 22.3 del real decreto-ley sí exigen intermedias y final, sin distinguir nivel

RD 43/2021, anexo, tabla 3 · RDL art. 22.2 y 22.3
Operador con incidencia en la Defensa Nacional

Sin plazo numérico: «de inmediato»

Desde que el operador aprecia que el incidente pudiera tener impacto en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas

RD 43/2021, art. 4.2

A quién se notifica

El CSIRT de referencia, que es la puerta de entrada

Todas las notificaciones. El destinatario final es la autoridad competente, que las recibe a través de él

Art. 19.1 y 19.2 · art. 11
La autoridad competente

Es la destinataria de todas las notificaciones, que le llegan a través del CSIRT de referencia

Art. 9 · art. 10.d)
El ESPDEF-CERT del Mando Conjunto del Ciberespacio, a través del CSIRT de referencia

Cuando el incidente pueda impactar en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas

RD 43/2021, art. 4.2
La Agencia Española de Protección de Datos

Si el incidente supone una violación de datos personales. La notificación del art. 33 del RGPD es independiente y esta no la sustituye

RD 43/2021, art. 9.3
El público o terceros potencialmente interesados

Cuando la autoridad competente lo exija al operador, o decida informar ella misma tras consultarle

Art. 26
A quién obliga

Operadores de servicios esenciales designados

La regla general: operadores de servicios esenciales establecidos en España, en los sectores estratégicos del anexo de la Ley 8/2011, identificados uno a uno por los órganos y procedimientos de esa ley (art. 2.1.a, art. 2.2.a y art. 6.1). Los sectores no se enumeran en esta norma; el reparto de autoridades del reglamento nombra once: transporte, energía, tecnologías de la información y las telecomunicaciones, sistema financiero, espacio, industria química, instalaciones de investigación, salud, agua, alimentación e industria nuclear (RD 43/2021, art. 3)

Ejemplo Una eléctrica, un hospital o un banco entra cuando se le identifica como operador de servicios esenciales por los órganos de la Ley 8/2011. Estar en el sector no basta, y no hay autoevaluación posible.
Roles que emanan
A quién obliga

Mercados en línea, buscadores y nube

Proveedores de tres servicios digitales, y la lista es cerrada: mercados en línea, motores de búsqueda en línea y servicios de computación en nube, con sede social en España que constituya su establecimiento principal en la Unión, o que designen aquí a su representante (art. 2.1.b y art. 2.2.b)

Ejemplo Una plataforma de compraventa entre terceros, un buscador o un proveedor de nube entra por el tipo de servicio que presta, y tiene tres meses para comunicar su actividad, salvo que sea microempresa o pequeña empresa.
Roles que emanan
A quién obliga

Sector público que presta servicios esenciales

Operadores y proveedores comprendidos en el ámbito de la Ley 40/2015 que no sean operadores críticos: mismo régimen, pero con el Ministerio de Defensa, a través del Centro Criptológico Nacional, como autoridad competente (art. 9.1.c)

Ejemplo Un organismo público que presta un servicio esencial entra con el mismo régimen, pero su autoridad competente es el Ministerio de Defensa a través del Centro Criptológico Nacional, y su CSIRT es el CCN-CERT.
Roles que emanan
A quién obliga

Telecos y confianza, solo si son críticos

Operadores de redes y servicios de comunicaciones electrónicas y prestadores de servicios electrónicos de confianza, únicamente si están designados operadores críticos conforme a la Ley 8/2011, y sin que ello desplace a su normativa sectorial de seguridad (art. 2.3.a a contrario y disp. adicional segunda)

Ejemplo Una operadora de telecomunicaciones o un prestador de servicios de confianza queda fuera, salvo que esté designado operador crítico: entonces entra por esa designación y no por su sector.
Roles que emanan
A quién obliga

Establecimiento permanente o representante en España

Servicios esenciales que operadores residentes o domiciliados en otro Estado ofrezcan a través de un establecimiento permanente situado en España (art. 2.2.a, párrafo segundo)

Ejemplo Un operador domiciliado en otro Estado entra por el establecimiento permanente desde el que presta el servicio en España; un proveedor digital de fuera de la Unión, por designar aquí a su representante.
Roles que emanan
A quién obliga

Exclusiones

Los operadores de redes y servicios de comunicaciones electrónicas y los prestadores de servicios electrónicos de confianza que no sean designados operadores críticos. Es la regla inversa a la de NIS2, donde estos sectores entran de forma automática y con independencia de su tamaño.

Art. 2.3.a)

Los proveedores de servicios digitales que sean microempresas o pequeñas empresas conforme a la Recomendación 2003/361/CE. Es el único umbral de tamaño de toda la norma, y no alcanza a los operadores de servicios esenciales.

Art. 2.3.b)

Cuando una normativa nacional o comunitaria fija para un sector obligaciones de seguridad o de notificación de efecto al menos equivalente, prevalece la sectorial. Es el mecanismo que decide, por ejemplo, esta norma o DORA. Con un límite: no afecta a la aplicación del título V sobre notificación de incidentes, salvo incompatibilidad.

Art. 18

Las acciones emprendidas para salvaguardar la seguridad nacional y las funciones estatales esenciales, incluidas la protección de la información clasificada, el mantenimiento del orden público y la persecución de los delitos.

Art. 5
A quién obliga · todo el detalle

Obliga a dos grupos con reglas distintas. A los operadores de servicios esenciales, que no lo son por cumplir un umbral sino porque la Administración los identifica: si no te han designado, no estás dentro. Y a los proveedores de tres servicios digitales tasados (mercados en línea, buscadores y nube), que sí entran por lo que hacen y tienen que comunicar su actividad ellos mismos. No hay umbral de tamaño para los operadores esenciales; para los proveedores digitales, las microempresas y pequeñas empresas quedan fuera.

Por designación

Operadores de servicios esenciales designados

La regla general: operadores de servicios esenciales establecidos en España, en los sectores estratégicos del anexo de la Ley 8/2011, identificados uno a uno por los órganos y procedimientos de esa ley (art. 2.1.a, art. 2.2.a y art. 6.1). Los sectores no se enumeran en esta norma; el reparto de autoridades del reglamento nombra once: transporte, energía, tecnologías de la información y las telecomunicaciones, sistema financiero, espacio, industria química, instalaciones de investigación, salud, agua, alimentación e industria nuclear (RD 43/2021, art. 3)

Entrada automática

Mercados en línea, buscadores y nube

Proveedores de tres servicios digitales, y la lista es cerrada: mercados en línea, motores de búsqueda en línea y servicios de computación en nube, con sede social en España que constituya su establecimiento principal en la Unión, o que designen aquí a su representante (art. 2.1.b y art. 2.2.b)

Casos particulares

Sector público que presta servicios esenciales

Operadores y proveedores comprendidos en el ámbito de la Ley 40/2015 que no sean operadores críticos: mismo régimen, pero con el Ministerio de Defensa, a través del Centro Criptológico Nacional, como autoridad competente (art. 9.1.c)

Telecos y confianza, solo si son críticos

Operadores de redes y servicios de comunicaciones electrónicas y prestadores de servicios electrónicos de confianza, únicamente si están designados operadores críticos conforme a la Ley 8/2011, y sin que ello desplace a su normativa sectorial de seguridad (art. 2.3.a a contrario y disp. adicional segunda)

Vía territorial

Establecimiento permanente o representante en España

Servicios esenciales que operadores residentes o domiciliados en otro Estado ofrezcan a través de un establecimiento permanente situado en España (art. 2.2.a, párrafo segundo)

Exclusiones

Los operadores de redes y servicios de comunicaciones electrónicas y los prestadores de servicios electrónicos de confianza que no sean designados operadores críticos. Es la regla inversa a la de NIS2, donde estos sectores entran de forma automática y con independencia de su tamaño.

Art. 2.3.a)

Los proveedores de servicios digitales que sean microempresas o pequeñas empresas conforme a la Recomendación 2003/361/CE. Es el único umbral de tamaño de toda la norma, y no alcanza a los operadores de servicios esenciales.

Art. 2.3.b)

Cuando una normativa nacional o comunitaria fija para un sector obligaciones de seguridad o de notificación de efecto al menos equivalente, prevalece la sectorial. Es el mecanismo que decide, por ejemplo, esta norma o DORA. Con un límite: no afecta a la aplicación del título V sobre notificación de incidentes, salvo incompatibilidad.

Art. 18

Las acciones emprendidas para salvaguardar la seguridad nacional y las funciones estatales esenciales, incluidas la protección de la información clasificada, el mantenimiento del orden público y la persecución de los delitos.

Art. 5
España · Real decreto-ley

Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información

Identificador
BOE-A-2018-12257
Fuente
BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado
Ficha técnica

Ciberseguridad

Es la norma ciber operativa de España: seguridad de redes y sistemas, notificación de incidentes con la Instrucción nacional y sus peldaños de peligrosidad, y un régimen sancionador propio de hasta un millón de euros. Todo su articulado es seguridad.

Valoración del curador · nivel 5 de 5
Qué implantar · Medidas de seguridad

Medidas técnicas y de organización Ciber

Adoptar medidas técnicas y de organización adecuadas y proporcionadas para gestionar los riesgos, y medidas para prevenir y reducir al mínimo el impacto de los incidentes. El artículo es un principio: el contenido concreto está en el reglamento.

Literal de la norma Los operadores de servicios esenciales y los proveedores de servicios digitales deberán adoptar medidas técnicas y de organización, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información utilizados en la prestación de los servicios sujetos a este real decreto-ley.
Recae sobre
Alimenta estas medidas

Art. 16.1
Qué implantar · Medidas de seguridad

Responsable de la seguridad de la información Ciber

Designar un responsable de la seguridad de la información en tres meses y comunicarlo a la autoridad competente. Tiene que ser independiente de quien gestiona las redes y los sistemas, así que no puede ser el responsable de sistemas. Necesita conocimientos especializados, recursos y una posición que le dé acceso real a la alta dirección, y puede compatibilizarse con el Responsable de Seguridad y Enlace de la Ley PIC y con el del ENS.

Recae sobre
Alimenta estas medidas

Art. 16.3 · RD 43/2021, art. 7
Qué implantar · Medidas de seguridad

Política de seguridad con diez contenidos mínimos Ciber

Aprobada por la organización, con diez contenidos mínimos: análisis y gestión de riesgos, gestión de riesgos de terceros o proveedores, catálogo de medidas organizativas, tecnológicas y físicas, gestión del personal y profesionalidad, adquisición de productos o servicios de seguridad, detección y gestión de incidentes, planes de recuperación y continuidad, mejora continua, interconexión de sistemas y registro de la actividad de los usuarios.

Recae sobre
Alimenta estas medidas

RD 43/2021, art. 6.2
Qué implantar · Medidas de seguridad

Declaración de Aplicabilidad Ciber

Redactar y mantener la Declaración de Aplicabilidad: qué medidas se aplican, firmada por el responsable de seguridad, remitida a la autoridad en seis meses y revisada al menos cada tres años. Va incluida en la política de seguridad, y es el documento que la autoridad supervisa.

Recae sobre
Alimenta estas medidas

RD 43/2021, art. 6.4
Qué implantar · Medidas de seguridad

Referencia técnica de las medidas Ciber

Las medidas toman como referencia el anexo II del Real Decreto 3/2010 (el Esquema Nacional de Seguridad anterior, derogado en 2022) en la medida en que sean aplicables, y pueden completarse con otros estándares reconocidos internacionalmente. La remisión no se ha actualizado al ENS vigente.

Recae sobre
Alimenta estas medidas

RD 43/2021, art. 6.5
Qué implantar · Medidas de seguridad

Cinco medidas mínimas del proveedor digital Ciber

Régimen propio y más corto, con cinco aspectos mínimos: seguridad de los sistemas e instalaciones, gestión de incidentes, gestión de la continuidad, supervisión, auditorías y pruebas, y cumplimiento de las normas internacionales.

Recae sobre
Alimenta estas medidas

RDL art. 16.6
Qué implantar · Gestión y notificación de incidentes

Notificar los incidentes significativos Ciber

Notificar los incidentes que puedan tener efectos perturbadores significativos: en la práctica, los de nivel de impacto crítico, muy alto o alto. Se notifica a la autoridad competente, pero a través del CSIRT de referencia.

Literal de la norma Los operadores de servicios esenciales notificarán a la autoridad competente, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en dichos servicios.
Recae sobre
Alimenta estas medidas

Art. 19.1 · RD 43/2021, art. 9.1
Qué implantar · Gestión y notificación de incidentes

Notificar también lo que aún no ha causado daño Ciber

Notificar también lo que todavía no ha causado daño. Los sucesos con nivel de peligrosidad crítico, muy alto o alto se notifican aunque no hayan tenido ningún efecto adverso real sobre el servicio. Es una obligación de reportar amenazas, no solo daños, y no tiene equivalente exacto en NIS2.

Recae sobre
Alimenta estas medidas

Art. 19.1, párr. 2 · RD 43/2021, art. 9.1, párr. 2
Qué implantar · Gestión y notificación de incidentes

Notificación en cascada y sus plazos Ciber

Notificar en cascada: inicial inmediata, intermedia a las 24/48 horas si el incidente es crítico o a las 72 si es muy alto, y final a los 20 o 40 días. Los dos últimos plazos cuentan desde que se envió la inicial, no desde que se conoció el incidente.

Recae sobre
Alimenta estas medidas

Art. 22 · RD 43/2021, anexo, tabla 3
Qué implantar · Gestión y notificación de incidentes

Resolver el incidente Ciber

Resolver el incidente. Notificar no descarga la responsabilidad: el operador sigue siendo quien tiene que restablecer sus sistemas, y si pide ayuda al CSIRT queda obligado a seguir sus indicaciones. Alcanza además a los incidentes que ocurren en sistemas de proveedores externos y a los que señale el CSIRT o la autoridad competente (RD 43/2021, art. 8).

Recae sobre
Alimenta estas medidas

Art. 28.1
Qué implantar · Gestión y notificación de incidentes

No represaliar a quien informa Ciber

No represaliar a quien informa. Las decisiones del empleador tomadas en perjuicio de un trabajador que informó de un incidente son nulas y sin efecto legal, salvo mala fe acreditada.

Recae sobre
Alimenta estas medidas

Art. 20.2
Qué implantar · Gestión y notificación de incidentes

Notificaciones voluntarias Ciber

Cuidado con notificar voluntariamente: se puede, incluso sin estar designado, pero hacerlo activa la obligación de resolver el incidente del art. 28. Y las notificaciones obligatorias tienen prioridad de gestión sobre las voluntarias.

Recae sobre

Art. 31.1
Qué implantar · Supervisión y relación con la autoridad

Comunicar la actividad al iniciarla Ciber

Si prestas uno de los tres servicios digitales, comunicar tu actividad a la autoridad competente en el plazo de tres meses desde que la inicias. Es el único alta por iniciativa propia que tiene la norma.

Literal de la norma Los proveedores de servicios digitales señalados en el artículo 2 deberán comunicar su actividad a la autoridad competente en el plazo de tres meses desde que la inicien, a los meros efectos de su conocimiento.
Recae sobre

Art. 7
Qué implantar · Supervisión y relación con la autoridad

Someterse a supervisión y a auditoría externa Ciber

Los operadores esenciales tienen supervisión previa: la autoridad puede pedir políticas, evidencia de su aplicación y una auditoría por entidad externa, solvente e independiente. Los proveedores digitales solo se inspeccionan cuando hay noticia de incumplimiento.

Recae sobre
Alimenta estas medidas

RDL art. 32 · RD 43/2021, art. 15
Qué implantar · Supervisión y relación con la autoridad

Acreditación por certificación Ciber

El cumplimiento puede acreditarse mediante certificación en un esquema de seguridad, pero no de forma automática: la autoridad competente tiene que reconocer ese esquema, previa consulta al CSIRT de referencia.

Recae sobre
Alimenta estas medidas

RD 43/2021, art. 15.3
Medida

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Cómo se despliega Una estructura de gobierno dimensionada al tamaño de la organización (comité de seguridad, funciones delegadas) con presupuesto propio y un canal estable entre quien opera la seguridad y quien responde de ella.
Qué exige esta norma
  • Aprobación de las medidas de gestión de riesgos por el órgano de dirección
  • Responsable de seguridad designado, con independencia y acceso a la dirección
Matiz de esta norma La dirección aprueba la política y ahí termina su papel: el régimen español no le exige formarse ni le atribuye responsabilidad personal. Lo que sí exige es un responsable de seguridad comunicado a la autoridad e independiente de quien gestiona las redes y los sistemas.
Categoría CSF 2.0 GV.RR · Funciones, responsabilidades y autoridadesGV.OV · Supervisión

Cae en GV.RR por el reparto de responsabilidades y en GV.OV por la supervisión de resultados.

Emana de

RD 43/2021, arts. 6.2, 6.4 y 7 · RDL art. 16.3 · categorización del curador, no de la norma
Medida

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Cómo se despliega Una plataforma o servicio de formación gestionado como programa, con contenido mantenido, calendario anual y medición del resultado, no una compra puntual de contenidos.
Qué exige esta norma
  • Formación regular y equivalente para la plantilla
Matiz de esta norma El anclaje es la profesionalidad del personal que la política tiene que cubrir, no un plan de formación tasado; el órgano de dirección queda fuera.
Categoría CSF 2.0 PR.AT · Concienciación y capacitación
Emana de

RD 43/2021, art. 6.2.d) · categorización del curador, no de la norma
Medida

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Cómo se despliega Un cuerpo normativo por capas (política, normativas, procedimientos) gestionado como exige un sistema de gestión tipo ISO 27001 o ENS: versionado, con dueño, publicado donde la plantilla lo encuentre, y con revisión programada y tras los cambios relevantes.
Qué exige esta norma
  • Política de seguridad de los sistemas de información aprobada por la dirección
Matiz de esta norma La política no se redacta libre: tiene diez contenidos mínimos tasados y lleva dentro la Declaración de Aplicabilidad, que es el documento que la autoridad supervisa.
Categoría CSF 2.0 GV.PO · Política
Emana de

RD 43/2021, arts. 6.2 y 6.4 · categorización del curador, no de la norma
Medida

Clasificación y declaración de aplicabilidad Compartida

Definir contra qué se evalúa la organización: qué sistemas entran en el alcance y qué controles aplican, por escrito y de forma defendible. Este documento es la referencia contra la que se contrastan la auditoría y las obligaciones del proveedor.

Cómo se despliega Un documento de alcance mantenido con el sistema de gestión, revisado a calendario y con un responsable que responda de él, de forma que cualquiera pueda contrastarlo contra el esquema que le aplique.
Qué exige esta norma
  • Declaración de aplicabilidad firmada, con el estado de cada medida aplicable y la justificación de las descartadas
Matiz de esta norma La Declaración de Aplicabilidad va dentro de la política, firmada por el responsable de seguridad, remitida a la autoridad en seis meses y revisada al menos cada tres años.
Categoría CSF 2.0 GV.OC · Contexto organizativoID.AM · Gestión de activos

Dos cosas distintas en el mismo documento: la clasificación por impacto es ID.AM, porque prioriza activos y servicios; el alcance y la Declaración de Aplicabilidad son GV.OC, porque fijan contra qué requisitos se mide la organización.

Emana de

RD 43/2021, art. 6.4 · categorización del curador, no de la norma
Medida

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Cómo se despliega Un proceso con dueño y calendario propio, apoyado en una metodología reconocida y al día (ISO/IEC 27005:2022, MAGERIT, EBIOS RM) y alimentado por el inventario de activos, con apetito de riesgo declarado; el resultado ordena el plan de seguridad del año.
Qué exige esta norma
  • Análisis de riesgos con metodología, criterios y resultados documentados
  • Enfoque de todos los peligros: también físicos, no solo TI
Matiz de esta norma El principio rector es la seguridad integral: del análisis sale un catálogo con medidas organizativas, tecnológicas y físicas, no solo controles TI.
Categoría CSF 2.0 ID.RA · Evaluación de riesgosGV.RM · Estrategia de gestión de riesgos

El análisis y la evaluación son ID.RA; el apetito de riesgo declarado y la estrategia que fija la tolerancia y los objetivos medibles son GV.RM. Van juntos porque en el corpus los exige la misma obligación.

Emana de

Art. 16.1 · RD 43/2021, art. 6.2.a) y c) · categorización del curador, no de la norma
Medida

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Cómo se despliega Un equipo designado (propio, CSIRT contratado o retainer de respuesta), guardias y escalado definidos, criterio escrito sobre qué se preserva antes de tocar nada, un canal de coordinación que siga operativo si caen los sistemas propios, y simulacros periódicos que prueben la capacidad antes de necesitarla.
Qué exige esta norma
  • Proceso de gestión de incidentes de extremo a extremo, con papeles asignados
  • Criterios de clasificación de incidentes
  • Canal para que empleados, proveedores y clientes reporten sospechas
  • Revisión posterior al incidente
Matiz de esta norma Se clasifica contra la taxonomía de la Instrucción nacional, que puntúa la peligrosidad del ataque antes que su impacto, y el proceso llega hasta la resolución, también cuando el incidente ocurre en sistemas de un proveedor.
Categoría CSF 2.0 RS.MA · Gestión de incidentesRS.AN · Análisis de incidentesRS.MI · Mitigación de incidentes

La contención y la erradicación son RS.MI, y el registro y la valoración del incidente RS.AN: las dos viven dentro de este proceso. La ejecución de la recuperación no está aquí; es RC.RP, en continuidad de negocio.

Emana de

RD 43/2021, art. 6.2.f) · RDL arts. 28.1 y 20.2 · categorización del curador, no de la norma
Medida

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Cómo se despliega La vigilancia contratada o desplegada según la madurez de la organización (propia, gestionada o híbrida), con la cobertura decidida desde el riesgo y documentada (qué entra, qué queda fuera y por qué), de forma que los puntos ciegos sean decisiones registradas y no descubrimientos del análisis posterior de un incidente.
Qué exige esta norma
  • Detección y análisis de anomalías e indicios de incidente
  • Registro de la actividad con retención suficiente, protegido frente a alteración y con los relojes sincronizados
Matiz de esta norma El registro de la actividad de los usuarios no es despliegue técnico sino contenido tasado de la política que la autoridad supervisa: va escrito dentro, no solo funcionando.
Categoría CSF 2.0 DE.CM · Monitoreo continuoDE.AE · Análisis de acontecimientos adversos

La observación continua es DE.CM; el triaje de lo que salta (correlacionar fuentes, estimar alcance, decidir si esto es algo) es DE.AE. La declaración formal del incidente contra criterios vive en la clasificación de respuesta a incidentes, y la frontera es deliberada: aquí se decide que hay algo, allí qué es y qué reloj arranca.

Emana de

RD 43/2021, art. 6.2.f) y j) · categorización del curador, no de la norma
Medida

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Cómo se despliega Un programa con responsable y presupuesto, revisado tras cada incidente, ejercicio o cambio relevante en los servicios; la eficacia de los planes solo se acredita mediante ejercicios.
Qué exige esta norma
  • Plan de continuidad y de recuperación ante desastre
Categoría CSF 2.0 RC.RP · Ejecución del Plan de Recuperación de IncidentesRC.CO · Comunicación de la recuperación del incidente

Ejecutar la recuperación es RC.RP; comunicarla mientras dura (portavocía, avance hacia clientes y público) es RC.CO, distinta de la notificación regulatoria del incidente, que es RS.CO. Tener y ensayar los planes cae en la mejora (ID.IM) y la redundancia preventiva en PR.IR; se agrupan aquí porque la iniciativa es el programa de continuidad entero, no solo el día del desastre.

Emana de

RD 43/2021, art. 6.2.g) · RDL art. 16.6 · categorización del curador, no de la norma
Medida

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Cómo se despliega Un proceso con dueño, integrado en compras y en jurídico: la seguridad participa antes de firmar y durante la vida del contrato, con una intensidad proporcional a la criticidad del servicio prestado.
Qué exige esta norma
  • Criterios de seguridad para seleccionar proveedores
Matiz de esta norma El deber de resolver alcanza a los incidentes que ocurren en sistemas del proveedor: el contrato tiene que dar visibilidad y capacidad de actuación sobre ellos aunque la norma no exija cláusulas de seguridad.
Categoría CSF 2.0 GV.SC · Gestión de riesgos de la cadena de suministro de seguridad cibernética

GV.SC entero, de la diligencia previa a la salida. Las dos exigencias documentales del CRA (comprobar papeles al incorporar o revender, y saber a quién se suministró) viven aquí porque son deberes de cadena, aunque quien las cumple mire al mercado y no a un contrato de servicio.

Emana de

RD 43/2021, art. 6.2.b) y e) · RDL art. 28.1 · categorización del curador, no de la norma
Medida

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Cómo se despliega La seguridad integrada en el flujo de construir y de comprar, con un criterio de aceptación explícito y un responsable de sostenerlo: su incumplimiento impide el paso a producción o la firma del contrato.
Qué exige esta norma
  • Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas
Matiz de esta norma El régimen español llega a la compra: criterios de seguridad al adquirir productos y servicios, y control de las interconexiones de sistemas, pero no prácticas de desarrollo seguro.
Categoría CSF 2.0 PR.PS · Seguridad de la plataforma
Emana de

RD 43/2021, art. 6.2.e) e i) · RDL art. 16.6 · categorización del curador, no de la norma
Medida

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Cómo se despliega Un cuadro de indicadores de seguridad revisado por el responsable y un registro de acciones correctoras con dueño y fecha, integrado en el ciclo de mejora del sistema de gestión.
Qué exige esta norma
  • Políticas y procedimientos para evaluar la eficacia de las medidas
  • Plan de acciones correctoras derivado de las evaluaciones, con dueño, plazo y verificación de que se han aplicado
Matiz de esta norma La eficacia hay que poder enseñarla: al operador esencial se le puede pedir la política y la evidencia de su aplicación efectiva.
Categoría CSF 2.0 ID.IM · Mejora
Emana de

RD 43/2021, art. 6.2.h) · RDL art. 16.6 · categorización del curador, no de la norma
Medida

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Cómo se despliega Un repositorio de evidencias al día, una relación estable con quien evalúa desde fuera y el calendario de la acreditación gestionado como un compromiso más del negocio. El dueño lo fija cada norma: el sistema de gestión de la organización, o quien responde del producto.
Qué exige esta norma
  • Auditoría o evaluación de la conformidad por un tercero independiente, con la periodicidad de la norma
  • Certificación o distintivo en un esquema reconocido, con validez temporal y renovación
Matiz de esta norma La auditoría la hace una entidad externa, solvente e independiente, y puede llegar sin indicio previo de incumplimiento. La certificación en un esquema de seguridad acredita el cumplimiento solo si la autoridad competente ha reconocido antes ese esquema.
Categoría CSF 2.0 GV.OC · Contexto organizativo

GV.OC recoge los requisitos legales y reglamentarios comprendidos y gestionados; la acreditación externa es su prueba oponible. La mejora que sale de esa auditoría no se queda aquí: va a evaluación de la eficacia (ID.IM). Aquí se demuestra; allí se corrige.

Emana de

RDL art. 32 · RD 43/2021, arts. 15 y 15.3 · categorización del curador, no de la norma
Medida

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Cómo se despliega Reglas pactadas con recursos humanos y escritas en los contratos, aplicadas igual al personal propio y al ajeno, con la entrada y la salida como momentos con procedimiento.
Qué exige esta norma
  • Seguridad de los recursos humanos
Categoría CSF 2.0 GV.RR · Funciones, responsabilidades y autoridades

CSF 2.0 sitúa las prácticas de personal en GV.RR; la concienciación va aparte, en PR.AT.

Emana de

RD 43/2021, art. 6.2.d) · categorización del curador, no de la norma
Medida

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Cómo se despliega Un procedimiento con responsables designados y suplentes, el asesor jurídico y comunicación dentro del circuito, y ensayos que comprueben si el procedimiento funciona bajo presión. Cada reloj arranca en un hecho distinto (conocer el incidente, clasificarlo o que ocurra), así que alguien declara ese momento y queda anotado; y un mismo incidente suele exigir varias notificaciones simultáneas, que deben ser coherentes entre sí.
Qué exige esta norma
  • Notificación de incidentes a la autoridad o al CSIRT en los plazos de la norma
Matiz de esta norma Dos relojes que no están donde se buscan: se notifica también por peligrosidad, sin daño todavía, y la intermedia y la final cuentan desde que se envió la inicial, no desde que se conoció el incidente.
Categoría CSF 2.0 RS.CO · Notificación y comunicación de la respuesta al incidente
Emana de

Arts. 19.1 y 22 · RD 43/2021, art. 9.1 y anexo, tabla 3 · categorización del curador, no de la norma
Medida

Catálogo de controles anclado a una referencia técnica

Elegir el catálogo de controles contra el que se declara el cumplimiento y dejar escrito cuál es. La norma remite al anexo II del Esquema Nacional de Seguridad de 2010, derogado en 2022, así que en la práctica se trabaja con las 73 medidas del ENS vigente o con un estándar internacional reconocido, y se documenta la equivalencia aplicada para poder defenderla ante la autoridad.

Qué exige esta norma
  • Catálogo de controles identificado y trazado a la referencia legal
  • Equivalencia documentada con el catálogo del ENS vigente o con el estándar elegido
Categoría CSF 2.0 GV.PO · Política
Emana de

RD 43/2021, art. 6.5 · RDL art. 16.6 · categorización del curador, no de la norma
Mapa NIST CSF · todo el detalle

Las obligaciones ciber de la norma, traducidas a medidas y organizadas por las funciones y categorías de NIST CSF 2.0 (traducción oficial al español, NIST CSWP 29). La asignación de categoría es juicio del curador; cada medida cita las obligaciones de las que emana.

Gobernar · GV

Clasificación y declaración de aplicabilidad ◆

La Declaración de Aplicabilidad va dentro de la política, firmada por el responsable de seguridad, remitida a la autoridad en seis meses y revisada al menos cada tres años.

GV.OC · RD 43/2021, art. 6.4
Conformidad y certificación ◆

La auditoría la hace una entidad externa, solvente e independiente, y puede llegar sin indicio previo de incumplimiento. La certificación en un esquema de seguridad acredita el cumplimiento solo si la autoridad competente ha reconocido antes ese esquema.

GV.OC · RDL art. 32 · RD 43/2021, arts. 15 y 15.3
Gestión de riesgos de seguridad ◆

El principio rector es la seguridad integral: del análisis sale un catálogo con medidas organizativas, tecnológicas y físicas, no solo controles TI.

GV.RM · Art. 16.1 · RD 43/2021, art. 6.2.a) y c)
Gobierno de la ciberseguridad ◆

La dirección aprueba la política y ahí termina su papel: el régimen español no le exige formarse ni le atribuye responsabilidad personal. Lo que sí exige es un responsable de seguridad comunicado a la autoridad e independiente de quien gestiona las redes y los sistemas.

GV.RR · RD 43/2021, arts. 6.2, 6.4 y 7 · RDL art. 16.3
Seguridad ligada al personal ◆

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

GV.RR · RD 43/2021, art. 6.2.d)
Cuerpo normativo de seguridad ◆

La política no se redacta libre: tiene diez contenidos mínimos tasados y lleva dentro la Declaración de Aplicabilidad, que es el documento que la autoridad supervisa.

GV.PO · RD 43/2021, arts. 6.2 y 6.4
Catálogo de controles anclado a una referencia técnica

Elegir el catálogo de controles contra el que se declara el cumplimiento y dejar escrito cuál es. La norma remite al anexo II del Esquema Nacional de Seguridad de 2010, derogado en 2022, así que en la práctica se trabaja con las 73 medidas del ENS vigente o con un estándar internacional reconocido, y se documenta la equivalencia aplicada para poder defenderla ante la autoridad.

GV.PO · RD 43/2021, art. 6.5 · RDL art. 16.6
Gobierno de la ciberseguridad ◆

La dirección aprueba la política y ahí termina su papel: el régimen español no le exige formarse ni le atribuye responsabilidad personal. Lo que sí exige es un responsable de seguridad comunicado a la autoridad e independiente de quien gestiona las redes y los sistemas.

GV.OV · RD 43/2021, arts. 6.2, 6.4 y 7 · RDL art. 16.3
Gestión de riesgos de terceros (TPRM) ◆

El deber de resolver alcanza a los incidentes que ocurren en sistemas del proveedor: el contrato tiene que dar visibilidad y capacidad de actuación sobre ellos aunque la norma no exija cláusulas de seguridad.

GV.SC · RD 43/2021, art. 6.2.b) y e) · RDL art. 28.1

Identificar · ID

Clasificación y declaración de aplicabilidad ◆

La Declaración de Aplicabilidad va dentro de la política, firmada por el responsable de seguridad, remitida a la autoridad en seis meses y revisada al menos cada tres años.

ID.AM · RD 43/2021, art. 6.4
Gestión de riesgos de seguridad ◆

El principio rector es la seguridad integral: del análisis sale un catálogo con medidas organizativas, tecnológicas y físicas, no solo controles TI.

ID.RA · Art. 16.1 · RD 43/2021, art. 6.2.a) y c)
Evaluación de la eficacia y mejora ◆

La eficacia hay que poder enseñarla: al operador esencial se le puede pedir la política y la evidencia de su aplicación efectiva.

ID.IM · RD 43/2021, art. 6.2.h) · RDL art. 16.6

Proteger · PR

Programa de concienciación y formación ◆

El anclaje es la profesionalidad del personal que la política tiene que cubrir, no un plan de formación tasado; el órgano de dirección queda fuera.

PR.AT · RD 43/2021, art. 6.2.d)
Adquisición y desarrollo seguros ◆

El régimen español llega a la compra: criterios de seguridad al adquirir productos y servicios, y control de las interconexiones de sistemas, pero no prácticas de desarrollo seguro.

PR.PS · RD 43/2021, art. 6.2.e) e i) · RDL art. 16.6

Detectar · DE

Monitorización y detección ◆

El registro de la actividad de los usuarios no es despliegue técnico sino contenido tasado de la política que la autoridad supervisa: va escrito dentro, no solo funcionando.

DE.CM · RD 43/2021, art. 6.2.f) y j)
Monitorización y detección ◆

El registro de la actividad de los usuarios no es despliegue técnico sino contenido tasado de la política que la autoridad supervisa: va escrito dentro, no solo funcionando.

DE.AE · RD 43/2021, art. 6.2.f) y j)

Responder · RS

Capacidad de respuesta a incidentes ◆

Se clasifica contra la taxonomía de la Instrucción nacional, que puntúa la peligrosidad del ataque antes que su impacto, y el proceso llega hasta la resolución, también cuando el incidente ocurre en sistemas de un proveedor.

RS.MA · RD 43/2021, art. 6.2.f) · RDL arts. 28.1 y 20.2
Capacidad de respuesta a incidentes ◆

Se clasifica contra la taxonomía de la Instrucción nacional, que puntúa la peligrosidad del ataque antes que su impacto, y el proceso llega hasta la resolución, también cuando el incidente ocurre en sistemas de un proveedor.

RS.AN · RD 43/2021, art. 6.2.f) · RDL arts. 28.1 y 20.2
Proceso de notificación regulatoria ◆

Dos relojes que no están donde se buscan: se notifica también por peligrosidad, sin daño todavía, y la intermedia y la final cuentan desde que se envió la inicial, no desde que se conoció el incidente.

RS.CO · Arts. 19.1 y 22 · RD 43/2021, art. 9.1 y anexo, tabla 3
Capacidad de respuesta a incidentes ◆

Se clasifica contra la taxonomía de la Instrucción nacional, que puntúa la peligrosidad del ataque antes que su impacto, y el proceso llega hasta la resolución, también cuando el incidente ocurre en sistemas de un proveedor.

RS.MI · RD 43/2021, art. 6.2.f) · RDL arts. 28.1 y 20.2

Recuperar · RC

Continuidad de negocio y gestión de crisis ◆

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

RC.RP · RD 43/2021, art. 6.2.g) · RDL art. 16.6
Continuidad de negocio y gestión de crisis ◆

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

RC.CO · RD 43/2021, art. 6.2.g) · RDL art. 16.6
Roles que reparte
Rol

Operador de servicios esenciales

Quien presta un servicio esencial que depende de redes y sistemas de información, en los sectores estratégicos del anexo de la Ley 8/2011. No se llega a serlo por cumplir un umbral, sino porque la Administración lo identifica: los órganos y procedimientos son los de esa ley, y la relación de operadores la aprueba la Comisión Nacional para la Protección de las Infraestructuras Críticas. A quien ya está designado operador crítico le basta con que se constate su dependencia de las redes y sistemas para prestar el servicio. No hay umbral de tamaño en ninguna parte de la norma, y la supervisión es previa: la autoridad puede pedir políticas, evidencia de su aplicación y una auditoría externa sin indicio previo de incumplimiento.

Arts. 2.1.a), 6.1, 6.2 y 32
Rol

Proveedor de servicios digitales

Quien presta uno de los tres servicios digitales tasados (mercados en línea, motores de búsqueda en línea y servicios de computación en nube) con sede social en España que constituya su establecimiento principal en la Unión, o que designe aquí a su representante. Entra por lo que hace, no por designación, y es el único sujeto que se da de alta él mismo: tiene tres meses para comunicar su actividad desde que la inicia. Las microempresas y pequeñas empresas quedan fuera, y ese es el único umbral de tamaño de toda la norma. Su régimen de medidas es más corto que el del operador esencial, y la supervisión solo llega cuando hay noticia de incumplimiento.

Arts. 2.1.b), 2.2.b), 2.3.b), 7 y 33.1
Qué implantar

Obligaciones por rol

Operador de servicios esencialesProveedor de servicios digitales
Art. 16.1 Ciber Medidas técnicas y de organización ✓✓
Art. 16.3 · RD 43/2021, art. 7 Ciber Responsable de la seguridad de la información ✓
RD 43/2021, art. 6.2 Ciber Política de seguridad con diez contenidos mínimos ✓
RD 43/2021, art. 6.4 Ciber Declaración de Aplicabilidad ✓
RD 43/2021, art. 6.5 Ciber Referencia técnica de las medidas ✓
RDL art. 16.6 Ciber Cinco medidas mínimas del proveedor digital ✓
Art. 19.1 · RD 43/2021, art. 9.1 Ciber Notificar los incidentes significativos ✓✓
Art. 19.1, párr. 2 · RD 43/2021, art. 9.1, párr. 2 Ciber Notificar también lo que aún no ha causado daño ✓
Art. 22 · RD 43/2021, anexo, tabla 3 Ciber Notificación en cascada y sus plazos ✓
Art. 28.1 Ciber Resolver el incidente ✓✓
Art. 20.2 Ciber No represaliar a quien informa ✓✓
Art. 31.1 Ciber Notificaciones voluntarias ✓✓
Art. 7 Ciber Comunicar la actividad al iniciarla ✓
RDL art. 32 · RD 43/2021, art. 15 Ciber Someterse a supervisión y a auditoría externa ✓✓
RD 43/2021, art. 15.3 Ciber Acreditación por certificación ✓✓