NIS2 en Polonia: ¿quién está cubierto por la nueva Ley KSC?

NIS2 es el marco de ciberseguridad de la UE establecido por la Directiva (UE) 2022/2555, que exige a los Estados miembros imponer obligaciones de gestión de riesgos, notificación de incidentes y gobernanza a las entidades que operan en sectores críticos y digitalmente relevantes.[1] En Polonia, estos requisitos deben aplicarse principalmente mediante una modificación de la Ley de 5 de julio de 2018 sobre el Sistema Nacional de Ciberseguridad, comúnmente denominada Ley KSC.[2]

Para las empresas, la cuestión clave no es si son empresas tecnológicas. NIS2 puede aplicarse a entidades de los sectores de la energía, la fabricación, el transporte, la sanidad, los servicios digitales, la administración pública, la gestión de residuos, la producción de alimentos y otros sectores identificados en la Directiva. Las normas polacas de aplicación determinarán la clasificación nacional definitiva, el proceso de registro y los mecanismos de ejecución.

Modificación de la Ley KSC: ¿cuál es la situación jurídica?

La Directiva NIS2 debía transponerse antes del 17 de octubre de 2024. Polonia no completó la aplicación dentro de ese plazo. Por tanto, la situación jurídica actual debe evaluarse a la luz de la legislación vigente, incluidas las disposiciones transitorias y los reglamentos de aplicación.

No obstante, la Directiva ya proporciona un marco fiable para identificar a las empresas que probablemente queden incluidas en su ámbito de aplicación. Las compañías no deben esperar a que finalice el proceso de registro polaco para revisar su gobernanza de ciberseguridad, los contratos con proveedores de TI, los procedimientos de respuesta a incidentes y la supervisión por parte de la dirección.

La normativa polaca puede incluir decisiones nacionales relativas a las definiciones sectoriales, las autoridades de supervisión, los plazos de registro y las sanciones. Por ello, una empresa que opere en Polonia debe verificar su posible inclusión en el ámbito de la Directiva y su situación conforme a la Ley KSC modificada.

Entidades esenciales e importantes en Polonia: la prueba principal de alcance

Por regla general, NIS2 cubre a entidades públicas y privadas que operan en los sectores enumerados en los anexos I y II de la Directiva, siempre que tengan la consideración de empresas medianas o superen dicho umbral. En la práctica, esto suele significar una entidad que emplea al menos a 50 personas o cuyo volumen de negocio anual o balance general anual supera los 10 millones de euros.[1]

Sin embargo, determinadas entidades están incluidas en NIS2 independientemente de su tamaño. Entre ellas se encuentran los proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público, los proveedores de servicios DNS, los registros de nombres de dominio de nivel superior y los proveedores cualificados de servicios de confianza. Los Estados miembros también pueden identificar determinadas entidades adicionales como entidades esenciales independientemente de su tamaño, en las circunstancias previstas por la Directiva.[1]

La Directiva distingue entre entidades esenciales y entidades importantes. Esta distinción es relevante porque las entidades esenciales pueden estar sujetas a supervisión proactiva, mientras que las entidades importantes, por regla general, son supervisadas tras la existencia de indicios de incumplimiento o después de un incidente.

Entidades que probablemente se clasifiquen como esenciales

Las entidades esenciales incluyen organizaciones medianas y grandes que operan en sectores de alta criticidad enumerados en el anexo I, entre ellos:

• energía, transporte, banca e infraestructuras de los mercados financieros;
• sanidad, agua potable y aguas residuales;
• infraestructura digital, incluidos los proveedores de computación en la nube, centros de datos, servicios gestionados y servicios de seguridad gestionados;
• gestión de servicios de TIC para proveedores de servicios entre empresas;
• administración pública a nivel de gobierno central; y
• entidades del sector espacial.

Los proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público, los proveedores de servicios DNS, los registros de nombres de dominio de nivel superior y los proveedores cualificados de servicios de confianza pueden entrar en la categoría de entidades esenciales independientemente de su tamaño. La clasificación definitiva en Polonia puede depender de las actividades de la entidad, la estructura del grupo, las licencias y las disposiciones detalladas de la Ley KSC modificada.

Entidades que probablemente se clasifiquen como importantes

Las entidades importantes suelen incluir empresas medianas y grandes de los sectores del anexo II. Entre ellas figuran los servicios postales y de mensajería, la gestión de residuos, la fabricación de determinados productos críticos, los productos químicos, la producción de alimentos, determinados proveedores digitales, las organizaciones de investigación y ciertos fabricantes de productos relacionados con la asistencia sanitaria.

La fabricación es especialmente relevante para los inversores internacionales. NIS2 puede abarcar a fabricantes de productos sanitarios, productos informáticos y electrónicos, equipos eléctricos, maquinaria, vehículos de motor y otros equipos de transporte. Una empresa puede estar cubierta aunque la ciberseguridad no sea su actividad comercial principal.

Exclusiones institucionales y basadas en la actividad del ámbito de NIS2

La Directiva no se aplica a los parlamentos ni a los bancos centrales de los Estados miembros.[1] Estas exclusiones institucionales no deben interpretarse de forma amplia para eximir a entidades comerciales que trabajen con tales instituciones.

Asimismo, NIS2 no se aplica a las entidades de la administración pública que desarrollen actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la aplicación de la ley, incluida la prevención, investigación, detección y enjuiciamiento de infracciones penales. Que una actividad esté incluida en estas exclusiones depende de su función real, y no únicamente de la identidad de un accionista, cliente o autoridad contratante. Un proveedor privado del sector público no queda excluido automáticamente.

Plazo de registro NIS2 en Polonia y notificación de incidentes a CSIRT Polonia

La Directiva exigía a los Estados miembros establecer una lista de entidades esenciales e importantes antes del 17 de abril de 2025.[1] Sin embargo, no fija un plazo universal único para que todas las empresas presenten la información de registro. El plazo y el procedimiento aplicables derivan de la legislación polaca de aplicación y pueden variar según la categoría de la entidad. Las empresas que puedan estar cubiertas deben preparar los datos necesarios para el registro, incluidos los datos corporativos, la información sectorial, los servicios esenciales, las personas de contacto y la infraestructura digital relevante.

Para los incidentes significativos, NIS2 establece un modelo de notificación estricto. Una entidad debe presentar una alerta temprana en un plazo de 24 horas desde que tenga conocimiento de un incidente significativo, una notificación de incidente en un plazo de 72 horas y un informe final a más tardar un mes después de presentar la notificación del incidente.[1] Cuando la gestión del incidente siga en curso, la entidad deberá proporcionar en su lugar un informe de situación y presentar el informe final en el plazo de un mes desde la gestión del incidente. El régimen polaco determina el canal de notificación específico y la autoridad competente.

Con arreglo al marco KSC existente, el sistema nacional CSIRT de Polonia incluye CSIRT NASK, CSIRT GOV y CSIRT MON.[2] La vía correcta para notificar un incidente depende del tipo de entidad, del incidente y de la asignación legal definitiva de las responsabilidades de supervisión.

Obligaciones de ciberseguridad y responsabilidad del consejo de administración

El artículo 21 de NIS2 exige a las entidades incluidas aplicar medidas técnicas, operativas y organizativas de ciberseguridad proporcionadas. Estas medidas incluyen el análisis de riesgos, la gestión de incidentes, la continuidad de negocio, la seguridad de la cadena de suministro, la gestión de vulnerabilidades, el control de acceso, el cifrado cuando proceda, la formación del personal y la evaluación de la eficacia de la ciberseguridad.[1]

El artículo 20 exige a los órganos de dirección aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad, así como recibir formación que les permita identificar los riesgos de ciberseguridad.[1] Se trata de una obligación de gobernanza, no únicamente de una tarea del departamento de TI.

Las obligaciones de ciberseguridad y la responsabilidad del consejo de administración deben evaluarse cuidadosamente conforme al Derecho societario y civil polaco. NIS2 exige a los Estados miembros garantizar que los órganos de dirección puedan ser considerados responsables de las infracciones cometidas por las entidades que gestionan, de acuerdo con la legislación nacional. No crea automáticamente responsabilidad penal personal para cada miembro del consejo tras un incidente. La responsabilidad puede surgir cuando los fallos de gestión incumplen obligaciones legales, causan daños, obstaculizan la actuación regulatoria o coinciden con delitos definidos en la legislación penal polaca. La evaluación siempre depende de los hechos concretos.

Multas NIS2 en Polonia y consecuencias empresariales

Con arreglo al artículo 34 de NIS2, los Estados miembros deben establecer multas administrativas de hasta al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial para las entidades esenciales, y de hasta al menos 7 millones de euros o el 1,4 % del volumen de negocio anual mundial para las entidades importantes, aplicándose el importe que sea mayor.[1] Las multas NIS2 definitivas en Polonia dependen de la modificación aprobada de la Ley KSC.

Las sanciones económicas son solo uno de los riesgos. Un fallo de ciberseguridad puede interrumpir las operaciones, generar reclamaciones contractuales, exponer datos confidenciales, retrasar transacciones y perjudicar la reputación de una empresa. Por tanto, un análisis temprano del ámbito de aplicación es una medida práctica de cumplimiento y continuidad empresarial.

Este material tiene carácter informativo y no constituye asesoramiento jurídico. Para una evaluación personalizada de la exposición a NIS2, la gobernanza corporativa y las obligaciones de la Ley KSC, contacte con Lawyersinpoland.com by Kopeć & Zaborowski.

FAQ – NIS2 en Polonia

¿NIS2 se aplica únicamente a las empresas de TI en Polonia?

No. NIS2 cubre una amplia variedad de sectores críticos e importantes, incluidos la energía, la sanidad, el transporte, la fabricación, los alimentos, la gestión de residuos y determinados servicios digitales.

¿Cuándo entrará en vigor la modificación de la Ley KSC?

La fecha de entrada en vigor depende de la legislación polaca aprobada y de sus disposiciones transitorias. Las empresas deben seguir el texto publicado en el Diario de Leyes, en lugar de basarse únicamente en los calendarios previstos en los proyectos normativos.

¿Cuál es el plazo de registro NIS2 en Polonia?

La Directiva exigía a los Estados miembros establecer listas de entidades esenciales e importantes antes del 17 de abril de 2025, pero no establece un plazo universal para que todas las empresas presenten información de registro. El plazo y el procedimiento de registro deben confirmarse conforme a la Ley KSC modificada y a las normas de aplicación.

¿Qué incidentes deben notificarse conforme a NIS2?

Deben notificarse los incidentes significativos. Son aquellos incidentes que han causado, o pueden causar, una perturbación operativa grave o pérdidas financieras para la entidad afectada, o que han afectado o pueden afectar a otras personas físicas o jurídicas al causar daños materiales o inmateriales considerables.

¿Puede un consejo de administración ser responsable de fallos de ciberseguridad?

Los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad. La responsabilidad personal conforme al Derecho polaco depende de los hechos, las obligaciones societarias aplicables, los daños, las conclusiones de los reguladores y cualquier posible elemento de Derecho penal.

¿Cuáles son las multas máximas de NIS2 en Polonia?

NIS2 exige a los Estados miembros establecer multas de hasta al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial para las entidades esenciales, y de 7 millones de euros o el 1,4 % del volumen de negocio anual mundial para las entidades importantes, aplicándose el importe que sea mayor. El régimen sancionador polaco definitivo se establece mediante la legislación nacional.

Bibliografía

[1] Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148, Diario Oficial de la Unión Europea L 333, 27 de diciembre de 2022, pp. 80-152.

[2] Ley de 5 de julio de 2018 sobre el Sistema Nacional de Ciberseguridad, texto consolidado: Diario de Leyes de 2024, partida 1077, con sus modificaciones.

[3] EUR-Lex, Directiva (UE) 2022/2555, incluidas las versiones consolidadas y en las lenguas oficiales del acto.