Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union
Date: 2016-07-06

num: Artículo 1
title: Objeto y ámbito de aplicación
paragraphs: 1. La presente Directiva establece medidas con el objeto de lograr un elevado nivel común de seguridad de las redes y sistemas de información dentro de la Unión a fin de mejorar el funcionamiento del mercado interior.
2. A tal fin, la presente Directiva:
a)
establece obligaciones para todos los Estados miembros de adoptar una estrategia nacional de seguridad de las redes y sistemas de información;
b)
crea un Grupo de cooperación para apoyar y facilitar la cooperación estratégica y el intercambio de información entre los Estados miembros y desarrollar la confianza y seguridad entre ellos;
c)
crea una red de equipos de respuesta a incidentes de seguridad informática (en lo sucesivo, «red de CSIRT», por sus siglas en inglés de «computer security incident response teams») con el fin de contribuir al desarrollo de la confianza y seguridad entre los Estados miembros y promover una cooperación operativa rápida y eficaz;
d)
establece requisitos en materia de seguridad y notificación para los operadores de servicios esenciales y para los proveedores de servicios digitales;
e)
establece obligaciones para que los Estados miembros designen autoridades nacionales competentes, puntos de contacto únicos y CSIRT con funciones relacionadas con la seguridad de las redes y sistemas de información.
3. Los requisitos de seguridad y notificación previstos en la presente Directiva no serán aplicables a las empresas que están sujetas a los requisitos de los artículos 13 bis y 13 ter de la Directiva 2002/21/CE ni a los proveedores de servicios de confianza sujetos a los requisitos del artículo 19 del Reglamento (UE) n.o 910/2014.
4. La presente Directiva se entenderá sin perjuicio de la Directiva 2008/114/CE del Consejo (14) y las Directivas 2011/93/UE (15) y 2013/40/UE (16) del Parlamento Europeo y del Consejo.
5. Sin perjuicio de lo dispuesto en el artículo 346 del TFUE, la información que se considere confidencial de acuerdo con las normas de la Unión y nacionales, como las normas sobre confidencialidad empresarial, se intercambiará con la Comisión y otras autoridades competentes únicamente cuando tal intercambio sea necesario a efectos de la aplicación de la presente Directiva. La información que se intercambie se limitará a aquella que resulte pertinente y proporcionada para la finalidad del intercambio. Dicho intercambio de información preservará la confidencialidad de esta y protegerá los intereses de seguridad y comerciales de los operadores de servicios esenciales y de los proveedores de servicios digitales.
6. La presente Directiva se entenderá sin perjuicio de las acciones emprendidas por los Estados miembros para salvaguardar sus funciones estatales esenciales, en particular para salvaguardar la seguridad nacional, incluidas las acciones que protejan la información cuya revelación los Estados miembros consideren contraria a los intereses esenciales de su seguridad, y para mantener el orden público, en particular para permitir la investigación, la detección y el enjuiciamiento de infracciones penales.
7. Se aplicará lo dispuesto en un acto jurídico sectorial de la Unión, cuando este requiera que los operadores de servicios esenciales o los proveedores de servicios digitales garanticen la seguridad de sus redes y sistemas de información o notifiquen incidentes, siempre que dichos requisitos tengan al menos un efecto equivalente al de las obligaciones establecidas en la presente Directiva.
num: Artículo 2
title: Tratamiento de datos personales
paragraphs: 1. El tratamiento de datos personales conforme a la presente Directiva se llevará a cabo de conformidad con la Directiva 95/46/CE.
2. El tratamiento de datos personales por las instituciones y los órganos de la Unión conforme a la presente Directiva se llevará a cabo de conformidad con el Reglamento (CE) n.o 45/2001.
num: Artículo 3
title: Armonización mínima
paragraphs: Sin perjuicio de lo dispuesto en el artículo 16, apartado 10, y de sus obligaciones en virtud del Derecho de la Unión, los Estados miembros podrán adoptar o mantener disposiciones con el objeto de alcanzar un mayor nivel de seguridad de las redes y sistemas de información.
num: Artículo 4
title: Definiciones
paragraphs: A los efectos de la presente Directiva, se entenderá por:
1) «redes y sistemas de información»:
a)
una red de comunicaciones electrónicas en el sentido del artículo 2, letra a), de la Directiva 2002/21/CE;
b)
todo dispositivo o grupo de dispositivos interconectados o relacionados entre sí en el que uno o varios de ellos realizan, mediante un programa, el tratamiento automático de datos digitales, o
c)
los datos digitales almacenados, tratados, recuperados o transmitidos mediante elementos contemplados en las letras a) y b) para su funcionamiento, utilización, protección y mantenimiento;
2) «seguridad de las redes y sistemas de información»: la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos;
3) «estrategia nacional de seguridad de las redes y sistemas de información»: un marco que proporciona prioridades y objetivos estratégicos de seguridad de las redes y sistemas de información a escala nacional;
4) «operador de servicios esenciales»: una entidad pública o privada de uno de los tipos que figuran en el anexo II, que reúna los criterios establecidos en el artículo 5, apartado 2;
5) «servicio digital»: un servicio en el sentido del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (17) que sea de uno de los tipos que figuran en el anexo III;
6) «proveedor de servicios digitales»: toda persona jurídica que preste un servicio digital;
7) «incidente»: todo hecho que tenga efectos adversos reales en la seguridad de las redes y sistemas de información;
8) «gestión de incidentes»: todos los procedimientos seguidos para detectar, analizar y limitar un incidente y responder ante este;
9) «riesgo»: toda circunstancia o hecho razonablemente identificable que tenga un posible efecto adverso en la seguridad de las redes y sistemas de información;
10) «representante»: toda persona física o jurídica establecida en la Unión que ha sido designada expresamente para actuar por cuenta de un proveedor de servicios digitales no establecido en la Unión, al que puede dirigirse una autoridad competente nacional o un CSIRT en sustitución del proveedor de servicios digitales, en lo que respecta a las obligaciones del proveedor de servicios digitales en virtud de la presente Directiva;
11) «norma»: una norma en el sentido del artículo 2, punto 1, del Reglamento (UE) n.o 1025/2012;
12) «especificación»: una especificación técnica en el sentido del artículo 2, punto 4, del Reglamento (UE) n.o 1025/2012;
13) «punto de intercambio de internet (»IXP«, por sus siglas en inglés de» internet exchange point«)»: una instalación de la red que permite interconectar más de dos sistemas autónomos independientes, principalmente para facilitar el intercambio de tráfico de internet; un IXP solo permite interconectar sistemas autónomos; un IXP no requiere que el tráfico de internet que pasa entre cualquier par de sistemas autónomos participantes pase por un tercer sistema autónomo, ni modifica ni interfiere de otra forma en dicho tráfico;
14) «servidor de sistema de nombres de dominio (»DNS«, por sus siglas en inglés de» domain name system«)»: un sistema de nombres de dominio distribuido jerárquicamente en una red que recibe consultas sobre nombres de dominio;
15) «proveedor de servicios de DNS»: una entidad que presta servicios de DNS en internet;
16) «registro de nombres de dominio de primer nivel»: una entidad que administra y dirige el registro de nombres de dominio de internet en un dominio específico de primer nivel;
17) «mercado en línea»: un servicio digital que permite a los consumidores o a los comerciantes, como se definen respectivamente en el artículo 4, apartado 1, letra a) y letra b), de la Directiva 2013/11/UE del Parlamento Europeo y del Consejo (18), celebrar contratos de compraventa o de servicios en línea con comerciantes, ya sea en el sitio web del mercado en línea o en un sitio web de un comerciante que utilice servicios informáticos proporcionados por el mercado en línea;
18) «motor de búsqueda en línea»: un servicio digital que permite a los usuarios hacer búsquedas de, en principio, todos los sitios web o de sitios web en una lengua en concreto mediante una consulta sobre un tema cualquiera en forma de palabra clave, frase u otro tipo de entrada, y que en respuesta muestra enlaces en los que puede encontrarse información relacionada con el contenido solicitado;
19) «servicio de computación en nube»: un servicio digital que hace posible el acceso a un conjunto modulable y elástico de recursos informáticos que se pueden compartir.
num: Artículo 5
title: Identificación de operadores de servicios esenciales
paragraphs: 1. A más tardar el 9 de noviembre de 2018, los Estados miembros identificarán a los operadores de servicios esenciales establecidos en su territorio para cada sector y subsector mencionados en el anexo II.
2. Los criterios para la identificación de operadores de servicios esenciales a que se refiere el artículo 4, punto 4, son los siguientes:
a)
una entidad presta un servicio esencial para el mantenimiento de actividades sociales o económicas cruciales;
b)
la prestación de dicho servicio depende de las redes y sistemas de información, y
c)
un incidente tendría efectos perturbadores significativos en la prestación de dicho servicio.
3. A efectos del apartado 1, cada Estado miembro establecerá una lista de los servicios mencionados en el apartado 2, letra a).
4. A efectos del apartado 1, cuando una entidad preste un servicio tal como se contempla en el apartado 2, letra a), en dos o más Estados miembros, estos se consultarán entre ellos. Dicha consulta tendrá lugar antes de que se adopte una decisión sobre la identificación.
5. Los Estados miembros revisarán con regularidad, y al menos cada dos años a partir del 9 de mayo de 2018, la lista de operadores de servicios esenciales identificados y la actualizarán cuando proceda.
6. La misión del Grupo de cooperación será, de conformidad con las funciones contempladas en el artículo 11, apoyar a los Estados miembros para que adopten un planteamiento coherente en el proceso de identificación de los operadores de servicios esenciales.
7. A efectos de la revisión a que se refiere el artículo 23, a más tardar el 9 de noviembre de 2018, y cada dos años a partir de entonces, los Estados miembros remitirán a la Comisión la información necesaria para que pueda evaluar la aplicación de la presente Directiva, en particular la coherencia de los planteamientos de los Estados miembros respecto a la identificación de los operadores de servicios esenciales. Dicha información deberá contener, como mínimo:
a)
las medidas nacionales que permitan identificar operadores de servicios esenciales;
b)
la lista de servicios contemplada en el apartado 3;
c)
el número de operadores de servicios esenciales identificados para cada uno de los sectores que figuran en el anexo II y una indicación de su importancia en relación con dicho sector;
d)
los umbrales, cuando existan, para determinar el nivel de suministro pertinente en función del número de usuarios que confían en ese servicio a que hace referencia el artículo 6, apartado 1, letra a), o la importancia de ese operador concreto de servicios esenciales a que hace referencia el artículo 6, apartado 1, letra f).
A fin de contribuir a que se aporte información comparable, la Comisión, teniendo en cuenta en la mayor medida posible el dictamen de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA), podrá adoptar directrices técnicas adecuadas sobre parámetros para la información contemplada en el presente apartado.
num: Artículo 6
title: Efecto perturbador significativo
paragraphs: 1. A la hora de determinar la importancia de un efecto perturbador tal como se indica en el artículo 5, apartado 2, letra c), los Estados miembros tendrán en cuenta al menos los siguientes factores intersectoriales:
a)
el número de usuarios que confían en los servicios prestados por la entidad de que se trate;
b)
la dependencia de otros sectores que figuran en el anexo II sobre el servicio prestado por esa entidad;
c)
la repercusión que podrían tener los incidentes, en términos de grado y duración, en las actividades económicas y sociales o en la seguridad pública;
d)
la cuota de mercado de la entidad;
e)
la extensión geográfica con respecto a la zona que podría verse afectada por un incidente;
f)
la importancia de la entidad para mantener un nivel suficiente del servicio, teniendo en cuenta la disponibilidad de alternativas para la prestación de ese servicio.
2. A fin de determinar si un incidente podría tener efectos perturbadores significativos, los Estados miembros también tendrán en cuenta factores específicos del sector, cuando proceda.
CAPÍTULO II
MARCOS NACIONALES DE SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACIÓN
num: Artículo 7
title: Estrategia nacional de seguridad de las redes y sistemas de información
paragraphs: 1. Cada Estado miembro adoptará una estrategia nacional de seguridad de las redes y sistemas de información que establezca los objetivos estratégicos y las medidas políticas y normativas adecuadas con objeto de alcanzar y mantener un elevado nivel de seguridad de las redes y sistemas de información y que cubra al menos los sectores que figuran en el anexo II y los servicios que figuran en el anexo III. La estrategia nacional de seguridad de las redes y sistemas de información abordará, en particular, las cuestiones siguientes:
a)
los objetivos y prioridades de la estrategia nacional de seguridad de las redes y sistemas de información;
b)
un marco de gobernanza para lograr los objetivos y las prioridades de la estrategia nacional de seguridad de las redes y sistemas de información, incluidas las funciones y responsabilidades de las instituciones públicas y de los demás agentes pertinentes;
c)
la identificación de medidas sobre preparación, respuesta y recuperación, incluida la cooperación entre los sectores público y privado;
d)
una indicación de los programas de educación, concienciación y formación relacionados con la estrategia nacional de seguridad de las redes y sistemas de información;
e)
una indicación de los programas de investigación y desarrollo relacionados con la estrategia nacional de seguridad de las redes y sistemas de información;
f)
un plan de evaluación de riesgos para identificar riesgos;
g)
una lista de los diversos agentes que participan en la ejecución de la estrategia de seguridad de las redes y sistemas de información.
2. Los Estados miembros podrán solicitar la asistencia de la ENISA a la hora de elaborar estrategias nacionales de seguridad de las redes y sistemas de información.
3. Los Estados miembros comunicarán sus estrategias nacionales de seguridad de las redes y sistemas de información a la Comisión en el plazo de tres meses a partir de su adopción. Al hacerlo, los Estados miembros podrán excluir elementos de la estrategia relacionados con la seguridad nacional.
num: Artículo 8
title: Autoridades nacionales competentes y punto de contacto único
paragraphs: 1. Cada Estado miembro designará una o más autoridades nacionales competentes en materia de seguridad de las redes y sistemas de información (en lo sucesivo, «autoridad competente») que cubra al menos los sectores que figuran en el anexo II y los servicios que figuran en el anexo III. Los Estados miembros podrán asignar esta función a una autoridad o autoridades existentes.
2. Las autoridades competentes supervisarán la aplicación de la presente Directiva a escala nacional.
3. Cada Estado miembro designará un punto de contacto único en materia de seguridad de las redes y sistemas de información (en lo sucesivo, «punto de contacto único»). Los Estados miembros podrán asignar esta función a una autoridad existente. Si un Estado miembro designa únicamente una autoridad competente, dicha autoridad también será el punto de contacto único.
4. El punto de contacto único ejercerá una función de enlace para garantizar la cooperación transfronteriza entre las autoridades de los Estados miembros y con las autoridades competentes en otros Estados miembros y con el Grupo de cooperación a que se refiere el artículo 11 y la red de CSIRT a que se refiere el artículo 12.
5. Los Estados miembros velarán por que las autoridades competentes y los puntos de contacto únicos dispongan de recursos adecuados para ejercer las funciones que les son asignadas de forma efectiva y eficiente y cumplir así los objetivos de la presente Directiva. Los Estados miembros garantizarán una cooperación efectiva, eficiente y segura de los representantes designados en el Grupo de cooperación
6. Las autoridades competentes y los puntos de contacto únicos, cuando proceda y de conformidad con el Derecho nacional, consultarán a las autoridades policiales nacionales competentes y a las autoridades nacionales responsables de la protección de datos y cooperarán con ellas.
7. Los Estados miembros notificarán sin dilación a la Comisión la autoridad competente y el punto de contacto único que hayan designado, sus funciones y cualquier cambio posterior que se introduzca. Los Estados miembros harán pública su designación de la autoridad competente y el punto de contacto único. La Comisión publicará la lista de puntos de contacto únicos designados.
num: Artículo 9
title: Equipos de respuesta a incidentes de seguridad informática (CSIRT)
paragraphs: 1. Cada Estado miembro designará uno o varios CSIRT que cumplan los requisitos establecidos en el anexo I, punto 1, que cubran al menos los sectores que figuran en el anexo II y los tipos de servicios digitales que figuran en el anexo III, responsables de la gestión de incidentes y riesgos de conformidad con un procedimiento claramente definido. Podrá crearse un CSIRT en el marco de una autoridad competente.
2. Los Estados miembros velarán por que los CSIRT designados dispongan de recursos adecuados para ejercer eficazmente sus funciones, tal como se establece en el anexo I, punto 2.
Los Estados miembros garantizarán una cooperación efectiva, eficiente y segura de sus CSIRT en la red de CSIRT a que hace referencia el artículo 12.
3. Los Estados miembros velarán por que sus CSIRT designados tengan acceso a una infraestructura de comunicación e información apropiada, segura y resiliente a escala nacional.
4. Los Estados miembros informarán a la Comisión del mandato y de los elementos principales del proceso de gestión de incidentes de sus CSIRT.
5. Los Estados miembros podrán solicitar la asistencia de la ENISA a la hora de crear CSIRT nacionales.
num: Artículo 10
title: Cooperación a escala nacional
paragraphs: 1. Cuando sean distintos, la autoridad competente, el punto de contacto único y los CSIRT del mismo Estado miembro cooperarán respecto al cumplimiento de las obligaciones establecidas en la presente Directiva.
2. Los Estados miembros velarán por que las autoridades competentes o los CSIRT reciban las notificaciones sobre incidentes presentadas en el marco de la presente Directiva. Cuando un Estado miembro decida que los CSIRT no recibirán notificaciones, se dará a estos últimos, en la medida necesaria para que cumplan sus funciones, el acceso a los datos sobre incidentes notificados por los operadores de servicios esenciales con arreglo al artículo 14, apartados 3 y 5, o por los proveedores de servicios digitales con arreglo al artículo 16, apartados 3 y 6.
3. Los Estados miembros velarán por que las autoridades competentes o los CSIRT informen a los puntos de contacto únicos sobre las notificaciones de incidentes presentadas en el marco de la presente Directiva.
A más tardar el 9 de agosto de 2018, y una vez al año a partir de entonces, el punto de contacto único presentará al Grupo de cooperación un informe resumido sobre las notificaciones recibidas, con mención del número de notificaciones y de la naturaleza de los incidentes notificados, así como de las acciones emprendidas de conformidad con el artículo 14, apartados 3 y 5, y el artículo 16, apartados 3 y 6.
CAPÍTULO III
COOPERACIÓN
num: Artículo 11
title: Grupo de cooperación
paragraphs: 1. Se establece un Grupo de cooperación a fin de apoyar y facilitar la cooperación estratégica y el intercambio de información entre los Estados miembros y desarrollar confianza y seguridad, y a fin de alcanzar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión.
El Grupo de cooperación ejercerá sus funciones con arreglo a los programas de trabajo bienales a que se refiere el apartado 3, párrafo segundo.
2. El Grupo de cooperación estará formado por representantes de los Estados miembros, la Comisión y la ENISA.
Cuando proceda, el Grupo de cooperación podrá invitar a representantes de los interesados pertinentes a que participen en su labor.
La Comisión se hará cargo de la secretaría.
3. El Grupo de cooperación ejercerá las siguientes funciones:
a)
proporcionar orientación estratégica para las actividades de la red de CSIRT establecida en virtud del artículo 12;
b)
intercambiar buenas prácticas cuando se intercambie información relativa a la notificación de incidentes tal como se contempla en el artículo 14, apartados 3 y 5, y en el artículo 16, apartados 3 y 6;
c)
intercambiar buenas prácticas entre los Estados miembros y, en colaboración con la ENISA, asistir a los Estados miembros en el desarrollo de capacidades para garantizar la seguridad de las redes y sistemas de información;
d)
discutir sobre las capacidades y la preparación de los Estados miembros, evaluar voluntariamente las estrategias nacionales de seguridad de las redes y sistemas de información y la eficacia de los CSIRT e identificar las buenas prácticas;
e)
intercambiar información y buenas prácticas sobre concienciación y formación;
f)
intercambiar información y buenas prácticas sobre investigación y desarrollo en materia seguridad de las redes y sistemas de información;
g)
cuando proceda, intercambiar experiencias sobre asuntos relativos a seguridad de las redes y sistemas de información con las instituciones, órganos y organismos de la Unión competentes;
h)
discutir sobre las normas y especificaciones a que hace referencia el artículo 19 con los representantes de los organismos europeos de normalización pertinentes;
i)
recopilar información de buenas prácticas sobre los riesgos e incidentes que afecten a las redes y sistemas de información;
j)
examinar anualmente los informes resumidos que menciona el artículo 10, apartado 3, párrafo segundo;
k)
discutir sobre el trabajo emprendido con respecto a ejercicios relativos a la seguridad de las redes y sistemas de información, programas educativos y formación, incluido el trabajo realizado por la ENISA;
l)
con la asistencia de la ENISA, intercambiar buenas prácticas con respecto a la identificación de operadores de servicios esenciales por parte de los Estados miembros, en particular en relación con las dependencias transfronterizas, en lo que atañe a riesgos e incidentes;
m)
discutir sobre las modalidades para informar sobre notificaciones de incidentes tal como se contempla en los artículos 14 y 16;
A más tardar el 9 de febrero de 2018, y cada dos años a partir de entonces, el Grupo de cooperación establecerá un programa de trabajo sobre las acciones que deben emprenderse para realizar sus objetivos y funciones, que serán coherentes con los objetivos de la presente Directiva.
4. A efectos de la revisión a que se refiere el artículo 23, a más tardar el 9 de agosto de 2018, y cada año y medio a partir de entonces, el Grupo de cooperación elaborará un informe para valorar la experiencia adquirida con la cooperación estratégica contemplada en el presente artículo.
5. La Comisión adoptará actos de ejecución para establecer las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 22, apartado 2.
A efectos del párrafo primero, la Comisión presentará al Comité el primer proyecto de acto de ejecución a que se refiere el artículo 22, apartado 1, a más tardar el 9 de febrero de 2017.
num: Artículo 12
title: Red de CSIRT
paragraphs: 1. A fin de contribuir a desarrollar la confianza y la seguridad entre los Estados miembros y promover una cooperación operativa rápida y eficaz, se establece una red de CSIRT nacionales.
2. La red de CSIRT estará formada por representantes de los CSIRT de los Estados miembros. La Comisión participará en la red de CSIRT en calidad de observador. La ENISA se hará cargo de la secretaría y apoyará activamente la cooperación entre los CSIRT.
3. La red de CSIRT desempeñará los siguientes cometidos:
a)
intercambiar información sobre servicios, operaciones y capacidades de cooperación de los CSIRT;
b)
a instancias de un representante de un CSIRT de un Estado miembro que pueda verse afectado por un incidente, intercambiar y discutir sobre información sensible de carácter no comercial relacionada con ese incidente y los riesgos asociados; no obstante, todo Estado miembro podrá negarse a contribuir a dicha discusión si existe riesgo de perjuicio para la investigación del incidente;
c)
intercambiar y proporcionar voluntariamente información no confidencial sobre incidentes concretos;
d)
a instancias de un representante de un CSIRT de un Estado miembro, discutir y, cuando sea posible, determinar una respuesta coordinada a un incidente que se haya identificado dentro del ámbito de competencias de ese Estado miembro;
e)
prestar apoyo a los Estados miembros a la hora de abordar los incidentes transfronterizos sobre la base de su asistencia mutua voluntaria;
f)
discutir, explorar e identificar más formas de cooperación operativa, incluidas las relacionadas con:
i)
categorías de riesgos e incidentes,
ii)
alertas tempranas,
iii)
asistencia mutua,
iv)
principios y modalidades de coordinación, cuando los Estados miembros respondan ante incidentes y riesgos transfronterizos de seguridad de las redes y sistemas de información;
g)
informar al Grupo de cooperación sobre sus actividades y sobre las formas adicionales de cooperación operativa sobre las que se haya discutido conforme a la letra f), y solicitar directrices a este respecto;
h)
discutir sobre la experiencia adquirida a partir de los ejercicios relativos a la seguridad de las redes y sistemas de información, entre ellas las organizadas por la ENISA;
i)
a instancias de un CSIRT determinado, analizar las capacidades y la preparación de ese mismo CSIRT;
j)
publicar directrices para facilitar la convergencia de prácticas operativas con respecto a la aplicación de lo dispuesto en el presente artículo en lo que atañe a la cooperación operativa.
4. A efectos de la revisión que contempla el artículo 23, a más tardar el 9 de agosto de 2018, y cada año y medio a partir de entonces, la red de CSIRT elaborará un informe en el que se examine la experiencia adquirida a través de la cooperación operativa, en particular las conclusiones y recomendaciones, practicada con arreglo al presente artículo. Dicho informe también se enviará al Grupo de cooperación.
5. La red de CSIRT establecerá su reglamento interno.
num: Artículo 13
title: Cooperación internacional
paragraphs: La Unión podrá celebrar, de conformidad con el artículo 218 del TFUE, acuerdos internacionales con terceros países u organizaciones internacionales que hagan posible y organicen su participación en algunas actividades del Grupo de cooperación. En tales acuerdos se tendrá en cuenta la necesidad de garantizar una protección de datos adecuada.
CAPÍTULO IV
SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACIÓN DE LOS OPERADORES DE SERVICIOS ESENCIALES
num: Artículo 14
title: Requisitos en materia de seguridad y notificación de incidentes
paragraphs: 1. Los Estados miembros velarán por que los operadores de servicios esenciales tomen las medidas técnicas y de organización adecuadas y proporcionadas para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información que utilizan en sus operaciones. Habida cuenta de la situación, dichas medidas garantizarán un nivel de seguridad de las redes y sistemas de información adecuado en relación con el riesgo planteado.
2. Los Estados miembros velarán por que los operadores de servicios esenciales tomen medidas adecuadas para prevenir y reducir al mínimo los efectos de los incidentes que afecten la seguridad de las redes y sistemas de información utilizados para la prestación de tales servicios esenciales con el objeto de garantizar su continuidad.
3. Los Estados miembros velarán por que los operadores de servicios esenciales notifiquen sin dilación indebida a la autoridad competente o al CSIRT los incidentes que tengan efectos significativos en la continuidad de los servicios esenciales que prestan. Las notificaciones incluirán información que permita a la autoridad competente o al CSIRT determinar cualquier efecto transfronterizo del incidente. La notificación no sujetará al notificante a una mayor responsabilidad.
4. A fin de determinar la importancia de los efectos de un incidente, se tendrán en cuenta, en particular, los siguientes parámetros:
a)
el número de usuarios afectados por la perturbación del servicio esencial;
b)
la duración del incidente;
c)
la extensión geográfica con respecto a la zona afectada por el incidente.
5. Sobre la base de la información proporcionada en la notificación por el operador de servicios esenciales, la autoridad competente o el CSIRT informará al otro u otros Estados miembros afectados acerca de si el incidente tiene efectos significativos en la continuidad de los servicios esenciales en dicho Estado miembro. Al hacerlo, la autoridad competente o el CSIRT, de conformidad con el Derecho de la Unión o con la legislación nacional acorde con el Derecho de la Unión, mantendrán la seguridad y los intereses comerciales del operador de servicios esenciales así como la confidencialidad de la información proporcionada en su notificación.
Cuando las circunstancias lo permitan, la autoridad competente o el CSIRT proporcionarán al operador de servicios esenciales notificante la información pertinente con respecto al seguimiento de la notificación de un incidente, por ejemplo la información que podría facilitar la gestión eficaz del incidente.
A instancias de la autoridad competente o del CSIRT, el punto de contacto único remitirá las notificaciones contempladas en el párrafo primero a los puntos de contacto únicos de otros Estados miembros afectados.
6. Después de consultar al operador de servicios esenciales notificante, la autoridad competente o el CSIRT podrán informar al público sobre determinados incidentes, cuando la concienciación pública sea necesaria para evitar un incidente o gestionar uno que ya se haya producido.
7. Las autoridades competentes que actúen juntas dentro del Grupo de cooperación podrán elaborar y adoptar directrices relativas a las circunstancias en las que se exija a los operadores de servicios esenciales que notifiquen incidentes, en particular sobre los parámetros para determinar la importancia de los efectos de un incidente a que se refiere el apartado 4.
num: Artículo 15
title: Aplicación y observancia
paragraphs: 1. Los Estados miembros velarán por que las autoridades competentes dispongan de las competencias y los medios necesarios para evaluar el cumplimiento por los operadores de servicios esenciales de las obligaciones que les impone el artículo 14 y los efectos que tengan sobre la seguridad de las redes y sistemas de información.
2. Los Estados miembros velarán por que la autoridad competente disponga de las competencias y los medios para exigir a los operadores de servicios esenciales que proporcionen:
a)
la información necesaria para evaluar la seguridad de sus redes y sistemas de información, incluida la documentación sobre las políticas de seguridad;
b)
pruebas de la aplicación efectiva de las políticas de seguridad, como el resultado de las auditorías de seguridad realizadas por la autoridad competente o por un auditor cualificado y, en este último caso, que pongan a disposición de la autoridad competente el resultado de dicha auditoría y, en particular, las pruebas subyacentes.
Al exigir dicha información o pruebas, las autoridades competentes indicarán la finalidad de su petición y especificarán la información exigida.
3. Tras la evaluación de la información o del resultado de las auditorías de seguridad a que se refiere el apartado 2, la autoridad competente podrá impartir instrucciones vinculantes a los operadores de servicios esenciales para subsanar las deficiencias detectadas.
4. La autoridad competente cooperará estrechamente con las autoridades responsables de la protección de datos a la hora de hacer frente a incidentes que den lugar a violaciones de datos personales.
CAPÍTULO V
SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACIÓN DE LOS PROVEEDORES DE SERVICIOS DIGITALES
num: Artículo 16
title: Requisitos en materia de seguridad y notificación de incidentes
paragraphs: 1. Los Estados miembros velarán por que los proveedores de servicios digitales determinen y adopten medidas técnicas y organizativas adecuadas y proporcionadas para gestionar los riesgos existentes para la seguridad de las redes y sistemas de información que se utilizan en el marco de la oferta de servicios en la Unión a que se refiere el anexo III. Habida cuenta de los avances técnicos, dichas medidas garantizarán un nivel de seguridad de las redes y los sistemas de información adecuado en relación con el riesgo planteado, y tendrán en cuenta lo siguiente:
a)
la seguridad de los sistemas e instalaciones;
b)
la gestión de incidentes;
c)
la gestión de la continuidad de las actividades;
d)
la supervisión, auditorías y pruebas;
e)
el cumplimiento de las normas internacionales.
2. Los Estados miembros velarán por que los proveedores de servicios digitales adopten medidas para prevenir y reducir al mínimo el impacto de los incidentes que afectan a la seguridad de sus redes y sistemas de información en los servicios a que se refiere el anexo III que se ofrecen en la Unión, a fin de garantizar la continuidad de dichos servicios.
3. Los Estados miembros velarán por que los proveedores de servicios digitales notifiquen sin dilación indebida a la autoridad competente o al CSIRT cualquier incidente que tenga un impacto significativo en la prestación de uno de los servicios a que se refiere el anexo III que ellos ofrezcan en la Unión. Las notificaciones incluirán la información necesaria para que la autoridad competente o el CSIRT puedan determinar la importancia de cualquier impacto transfronterizo. La notificación no sujetará al notificante a una mayor responsabilidad.
4. Para determinar si el impacto de un incidente es significativo se tendrán en cuenta, en particular, los siguientes parámetros:
a)
el número de usuarios afectados por el incidente, en particular los usuarios que dependen del servicio para la prestación de sus propios servicios;
b)
la duración del incidente;
c)
la extensión geográfica con respecto a la zona afectada por el incidente;
d)
el grado de perturbación del funcionamiento del servicio;
e)
el alcance del impacto sobre las actividades económicas y sociales.
La obligación de la notificación del incidente únicamente se aplicará cuando el proveedor de servicios digitales tenga acceso a la información necesaria para valorar el impacto de un incidente en función de los parámetros que se indican en el párrafo primero.
5. Cuando un operador de servicios esenciales dependa de un proveedor tercero de servicios digitales para la prestación de un servicio que es esencial para el mantenimiento de actividades sociales y económicas fundamentales, dicho operador notificará cualquier efecto significativo en la continuidad de los servicios esenciales causado por un incidente que afecte al proveedor de servicios digitales.
6. Cuando proceda, y en particular si el incidente mencionado en el apartado 3 afecta a dos o varios Estados miembros, la autoridad o el CSIRT al que se haya notificado el incidente informará del mismo a los demás Estados miembros afectados. Al hacerlo, las autoridades competentes, el CSIRT y los puntos de contacto únicos preservarán, de conformidad con el Derecho de la Unión o de la legislación nacional acorde con el Derecho de la Unión, la seguridad y los intereses comerciales del proveedor de servicios digitales así como la confidencialidad de la información facilitada.
7. Tras consultar al proveedor de servicios digitales afectado, la autoridad competente o el CSIRT al que se le haya notificado el incidente y, en su caso, las autoridades o el CSIRT de los demás Estados miembros afectados, podrán informar al público de determinados incidentes o exigir al proveedor de servicios digitales que lo haga, cuando el conocimiento del público sea necesario para evitar un incidente o hacer frente a un incidente en curso, o cuando la divulgación de un incidente redunde en interés público.
8. La Comisión adoptará actos de ejecución en los que se especifiquen más los elementos a que se refiere el apartado 1 y los parámetros enumerados en el apartado 4 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 22, apartado 2, a más tardar el 9 de agosto de 2017.
9. La Comisión podrá adoptar actos de ejecución por los que se establezcan los formatos y procedimientos aplicables a los requisitos de notificación. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 22, apartado 2.
10. Sin perjuicio de lo dispuesto en el artículo 1, apartado 6, los Estados miembros no impondrán nuevos requisitos de seguridad o de notificación a los proveedores de servicios digitales.
11. El presente capítulo no se aplicará a las microempresas y pequeñas empresas tal como se definen en la Recomendación 2003/361/CE de la Comisión (19).
num: Artículo 17
title: Aplicación y observancia
paragraphs: 1. Los Estados miembros velarán por que las autoridades competentes adopten medidas, si fuera necesario, mediante actividades de supervisión a posteriori, cuando tengan pruebas de que un proveedor de servicios digitales no cumple los requisitos establecidos en el artículo 16. Dichas pruebas podrán ser presentadas por la autoridad competente de otro Estado miembro en el que se presta el servicio.
2. A efectos del apartado 1, las autoridades competentes contarán con las atribuciones y medios necesarios para exigir a los proveedores de servicios digitales que:
a)
proporcionen la información necesaria para evaluar la seguridad de sus redes y sistemas de información, incluida la documentación sobre las políticas de seguridad;
b)
subsanen cualquier incumplimiento de los requisitos establecidos en el artículo 16.
3. Si un proveedor de servicios digitales tiene su establecimiento principal o un representante en un Estado miembro, pero sus redes y sistemas de información en otro u otros Estados miembros, la autoridad competente del Estado miembro en el que se encuentre su establecimiento principal o el representante y las autoridades competentes de esos otros Estados miembros cooperarán entre sí y se asistirán mutuamente cuando sea necesario. Dicha asistencia y cooperación podrá abarcar el intercambio de información entre las autoridades competentes de que se trate y las peticiones de que se adopten las medidas de supervisión contempladas en el apartado 2.
num: Artículo 18
title: Jurisdicción y territorialidad
paragraphs: 1. A efectos de la presente Directiva, un proveedor de servicios digitales se considerará sometido a la jurisdicción del Estado miembro en el que se encuentre su establecimiento principal. Se considerará que un proveedor de servicios digitales tiene su establecimiento principal en un Estado miembro cuando su domicilio social se encuentre en ese Estado miembro.
2. Un proveedor de servicios digitales que no está establecido en la Unión, pero que ofrece servicios que figuran en el anexo III en la Unión, designará un representante en ella. El representante se establecerá en uno de aquellos Estados miembros en los que se ofrecen los servicios. Un proveedor de servicios digitales se considerará sometido a la jurisdicción del Estado miembro en el que se encuentre establecido su representante.
3. La designación de un representante por el proveedor de servicios digitales se entenderá sin perjuicio de las acciones legales que pudieran emprenderse contra el propio proveedor de servicios digitales.
CAPÍTULO VI
NORMALIZACIÓN Y NOTIFICACIÓN VOLUNTARIA
num: Artículo 19
title: Normalización
paragraphs: 1. A fin de promover una aplicación convergente de lo dispuesto en el artículo 14, apartados 1 y 2, y en el artículo 16, apartados 1 y 2, los Estados miembros fomentarán, sin imponer ni favorecer el uso de un tipo específico de tecnología, la utilización de normas y especificaciones aceptadas a nivel europeo o internacionalmente que sean pertinentes en materia de seguridad de las redes y sistemas de información.
2. La ENISA, en colaboración con los Estados miembros, elaborará directrices y orientaciones relativas a las áreas técnicas que deban examinarse en relación con el apartado 1, así como en relación con las normas ya existentes, en particular las normas nacionales de los Estados miembros que permitirían cubrir esas áreas.
num: Artículo 20
title: Notificación voluntaria
paragraphs: 1. Sin perjuicio de lo dispuesto en el artículo 3, las entidades que no hayan sido identificadas como operadores de servicios esenciales y no sean proveedores de servicios digitales podrán notificar voluntariamente los incidentes que tengan efectos significativos en la continuidad de los servicios que prestan.
2. Cuando tramiten las notificaciones, los Estados miembros actuarán de conformidad con el procedimiento establecido en el artículo 14. Los Estados miembros podrán dar prioridad a la tramitación de notificaciones obligatorias sobre las notificaciones voluntarias. Las notificaciones voluntarias se tramitarán únicamente cuando dicha tramitación no suponga una carga desproporcionada o indebida para los Estados miembros de que se trate.
La notificación voluntaria no dará lugar a la imposición a la entidad notificante de obligaciones a las que no estaría sujeta de no haberse producido dicha notificación.
CAPÍTULO VII
DISPOSICIONES FINALES
num: Artículo 21
title: Sanciones
paragraphs: Los Estados miembros establecerán el régimen de sanciones aplicables en caso de incumplimiento de las disposiciones nacionales aprobadas al amparo de la presente Directiva y adoptarán todas las medidas necesarias para garantizar su aplicación. Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán ese régimen y esas medidas a la Comisión, a más tardar el 9 de mayo de 2018, y le notificarán sin demora toda modificación posterior de las mismas.
num: Artículo 22
title: Procedimiento de comité
paragraphs: 1. La Comisión estará asistida por el Comité de Seguridad de las Redes y Sistemas de Información. Dicho Comité será un comité en el sentido del Reglamento (UE) n.o 182/2011.
2. En los casos en que se haga referencia al presente apartado, será de aplicación el artículo 5 del Reglamento (UE) n.o 182/2011.
num: Artículo 23
title: Revisión
paragraphs: 1. A más tardar el 9 de mayo de 2019, la Comisión presentará un informe al Parlamento Europeo y al Consejo en el que se examine la coherencia de los planteamientos adoptados por los Estados miembros respecto a la identificación de los operadores de servicios esenciales.
2. La Comisión revisará periódicamente el funcionamiento de la presente Directiva e informará al Parlamento Europeo y al Consejo. A tal efecto y con vistas a incrementar la cooperación estratégica y operativa, la Comisión tendrá en cuenta los informes del Grupo de cooperación y de la red de CSIRT sobre la experiencia adquirida a nivel estratégico y operativo. En su revisión, la Comisión también examinará las listas que figuran en los anexos II y III, así como la coherencia en la identificación de los operadores de servicios esenciales y de los servicios en los sectores que figuran en el anexo II. El primer informe se presentará a más tardar el 9 de mayo de 2021.
num: Artículo 24
title: Medidas transitorias
paragraphs: 1. Sin perjuicio del artículo 25 y con el fin de ofrecer a los Estados miembros oportunidades adicionales de cooperación durante el plazo de transposición, el Grupo de cooperación y la red de CSIRT empezarán a ejercer las funciones que se establecen en los artículos 11 apartado 3, y 12, apartado 3, respectivamente, a más tardar el 9 de febrero de 2017.
2. En el período comprendido entre el 9 de febrero de 2017 y el 9 de noviembre de 2018, y a efectos de ayudar a los Estados miembros a adoptar un planteamiento coherente en el proceso de identificación de los operadores de servicios esenciales, el Grupo de cooperación examinará el proceso, el contenido y el tipo de medidas nacionales que permitan la identificación de los operadores de servicios esenciales en un sector específico, de acuerdo con los criterios que figuran en los artículos 5 y 6. A petición de un Estado miembro, el Grupo de cooperación también examinará proyectos específicos nacionales de medidas de dicho Estado miembro, que permitan la identificación de los operadores de servicios esenciales en un sector específico, de acuerdo con los criterios que figuran en los artículos 5 y 6.
3. A más tardar el 9 de febrero de 2017, y a efectos del presente artículo, los Estados miembros harán lo necesario para estar convenientemente representados en el Grupo de cooperación y en la red de CSIRT.
num: Artículo 25
title: Transposición
paragraphs: 1. Los Estados miembros adoptarán y publicarán, a más tardar el 9 de mayo de 2018, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. Informarán de ello inmediatamente a la Comisión.
Aplicarán esas medidas a partir del 10 de mayo de 2018.
Cuando los Estados miembros adopten dichas disposiciones, estas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.
2. Los Estados miembros comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva.
num: Artículo 26
title: Entrada en vigor
paragraphs: La presente Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.