Source: http://noticias.juridicas.com/base_datos/Admin/579387-directiva-2016-1148-ue-de-6-jul-medidas-destinadas-a-garantizar-un-elevado.html
Timestamp: 2019-02-21 17:41:57
Document Index: 14747841

Matched Legal Cases: ['Artículo 2', 'Artículo 3', 'Artículo 5', 'Artículo 6', 'Artículo 7', 'Artículo 8', 'Artículo 9', 'Artículo 10', 'Artículo 11', 'Artículo 12', 'Artículo 14', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'Artículo 18', 'Artículo 20', 'Artículo 22', 'ARTÍCULO 4', 'ARTÍCULO 4', 'artículo 28', 'artículo 19', 'artículo 2', 'artículo 2', 'artículo 4', 'artículo 24', 'artículo 11', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 3', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 2', 'artículo 3', 'artículo 2', 'artículo 4', 'artículo 4', 'artículo 4', 'artículo 2', 'artículo 3', 'artículo 2']

Publicado en DOUEL núm. 194 de 19 de Julio de 2016
Artículo 2 Tratamiento de datos personales
Artículo 3 Armonización mínima
Artículo 5 Identificación de operadores de servicios esenciales
Artículo 6 Efecto perturbador significativo
Artículo 7 Estrategia nacional de seguridad de las redes y sistemas de información
Artículo 8 Autoridades nacionales competentes y punto de contacto único
Artículo 9 Equipos de respuesta a incidentes de seguridad informática (CSIRT)
Artículo 10 Cooperación a escala nacional
Artículo 11 Grupo de cooperación
Artículo 12 Red de CSIRT
Artículo 14 Requisitos en materia de seguridad y notificación de incidentes
Artículo 15 Aplicación y observancia
Artículo 16 Requisitos en materia de seguridad y notificación de incidentes
Artículo 17 Aplicación y observancia
Artículo 18 Jurisdicción y territorialidad
Artículo 20 Notificación voluntaria
Artículo 22 Procedimiento de comité
ANEXO I . REQUISITOS Y FUNCIONES DE LOS EQUIPOS DE RESPUESTA A INCIDENTES DE SEGURIDAD INFORMÁTICA (CSIRT)
ANEXO II . TIPOS DE ENTIDADES A EFECTOS DEL ARTÍCULO 4, PUNTO 4
ANEXO III . TIPOS DE SERVICIOS DIGITALES A EFECTOS DEL ARTÍCULO 4, PUNTO 5
(7) Para cubrir todos los incidentes y riesgos pertinentes, la presente Directiva debe aplicarse tanto a los operadores de servicios esenciales como a los proveedores de servicios digitales. Sin embargo, las obligaciones impuestas a los operadores de servicios esenciales y a los proveedores de servicios digitales no deben aplicarse a empresas que suministren redes públicas de comunicaciones o presten servicios de comunicaciones electrónicas disponibles para el público en el sentido de la Directiva 2002/21/CE del Parlamento Europeo y del Consejo (3) , que están sujetas a los requisitos específicos de seguridad e integridad establecidos en dicha Directiva, como tampoco a los prestadores de servicios de confianza definidos en el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo (4) , que están sujetos a los requisitos de seguridad establecidos en dicho Reglamento.
(14) Como ya observó el Banco Central Europeo en su dictamen de 25 de julio de 2014 (6) , la presente Directiva no afecta al régimen de supervisión de los sistemas de pago y liquidación del Eurosistema en virtud del Derecho de la Unión. Conviene que las autoridades responsables de esa supervisión intercambien experiencias sobre cuestiones relacionadas con la seguridad de las redes y sistemas de información con las autoridades competentes en virtud de la presente Directiva. Esta consideración se aplica asimismo a los miembros del Sistema Europeo de Bancos Centrales que no sean miembros de la zona Euro y que ejerzan esa supervisión de los sistemas de pago y liquidación sobre la base de disposiciones legales y reglamentarias nacionales.
(38) Las funciones del Grupo de cooperación y las de la ENISA son interdependientes y complementarias. En general, la ENISA debe ayudar al Grupo de cooperación en la ejecución de sus funciones, en consonancia con el objetivo de aquella, establecido en el Reglamento (UE) n.º 526/2013 del Parlamento Europeo y del Consejo (7) , a saber, ayudar a las instituciones, órganos y organismos de la Unión y a los Estados miembros a aplicar las políticas necesarias para cumplir los requisitos legales y reglamentarios relativos a la seguridad de las redes y de la información que figuran en actos jurídicos actuales y futuros de la Unión. En particular, la ENISA debe prestar asistencia en aquellos ámbitos que corresponden a sus propias funciones, enumeradas en el Reglamento (UE) n.º 526/2013, a saber, analizar las estrategias de la seguridad de las redes y los sistemas de información, apoyar la organización y realización de ejercicios relativos a la seguridad de las redes y sistemas de información a escala de la Unión e intercambiar información y buenas prácticas en materia de sensibilización y formación. La ENISA también debe participar en la elaboración de las directrices aplicables a los criterios sectoriales de determinación de la gravedad de las repercusiones de un incidente.
(66) La normalización de los requisitos en materia de seguridad es un proceso impulsado por el mercado. Al objeto de garantizar una aplicación convergente de las normas de seguridad, los Estados miembros han de fomentar el cumplimiento de normas específicas o la conformidad con ellas para así lograr un elevado nivel de seguridad de las redes y sistemas de información en la Unión. La ENISA debe prestar asistencia a los Estados miembros ofreciéndoles asesoramiento y directrices. A tal fin, podría ser útil elaborar normas armonizadas, de conformidad con el Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo (8) .
(68) A fin de garantizar condiciones uniformes de ejecución de la presente Directiva, deben conferirse a la Comisión competencias de ejecución para establecer, por una parte, las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperación y, por otra, los requisitos de seguridad y notificación aplicables a los proveedores de servicios digitales. Esas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo (9) . Al adoptar actos de ejecución relacionados con las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperación, la Comisión debe tener plenamente en cuenta el dictamen de la ENISA.
(72) El intercambio de información sobre riesgos e incidentes que ha de llevarse a cabo en el Grupo de cooperación y la red de los CSIRT, y el cumplimiento de la obligación de notificar los incidentes a las autoridades nacionales competentes o a los CSIRT, pueden hacer necesario el tratamiento de datos personales. Dicho tratamiento debe cumplir lo dispuesto en la Directiva 95/46/CE del Parlamento Europeo y del Consejo (10) y en el Reglamento (CE) n.º 45/2001 del Parlamento Europeo y del Consejo (11) . Al aplicar la presente Directiva, se debe aplicar, según corresponda, el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo (12) .
(73) El Supervisor Europeo de Protección de Datos, consultado de conformidad con el artículo 28, apartado 2, del Reglamento (CE) n.º 45/2001, emitió un dictamen el 14 de junio de 2013 (13) .
3. Los requisitos de seguridad y notificación previstos en la presente Directiva no serán aplicables a las empresas que están sujetas a los requisitos de los artículos 13 bis y 13 ter de la Directiva 2002/21/CE ni a los proveedores de servicios de confianza sujetos a los requisitos del artículo 19 del Reglamento (UE) n.º 910/2014.
Véase Acuerdo entre el Parlamento Europeo, el Consejo Europeo, el Consejo de la Unión Europea, la Comisión Europea, el Tribunal de Justicia de la Unión Europea, el Banco Central Europeo, el Tribunal de Cuentas Europeo, el Servicio Europeo de Acción Exterior, el Comité Económico y Social Europeo, el Comité Europeo de las Regiones y el Banco Europeo de Inversiones sobre la organización y el funcionamiento del Equipo de Respuesta a Emergencias Informáticas de las instituciones, órganos y organismos de la UE (CERT-UE) («D.O.U.E.C.» 13 enero 2018).
2. El tratamiento de datos personales por las instituciones y los órganos de la Unión conforme a la presente Directiva se llevará a cabo de conformidad con el Reglamento (CE) n.º 45/2001.
11) «norma»: una norma en el sentido del artículo 2, punto 1, del Reglamento (UE) n.º 1025/2012;
12) «especificación»: una especificación técnica en el sentido del artículo 2, punto 4, del Reglamento (UE) n.º 1025/2012;
17) «mercado en línea»: un servicio digital que permite a los consumidores o a los comerciantes, como se definen respectivamente en el artículo 4, apartado 1, letra a) y letra b), de la Directiva 2013/11/UE del Parlamento Europeo y del Consejo (18) , celebrar contratos de compraventa o de servicios en línea con comerciantes, ya sea en el sitio web del mercado en línea o en un sitio web de un comerciante que utilice servicios informáticos proporcionados por el mercado en línea;
El Grupo de cooperación y la red de CSIRT empezarán a ejercer las funciones que se establecen en los artículos 11 apartado 3, y 12, apartado 3, respectivamente, a más tardar el 9 de febrero de 2017, conforme establece el artículo 24 de la presente Directiva.
Véase Decisión de Ejecución (UE) 2017/179 de la Comisión, de 1 de febrero de 2017, por la que se establecen las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperación a que se refiere el artículo 11, apartado 5, de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión («D.O.U.E.L.» 2 febrero).
Véase Reglamento de Ejecución (UE) 2018/151 de la Comisión, de 30 de enero de 2018, por el que se establecen normas para la aplicación de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo en lo que respecta a la especificación de los elementos que han de tener en cuenta los proveedores de servicios digitales para gestionar los riesgos existentes para la seguridad de las redes y sistemas de información, así como de los parámetros para determinar si un incidente tiene un impacto significativo («D.O.U.E.L.» 31 enero).
11. El presente capítulo no se aplicará a las microempresas y pequeñas empresas tal como se definen en la Recomendación 2003/361/CE de la Comisión (19) .
1. La Comisión estará asistida por el Comité de Seguridad de las Redes y Sistemas de Información. Dicho Comité será un comité en el sentido del Reglamento (UE) n.º 182/2011.
Véase, respecto a la incorporación del Derecho de la Unión Europea, la disposición final segunda del R.D.-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información («B.O.E.» 8 septiembre).
Sector Subsector Tipo de entidad
1.-Energía a)-Electricidad —-Empresas eléctricas, tal como se definen en el artículo 2, punto 35, de la Directiva 2009/72/CE del Parlamento Europeo y del Consejo (20) , que efectúa la función de «suministro», tal como se define en el artículo 2, punto 19, de dicha Directiva.
—-Gestores de la red de distribución, tal como se definen en el artículo 2, punto 6, de la Directiva 2009/72/CE.
—-Gestores de la red de transporte, tal como se definen en el artículo 2, punto 4, de la Directiva 2009/72/CE.
b)-Crudo —-Operadores de oleoductos de transporte de crudo.
—-Operadores de producción de crudo, instalaciones de refinado y tratamiento, almacenamiento y transporte.
c)-Gas —-Empresas suministradoras, tal como se definen en el artículo 2, punto 8, de la Directiva 2009/73/CE del Parlamento Europeo y del Consejo (21) .
—-Gestores de la red de distribución, tal como se definen en el artículo 2, punto 6, de la Directiva 2009/73/CE.
—-Gestores de la red de transporte, tal como se definen en el artículo 2, punto 4, de la Directiva 2009/73/CE.
—-Gestores de almacenamiento, tal como se definen en el artículo 2, punto 10, de la Directiva 2009/73/CE.
—-Gestores de la red de GNL, tal como se definen en el artículo 2, punto 12, de la Directiva 2009/73/CE.
—-Compañías de gas natural, tal como se definen en el artículo 2, punto 1, de la Directiva 2009/73/CE.
—-Gestores de las instalaciones de refinado y tratamiento de gas natural.
2.-Transporte a)-Transporte aéreo —-Compañías aéreas, tal como se definen en el artículo 3, punto 4, del Reglamento (CE) n.º 300/2008 del Parlamento Europeo y del Consejo (22) .
—-Entidades gestoras de los aeropuertos, tal como se definen en el artículo 2, punto 2, de la Directiva 2009/12/CE del Parlamento Europeo y del Consejo (23) , aeropuertos, tal como se definen en el artículo 2, punto 1, de dicha Directiva, incluidos los aeropuertos de la red básica enumerados en la sección 2 del anexo II del Reglamento (UE) n.º 1315/2013 del Parlamento Europeo y del Consejo (24) , y entidades que gestionan instalaciones auxiliares que comprenden los aeropuertos.
—-Operadores de control de la gestión del tráfico que prestan el servicio de control del tránsito aéreo, tal como se definen en el artículo 2, punto 1, del Reglamento (CE) n.º 549/2004 del Parlamento Europeo y del Consejo (25) .
b)-Transporte por ferrocarril —-Administradores de infraestructuras, tal como se definen en el artículo 3, punto 2, de la Directiva 2012/34/UE del Parlamento Europeo y del Consejo (26) .
—-Empresas ferroviarias, tal como se definen en el artículo 3, punto 1, de la Directiva 2012/34/UE, incluidos los explotadores de las instalaciones de servicio, tal como se definen en el artículo 3, punto 12, de la Directiva 2012/34/UE.
c)-Transporte marítimo y fluvial —-Empresas de transporte marítimo, fluvial y de cabotaje, tanto de pasajeros y como de mercancías, tal como se definen para el transporte marítimo en el anexo I del Reglamento (CE) n.º 725/2004 del Parlamento Europeo y del Consejo (27) , sin incluir los buques particulares explotados por esas empresas.
—-Organismos gestores de los puertos, tal como se definen en el artículo 3, punto 1, de la Directiva 2005/65/CE del Parlamento Europeo y del Consejo (28) , incluidas sus instalaciones portuarias, tal como se definen en el artículo 2, punto 11, del Reglamento (CE) n.º 725/2004 y las entidades que operan con las obras y equipos que se encuentran en los puertos.
—-Operadores de servicios de tráfico de buques, tal como se definen en el artículo 3, letra o), de la Directiva 2002/59/CE del Parlamento Europeo y del Consejo (29) .
d)-Transporte por carretera —-Autoridades viarias, tal como se definen en el artículo 2, punto 12, del Reglamento Delegado (UE) 2015/962 de la Comisión (30) , responsables del control de la gestión del tráfico.
—-Operadores de los sistemas de transporte inteligentes, tal como se definen en el artículo 4, punto 1, de la Directiva 2010/40/UE del Parlamento Europeo y del Consejo (31) .
3.-Banca Entidades de crédito, tal como se definen en el artículo 4, punto 1, del Reglamento (UE) n.º 575/2013 del Parlamento Europeo y del Consejo (32) .
4.-Infraestructuras de los mercados financieros —-Gestores de centros de negociación, tal como se definen en el artículo 4, punto 24, de la Directiva 2014/65/UE del Parlamento Europeo y del Consejo (33) .
—-Entidades de contrapartida central (CCP), tal como se definen en el artículo 2, punto 1, del Reglamento (UE) n.º 648/2012 del Parlamento Europeo y del Consejo (34) .
5.-Sector sanitario Entornos de asistencia sanitaria (entre ellos hospitales y clínicas privadas) Prestadores de asistencia sanitaria, tal como se definen en el artículo 3, letra g), de la Directiva 2011/24/UE del Parlamento Europeo y del Consejo (35) .
6.-Suministro y distribución de agua potable Suministradores y distribuidores de aguas destinadas al consumo humano, tal como se definen en el artículo 2, punto 1, letra a), de la Directiva 98/83/CE del Consejo (36) , pero sin incluir a los distribuidores para los que la distribución de aguas destinadas al consumo humano constituye solo una parte de su actividad general de distribución de otros bienes y productos básicos que no se consideran servicios esenciales.
7.-Infraestructura digital —-IXP.
—-Proveedores de servicios del DNS.
—-Registros de nombres de dominio de primer nivel.
Posición del Parlamento Europeo de 13 de marzo de 2014 (pendiente de publicación en el Diario Oficial) y Posición del Consejo en primera lectura de 17 de mayo de 2016 (pendiente de publicación en el Diario Oficial). Posición del Parlamento Europeo de 6 de julio de 2016 (pendiente de publicación en el Diario Oficial).
DO C 352 de 7.10.2014, p. 4.
DO C 32 de 4.2.2014, p. 19.
Directiva 2009/12/CE del Parlamento Europeo y del Consejo, de 11 de marzo de 2009, relativa a las tasas aeroportuarias (DO L 70 de 14.3.2009, p. 11).
Reglamento (CE) n.º 725/2004 del Parlamento Europeo y del Consejo, de 31 de marzo de 2004, relativo a la mejora de la protección de los buques y las instalaciones portuarias (DO L 129 de 29.4.2004, p. 6).
Reglamento (UE) n.º 575/2013 del Parlamento Europeo y del Consejo, de 26 de junio de 2013, sobre los requisitos prudenciales de las entidades de crédito y empresas de inversión, y por el que se modifica el Reglamento (UE) n.º 648/2012 (DO L 176 de 27.6.2013 p. 1).