¿Infraestructura crítica o NIS2?

Por qué se trata de dos leyes y no de dos variantes de un mismo régimen

La Ley de Ciberseguridad regula los derechos y obligaciones de las personas en la garantía de la ciberseguridad y las competencias de la Oficina Nacional de Seguridad Cibernética e Información (Národní úřad pro kybernetickou a informační bezpečnost), y se aplica a las personas establecidas en la República Checa (artículo 1 de la Ley de Ciberseguridad). Se centra en la seguridad de la información, las redes y los sistemas, es decir, en garantizar que la tecnología de la empresa funcione.

La Ley de Infraestructura Crítica apunta a otro lado: a la resiliencia de todo el servicio esencial. Establece medidas para aumentar y garantizar la resiliencia de las entidades de infraestructura crítica y los derechos y obligaciones para asegurar la prestación de servicios esenciales, siendo el aumento de la resiliencia parte de la gestión de crisis según la Ley de Crisis. La ciberseguridad es aquí solo una de las muchas amenazas, junto con los incendios, los cortes de energía o los ataques físicos.

De esto se desprende una diferencia práctica. La primera ley pregunta cómo protege sus sistemas e información; la segunda pregunta si puede mantener el servicio del que dependen el Estado y la sociedad, ocurra lo que ocurra. Por lo tanto, una empresa no puede elegir entre ellas como si fueran dos opciones, sino que debe verificar por separado para cada una si está sujeta a ella, y una verificación no sustituye a la otra.

La diferencia también se manifiesta en quién es el destinatario de las obligaciones. La Ley de Ciberseguridad se dirige a los proveedores de servicios regulados y trabaja con activos, riesgos e incidentes en el ciberespacio. La Ley de Infraestructura Crítica se dirige a los proveedores de servicios esenciales y trabaja con un plan de resiliencia, evaluación de riesgos y notificación de incidentes que interrumpan la prestación del servicio esencial en su conjunto, ya sea que la causa sea un ataque, una avería o un desastre natural.

Ambas leyes también tienen autoridades diferentes. Según la Ley de Ciberseguridad, la autoridad competente es la Oficina Nacional de Seguridad Cibernética e Información. En el caso de la infraestructura crítica, interviene el Ministerio del Interior, cuyas competencias son ejercidas por la Dirección General del Cuerpo de Bomberos y Rescate, y, según el sector, también los ministerios competentes, otras oficinas de la administración central o el Banco Nacional Checo. Una empresa que se dirige a la autoridad equivocada pierde tiempo, por lo que la distinción es importante desde el primer paso. El texto sobre ciberseguridad e infraestructura crítica ofrece una visión general de cómo se entrelazan ambas áreas.

Primera prueba: ¿es su servicio un servicio regulado según la Ley de Ciberseguridad?

La ley no se aplica a la empresa en su conjunto, sino a cada servicio individual. Un servicio regulado es aquel sobre el cual la autoridad ha decidido mediante una resolución de registro, y las condiciones para el registro se cumplen si se trata de un servicio importante para garantizar actividades sociales o económicas clave o para la seguridad en la República Checa en alguno de los sectores enumerados, y el proveedor es una mediana o gran empresa, o es significativo en el sentido de la ley (artículo 4 de la Ley de Ciberseguridad).

La lista de servicios específicos y las condiciones de importancia del proveedor no se establecen en la ley, sino en un decreto de desarrollo. Se trata del Decreto n.º 408/2025 Rec., sobre servicios regulados, vigente a partir del 1 de noviembre de 2025. En la industria manufacturera, solo menciona la fabricación de ordenadores, productos electrónicos y ópticos, equipos eléctricos, maquinaria y equipo, vehículos de motor, remolques y semirremolques, y otros equipos de transporte según las divisiones 26 a 30 de la clasificación CZ-NACE. Para las grandes y medianas empresas, se aplica un régimen de obligaciones menores; en el régimen de obligaciones mayores solo se encuentra el fabricante de automóviles de pasajeros en serie.

El alcance de los sectores es amplio y no se limita a la energía y el transporte. La ley enumera, entre otros, la administración pública, la energía, la industria manufacturera, la industria alimentaria, la industria química, la gestión del agua y de residuos, el transporte, las infraestructuras y servicios digitales, el mercado financiero, la salud, la ciencia, la investigación y la educación, los servicios postales y de mensajería, así como la industria de defensa y espacial. Así, una empresa manufacturera de tamaño mediano puede estar sujeta al régimen sin haberse dado cuenta todavía, pero solo si su actividad corresponde a algún servicio del anexo del decreto.

El plazo también es fundamental. El proveedor de un servicio que cumpla con las condiciones del artículo 4, apartado 1, está obligado a notificar el servicio a la autoridad a más tardar dentro de los 60 días a partir del día en que se cumplieron las condiciones (artículo 6, apartado 1 de la Ley de Ciberseguridad). Por lo tanto, una empresa que crece y supera el límite de mediana empresa activará su obligación sin ningún aviso por parte del Estado.

Imagine una empresa mediana que fabrica maquinaria y equipos. Opera en la industria manufacturera y su actividad corresponde a un servicio de la lista del decreto, por lo que, como empresa mediana, puede cumplir con las condiciones para el registro. Sin embargo, la empresa nunca se ha considerado operadora de nada crítico. Aun así, puede surgirle la obligación de notificar el servicio, y además en un plazo que nadie está vigilando. Un fabricante cuya actividad no figure entre los servicios enumerados no estará regulado por esta vía.

La autoridad decidirá sobre el registro si se cumplen las condiciones del artículo 4, apartado 1, o del artículo 5, y esta resolución puede ser el primer acto del procedimiento. El recurso de alzada interpuesto contra ella no tiene efecto suspensivo, por lo que las obligaciones derivadas del registro se aplican incluso mientras la empresa se defiende contra la resolución. El proveedor debe comenzar a implementar las medidas de seguridad a más tardar dentro de 1 año a partir del día de la notificación de la resolución (artículo 13, apartado 4). Por lo tanto, no es posible confiar en la apelación como una vía de aplazamiento.

Segunda prueba: ¿es usted un proveedor de servicios esenciales y una entidad de infraestructura crítica?

La Ley de Infraestructura Crítica distingue varios niveles y la clasificación es considerablemente más estrecha que en el caso de la ciberseguridad. Un servicio esencial es aquel necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad y el bienestar económico o social de las personas en los sectores según el anexo de la ley, y el proveedor de un servicio esencial es quien lo presta en la República Checa y cumple con el criterio de importancia (artículo 2 de la Ley de Infraestructura Crítica).

El proveedor del servicio esencial debe transmitir la información al ministerio por iniciativa propia. A través del portal de infraestructura crítica, proporcionará información sobre el servicio esencial, sobre el cumplimiento de al menos un criterio de importancia y sobre su infraestructura crítica, dentro de los 3 meses siguientes al inicio de la prestación del servicio o dentro de 1 mes a partir del requerimiento del órgano competente (artículo 9 de la Ley de Infraestructura Crítica). Los proveedores que ya prestaban el servicio al 30 de noviembre de 2025 debían transmitir la información por primera vez antes del 1 de marzo de 2026 (artículo 30, apartado 5 de la Ley de Infraestructura Crítica).

Una empresa se convierte en entidad de infraestructura crítica únicamente mediante resolución del Ministerio del Interior. La condición de entidad surge con la inclusión del proveedor del servicio esencial en la lista de entidades de infraestructura crítica (artículo 2, apartado 1, letra d)). El ministerio competente, otra oficina de la administración central o el Banco Nacional Checo evaluarán la información transmitida y presentarán una propuesta al Ministerio del Interior; la inclusión es decidida entonces por el Ministerio del Interior (artículo 11, apartados 1 y 2).

Los servicios esenciales en cada sector y los criterios de importancia se establecen en el Decreto del Gobierno n.º 127/2026 Rec., vigente a partir del 18 de julio de 2026; ambos figuran en su anexo. Por lo tanto, la empresa tiene una prueba objetiva: consultar el anexo del decreto para ver si su servicio se encuentra entre los esenciales y comprobar si cumple con el criterio de importancia.

La resolución de inclusión puede ser el primer acto del procedimiento y el recurso de alzada contra ella no tiene efecto suspensivo. La lista no es pública y la entidad cumple con las obligaciones de la ley a partir de la fecha de notificación de la resolución (artículo 11, apartados 3, 4 y 6). Por lo tanto, la prueba de infraestructura crítica difiere de la de ciberseguridad: la empresa debe transmitir la información a tiempo por sí misma, pero la inclusión la decide la autoridad.

La pregunta práctica es quién en la empresa realiza el seguimiento de la comunicación con los ministerios y reguladores del sector y vigila los plazos. El requerimiento para proporcionar información sobre el servicio prestado activa un plazo de un mes, por lo que debe llegar a manos del abogado y del gestor de crisis al mismo tiempo, ya que las respuestas pueden determinar qué obligaciones le esperan a la empresa.

Además, la entidad incluida en la lista asume las obligaciones reguladas por el Decreto de desarrollo n.º 122/2026 Rec., sobre el plan de resiliencia, evaluación de riesgos, medidas para garantizar la resiliencia y notificación de incidentes, vigente a partir del 1 de agosto de 2026. Su alcance exacto debe evaluarse según el decreto y según el sector en el que opere la empresa.

Qué ocurre cuando se aplican ambos regímenes a la vez

En el caso de una entidad de infraestructura crítica, ambas leyes confluyen. Las condiciones para el registro de un servicio regulado según la Ley de Ciberseguridad también se cumplen cuando el proveedor del servicio es una entidad de infraestructura crítica; el servicio regulado es entonces el servicio correspondiente al elemento de infraestructura crítica determinado para dicha entidad (artículo 5 de la Ley de Ciberseguridad).

De este modo, una empresa que figure en la lista de infraestructura crítica también entra en el régimen de ciberseguridad. La autoridad registra dicho servicio de oficio, por lo que el proveedor no tiene que notificar nada, y además se encuentra en el régimen de obligaciones mayores, independientemente del tamaño de la empresa (artículo 6, apartado 3 y artículo 8, apartado 3 de la Ley de Ciberseguridad). El Ministerio del Interior informará a la Oficina Nacional de Seguridad Cibernética e Información sobre la inclusión dentro de 1 mes a partir de la notificación de la resolución (artículo 11, apartado 5 de la Ley de Infraestructura Crítica). Así, una pequeña empresa puede entrar en el régimen de ciberseguridad precisamente a través de la infraestructura crítica.

Los organismos estatales coordinan sus actuaciones entre sí. La estrategia para fortalecer la resiliencia de las entidades de infraestructura crítica también incluye la forma de coordinación de los organismos según la Ley de Infraestructura Crítica con los organismos según la Ley de Ciberseguridad para compartir información sobre riesgos, amenazas e incidentes y para el ejercicio del control (artículo 3, apartado 2, letra g) de la Ley de Infraestructura Crítica). Por lo tanto, la información sobre un único incidente puede llegar a ambas autoridades.

En la práctica, esto significa que la empresa debe contar con una persona o un equipo que conozca ambos regímenes y vigile ambos conjuntos de obligaciones. De lo contrario, existe el riesgo de que el departamento técnico cumpla con lo que exige la autoridad de ciberseguridad y nadie vigile los requisitos de resiliencia de todo el servicio, o viceversa. La cooperación entre ambas autoridades no debe tomarse como un sustituto del control propio.

Proveedores y empresas fuera de las listas: quién puede verse afectado indirectamente

Una empresa que no figure en ninguna lista puede verse afectada a través de su cliente. La Ley de Infraestructura Crítica define al proveedor crítico como la persona que ha entablado una relación jurídica con una entidad de infraestructura crítica y, sobre esta base, proporciona bienes o servicios necesarios para asegurar la prestación del servicio esencial (artículo 2, apartado 1, letra l) de la Ley de Infraestructura Crítica). Además, el Ministerio del Interior puede emitir advertencias y decidir sobre las condiciones o la prohibición del uso de las prestaciones de dicho proveedor (artículo 6, apartado 1, letra m)).

Asimismo, la Ley de Ciberseguridad considera al proveedor como un activo de soporte. Un activo de soporte es aquel que garantiza el funcionamiento de los activos primarios, especialmente un empleado, proveedor, activo técnico o edificio. El proveedor de un servicio regulado que implemente medidas de seguridad a través de un proveedor debe seleccionarlo de acuerdo con los requisitos derivados de las medidas e incluir estos requisitos en los contratos con él (artículo 13, apartado 5).

Por lo tanto, los proveedores pueden verse afectados indirectamente por los requisitos de la entidad regulada o de la entidad de infraestructura crítica, especialmente a través de la gestión de la cadena de suministro y las obligaciones contractuales. Normalmente se tratará de la obligación de notificar incidentes, permitir auditorías, cumplir con medidas de seguridad o mantener registros. Una empresa que rechace estos requisitos sin reflexionar corre el riesgo de perder a un cliente clave, por lo que es aconsejable evaluarlos y, si es necesario, negociar una modificación del alcance, en lugar de que el proveedor los acepte o rechace a ciegas.

También es importante conocer la posición propia. Un fabricante que suministra componentes al sector de la energía o del transporte puede cumplir con la definición de proveedor crítico sin saberlo hasta que se lo comunique su cliente. Por lo tanto, se recomienda preguntar proactivamente a los clientes si lo consideran un activo de soporte o un proveedor crítico y, según la respuesta, adaptar los contratos.

Cómo proceder en la práctica

El primer paso es verificar si la empresa presta alguno de los servicios específicos definidos para el sector correspondiente por el Decreto n.º 408/2025 Rec., y solo entonces evaluar el tamaño de la empresa según las reglas legales y otros criterios de importancia. Si cumple con las condiciones del artículo 4, apartado 1, comienza a correr el plazo de 60 días para la notificación a la autoridad. Es conveniente realizar esta parte de inmediato, ya que no se puede posponer con carácter retroactivo.

El segundo paso es verificar si el servicio no se encuentra entre los servicios esenciales según el Decreto del Gobierno n.º 127/2026 Rec. De ser así, el proveedor debe transmitir la información al ministerio por sí mismo y no esperar a un requerimiento; en caso de duda sobre el criterio de importancia, es aconsejable comunicarse proactivamente con el ministerio competente. Cuanto antes conozca la empresa su situación, de más tiempo dispondrá para preparar el plan de resiliencia y la evaluación de riesgos.

El tercer paso es revisar la propia cadena de suministro. La empresa que presta un servicio regulado necesita saber qué proveedores son indispensables para su servicio y tener regulados por contrato la notificación, el acceso y la responsabilidad con ellos. Sin dicha regulación, se enterará tarde de un incidente en el proveedor y tendrá que cumplir con sus propias obligaciones ante la autoridad bajo la presión del tiempo.

El cuarto paso es designar dentro de la empresa a una persona responsable de ambos regímenes. La práctica demuestra que a menudo ambos ámbitos se gestionan por separado, uno por el departamento de seguridad informática y otro por el de gestión de crisis, y la brecha entre ellos es precisamente el lugar donde se pasan por alto las obligaciones. El texto sobre la nueva Ley de Ciberseguridad ofrece una visión general de la nueva legislación.

El quinto paso es alinear los procedimientos establecidos con la ejecución práctica. El texto sobre la implementación de NIS2 en la práctica aborda cómo se aplica NIS2 en el funcionamiento diario de la empresa. Si, además, la empresa fabrica productos con elementos digitales, tiene obligaciones no solo bajo ambas leyes, sino también según el Reglamento Europeo de Ciberresiliencia, entre ellas la obligación de notificar las vulnerabilidades explotadas en un plazo de 24 horas.

Para la dirección, es útil mantener un breve registro de toda la evaluación: qué servicios presta la empresa, a qué sector pertenecen, cuál es su tamaño y cuándo se verificaron las condiciones. Dicho registro ahorrará tiempo al tratar con la autoridad y demostrará que la empresa abordó la cuestión con la debida diligencia. Es conveniente repetir la evaluación ante cualquier cambio importante en la estructura del grupo, un nuevo servicio o una adquisición.

La forma exacta de estructurar la verificación de la situación de la empresa y el plan de resiliencia depende del sector y de si la empresa es proveedora de servicios, proveedora de bienes o ambas cosas a la vez; por ello, los abogados de ARROWS advokátní kancelář lo evalúan siempre en función del servicio concreto y no mediante una lista de verificación universal.

Riesgos de una clasificación incorrecta en el régimen de ciberseguridad

Resumen final

La infraestructura crítica y NIS2 no son dos variantes de un mismo régimen, sino dos leyes independientes que pueden afectar a una misma empresa simultáneamente. El artículo ha mostrado que el régimen de ciberseguridad se verifica según el servicio específico, el sector y el tamaño, y se notifica a la autoridad en un plazo de 60 días, mientras que la condición de entidad de infraestructura crítica surge mediante una resolución de inclusión en la lista, precedida por la obligación de información del proveedor del servicio esencial, y que en el caso de la entidad de infraestructura crítica ambos regímenes confluyen.

Para la dirección de la empresa, esto se traduce en una tarea clara: realizar ambas pruebas por separado, designar a una persona responsable de ambos regímenes y revisar la cadena de suministro. La empresa que desconozca su situación no podrá cumplir con los plazos ni preparar los contratos, y su situación será decidida finalmente por la autoridad.

Los abogados de ARROWS advokátní kancelář evalúan la situación de las empresas según la Ley de Ciberseguridad y la Ley de Infraestructura Crítica, preparan notificaciones y planes de resiliencia, y adaptan los contratos con proveedores y clientes. Escríbanos a consultas@arws.cz o consulte nuestra práctica para contratos y negociación.