¿Infraestructura crítica o NIS2?

Por qué se trata de dos leyes y no de dos variantes de un mismo régimen

La Ley de ciberseguridad checa (Ley n.º 264/2025 Sb., en adelante «LCS») regula los derechos y obligaciones de las personas a la hora de garantizar la ciberseguridad y las competencias de la Agencia Nacional de Ciberseguridad y Seguridad de la Información (Národní úřad pro kybernetickou a informační bezpečnost), y se aplica a las personas establecidas en la República Checa (§ 1 de la LCS). Se centra en la seguridad de la información, las redes y los sistemas, es decir, en que a la empresa le funcione la tecnología.

La Ley de infraestructura crítica checa (Ley n.º 266/2025 Sb., en adelante «LIC») apunta a otro lugar: a la resiliencia del servicio esencial en su conjunto. Establece medidas para aumentar y garantizar la resiliencia de las entidades de infraestructura crítica y los derechos y obligaciones relativos a la prestación de servicios esenciales, siendo el aumento de la resiliencia parte de la gestión de crisis conforme a la Ley de gestión de crisis checa. La cibernética es aquí solo una de muchas amenazas, junto a los incendios, los cortes de energía o los ataques físicos.

De ello se deriva una diferencia práctica. La primera ley pregunta cómo protege usted sus sistemas e información; la segunda pregunta si es capaz de mantener el servicio del que dependen el Estado y la sociedad, pase lo que pase. Por eso la empresa no puede elegir entre ellas como entre dos variantes, sino que debe comprobar por separado, respecto de cada una, si entra en su ámbito, y una comprobación no sustituye a la otra.

La diferencia se manifiesta también en quién es el destinatario de las obligaciones. La LCS se dirige a los prestadores de servicios regulados y trabaja con activos, riesgos e incidentes en el ciberespacio. La LIC se dirige a los prestadores de servicios esenciales y trabaja con el plan de resiliencia, la evaluación de riesgos y la notificación de incidentes que perturban la prestación del servicio esencial en su conjunto, ya sea la causa un ataque, una avería o un fenómeno natural.

Ambas leyes tienen además autoridades distintas. Conforme a la LCS, la autoridad es la Agencia Nacional de Ciberseguridad y Seguridad de la Información. En materia de infraestructura crítica actúa el Ministerio del Interior checo (Ministerstvo vnitra), cuyas competencias ejerce la Dirección General del Cuerpo de Bomberos y Salvamento (generální ředitelství Hasičského záchranného sboru), y, según el sector, también los ministerios materialmente competentes, otros órganos centrales de la Administración o el Banco Nacional Checo (ČNB). La empresa que se dirige a la autoridad equivocada pierde tiempo, y por eso la distinción es importante desde el primer paso.

Primera prueba: ¿es su servicio un servicio regulado según la Ley de ciberseguridad?

La ley no se aplica a la empresa en su conjunto, sino a cada servicio concreto. Es servicio regulado aquel sobre el que la Agencia así lo ha decidido mediante una resolución de registro, y las condiciones para el registro se cumplen cuando se trata de un servicio relevante para asegurar actividades sociales o económicas importantes o para la seguridad en la República Checa en alguno de los sectores enumerados y el prestador es una mediana o gran empresa, o bien es relevante en el sentido de la ley (§ 4 de la LCS).

La lista de servicios concretos y las condiciones de relevancia del prestador no las establece la ley, sino un decreto de desarrollo. Se trata del Decreto checo n.º 408/2025 Sb., sobre servicios regulados, en vigor desde el 1 de noviembre de 2025. En la industria manufacturera menciona únicamente la fabricación de ordenadores, aparatos electrónicos y ópticos, equipos eléctricos, maquinaria y equipos, vehículos de motor, remolques y semirremolques y otros medios de transporte según las divisiones 26 a 30 de la clasificación CZ-NACE. Para las grandes y medianas empresas se trata del régimen de obligaciones inferiores; en el régimen de obligaciones superiores solo se encuentra el fabricante en serie de turismos.

El abanico de sectores es amplio y no afecta solo a la energía y al transporte. La ley enumera, entre otros, la Administración pública, la energía, la industria manufacturera, la industria alimentaria, la industria química, la gestión del agua y de los residuos, el transporte, la infraestructura y los servicios digitales, el mercado financiero, la sanidad, la ciencia, la investigación y la educación, los servicios postales y de mensajería, así como la industria de defensa y espacial. Una empresa manufacturera de tamaño mediano puede así quedar incluida en el régimen sin haberse dado cuenta hasta ahora, pero solo si su actividad se corresponde con alguno de los servicios del anexo del decreto.

También es esencial el plazo. El prestador de un servicio que cumple las condiciones del § 4, apdo. 1, está obligado a notificar el servicio a la Agencia a más tardar en el plazo de 60 días desde el día en que se cumplieron las condiciones (§ 6, apdo. 1, de la LCS). La empresa que crece y supera el umbral de mediana empresa activa, por tanto, su obligación sin ningún aviso por parte del Estado.

Imagine una empresa mediana que fabrica maquinaria y equipos. Opera en la industria manufacturera y su actividad se corresponde con un servicio de la lista del decreto, de modo que, como mediana empresa, puede cumplir las condiciones para el registro. Sin embargo, la empresa nunca se ha considerado operadora de nada crítico. Aun así, puede surgirle la obligación de notificar el servicio, y ello en un plazo que nadie vigila. El fabricante cuya actividad no figura entre los servicios enumerados no queda regulado por esta vía.

La Agencia decide sobre el registro si se cumplen las condiciones del § 4, apdo. 1, o del § 5, y esta resolución puede ser el primer acto del procedimiento. El recurso de reposición (rozklad) interpuesto contra ella no tiene efecto suspensivo, por lo que las obligaciones derivadas del registro se aplican también mientras la empresa se defiende frente a la resolución. El prestador debe empezar a implantar las medidas de seguridad a más tardar en el plazo de 1 año desde la notificación de la resolución (§ 13, apdo. 4). Por tanto, no es posible confiar en el recurso como aplazamiento.

Segunda prueba: ¿es usted prestador de un servicio esencial y entidad de infraestructura crítica?

La LIC distingue varios niveles y la inclusión es considerablemente más restringida que en la ciberseguridad. Servicio esencial es el servicio indispensable para mantener las funciones básicas del Estado, las actividades económicas, la seguridad, la salud pública o el medio ambiente en los sectores previstos en el anexo de la ley, y prestador de un servicio esencial es quien lo presta en la República Checa y cumple el criterio de relevancia (§ 2 de la LIC).

El prestador de un servicio esencial debe transmitir por sí mismo la información al ministerio. A través del portal de infraestructura crítica facilitará información sobre el servicio esencial, sobre el cumplimiento de al menos un criterio de relevancia y sobre su infraestructura crítica, y ello en el plazo de 3 meses desde el inicio de la prestación del servicio o de 1 mes desde el requerimiento del órgano competente (§ 9 de la LIC). Los prestadores que ya prestaban el servicio a 30 de noviembre de 2025 debían transmitir la información por primera vez antes del 1 de marzo de 2026 (§ 30, apdo. 5, de la LIC).

La empresa solo se convierte en entidad de infraestructura crítica mediante una resolución del Ministerio del Interior. La condición de entidad nace con la inclusión del prestador del servicio esencial en la lista de entidades de infraestructura crítica (§ 2, apdo. 1, letra d)). El ministerio competente, otro órgano central de la Administración o el Banco Nacional Checo evalúan la información transmitida y presentan una propuesta al Ministerio del Interior; sobre la inclusión decide después el Ministerio del Interior (§ 11, apdos. 1 y 2).

Los servicios esenciales en cada sector y los criterios de relevancia los establece el Reglamento del Gobierno checo n.º 127/2026 Sb., en vigor desde el 18 de julio de 2026; ambos figuran en su anexo. La empresa dispone, por tanto, de una prueba objetiva: consultar el anexo del reglamento para ver si su servicio figura entre los esenciales y comprobar si cumple el criterio de relevancia.

La resolución de inclusión puede ser el primer acto del procedimiento y el recurso de reposición contra ella no tiene efecto suspensivo. La lista no es pública y la entidad cumple las obligaciones legales desde el día de la notificación de la resolución (§ 11, apdos. 3, 4 y 6). La prueba de infraestructura crítica difiere, pues, de la de ciberseguridad: la empresa debe transmitir por sí misma la información a tiempo, pero sobre la inclusión decide la autoridad.

La pregunta práctica es, por tanto, quién en la empresa sigue la comunicación con los ministerios y los reguladores del sector y vigila los plazos. El requerimiento para facilitar información sobre el servicio prestado activa el plazo de un mes, y por ello debe estar en manos tanto del abogado como del responsable de gestión de crisis, ya que las respuestas pueden determinar qué obligaciones esperan a la empresa.

La entidad incluida en la lista asume además las obligaciones que regula el Decreto de desarrollo checo n.º 122/2026 Sb., sobre el plan de resiliencia, la evaluación de riesgos, las medidas para garantizar la resiliencia y la notificación de incidentes, en vigor desde el 1 de agosto de 2026. Su alcance exacto debe evaluarse conforme al decreto y al sector en el que opera la empresa.

Qué ocurre cuando se aplican ambos regímenes a la vez

En la entidad de infraestructura crítica confluyen ambas leyes. Según la LCS, las condiciones para el registro de un servicio regulado se cumplen también cuando el prestador del servicio es una entidad de infraestructura crítica; el servicio regulado es entonces el que corresponde al elemento de infraestructura crítica determinado para dicha entidad (§ 5 de la LCS).

La empresa incluida en la lista de infraestructura crítica queda así sujeta también al régimen de ciberseguridad. La Agencia registra de oficio ese servicio, por lo que el prestador no tiene que notificar nada, y además queda en el régimen de obligaciones superiores, con independencia del tamaño de la empresa (§ 6, apdo. 3, y § 8, apdo. 3, de la LCS). El Ministerio del Interior, por su parte, informa de la inclusión a la Agencia Nacional de Ciberseguridad y Seguridad de la Información en el plazo de 1 mes desde la notificación de la resolución (§ 11, apdo. 5, de la LIC). Una empresa pequeña puede así entrar en el régimen de ciberseguridad precisamente a través de la infraestructura crítica.

Los órganos del Estado coordinan sus actuaciones entre sí. La estrategia para reforzar la resiliencia de las entidades de infraestructura crítica incluye también la forma de coordinación de los órganos previstos en la LIC con los órganos previstos en la LCS para compartir información sobre riesgos, amenazas e incidentes y para ejercer el control (§ 3, apdo. 2, letra g), de la LIC). La información sobre un mismo incidente puede, por tanto, llegar a ambas autoridades.

En la práctica esto significa que la empresa debe contar con una persona o un equipo que conozca ambos regímenes y vigile ambos grupos de obligaciones. De lo contrario, existe el riesgo de que el departamento técnico cumpla lo que exige la autoridad de ciberseguridad y nadie se ocupe de los requisitos de resiliencia del servicio en su conjunto, o viceversa. La cooperación de ambas autoridades no puede tomarse como sustituto de una visión propia de conjunto.

Proveedores y empresas fuera de las listas: quién puede verse afectado indirectamente

Una empresa que no conoce ninguna lista puede verse afectada a través de su cliente. La LIC contempla al proveedor crítico, es decir, la persona que ha entablado una relación jurídica con una entidad de infraestructura crítica y que, sobre esa base, suministra bienes o servicios indispensables para garantizar la prestación del servicio esencial (§ 2, apdo. 1, letra l), de la LIC). El Ministerio del Interior puede además emitir advertencias y decidir sobre las condiciones o la prohibición del uso de las prestaciones de dicho proveedor (§ 6, apdo. 1, letra m)).

También la LCS cuenta con el proveedor como activo de apoyo. Activo de apoyo es el activo que asegura el funcionamiento de los activos primarios, en particular un empleado, un proveedor, un activo técnico o un edificio. El prestador de un servicio regulado que implanta medidas de seguridad a través de un proveedor debe seleccionarlo conforme a los requisitos derivados de las medidas e incluir dichos requisitos en los contratos con él (§ 13, apdo. 5).

Los proveedores pueden, pues, verse afectados indirectamente por los requisitos de la entidad regulada o de la entidad de infraestructura crítica, en particular mediante la gestión de la cadena de suministro y las obligaciones contractuales. Normalmente se tratará de la obligación de notificar incidentes, permitir auditorías, cumplir medidas de seguridad o conservar registros. La empresa que rechaza estos requisitos sin reflexionar se arriesga a perder un cliente clave, por lo que es razonable evaluarlos y, en su caso, negociar un ajuste de su alcance, en lugar de que el proveedor los acepte o rechace a ciegas.

También es importante conocer la propia posición. Un fabricante que suministra componentes al sector energético o al transporte puede cumplir la definición de proveedor crítico sin saberlo hasta que se lo comunique su cliente. Se recomienda, por tanto, preguntar proactivamente a los clientes si lo consideran un activo de apoyo o un proveedor crítico y adaptar los contratos en función de la respuesta.

Cómo proceder en la práctica

El primer paso es comprobar si la empresa presta alguno de los servicios concretos que el Decreto n.º 408/2025 Sb. define para el sector en cuestión, y solo después evaluar el tamaño de la empresa según las reglas legales y los demás criterios de relevancia. Si cumple las condiciones del § 4, apdo. 1, corre el plazo de 60 días para la notificación a la Agencia. Conviene hacer esta parte de inmediato, porque no puede aplazarse con carácter retroactivo.

El segundo paso es comprobar si el servicio figura entre los servicios esenciales según el Reglamento del Gobierno n.º 127/2026 Sb. En caso afirmativo, el prestador debe transmitir la información al ministerio por sí mismo, sin esperar al requerimiento; si hay dudas sobre el criterio de relevancia, es razonable comunicarse proactivamente con el ministerio materialmente competente. Cuanto antes conozca la empresa su posición, más tiempo tendrá para preparar el plan de resiliencia y la evaluación de riesgos.

El tercer paso es revisar la propia cadena de suministro. La empresa que presta un servicio regulado necesita saber qué proveedores son indispensables para su servicio y tener regulados contractualmente con ellos la notificación, el acceso y la responsabilidad. Cuestiones similares aborda el texto sobre la responsabilidad por un incidente de ciberseguridad.

El cuarto paso es designar dentro de la empresa a la persona responsable de ambos regímenes. La práctica muestra que ambos ámbitos suelen tratarse por separado, uno por el departamento de seguridad informática y otro por el departamento de gestión de crisis, y que el hueco entre ellos es precisamente el lugar donde las obligaciones se pasan por alto. Una visión general de la nueva ley la ofrece el texto sobre la nueva Ley de ciberseguridad.

El quinto paso es armonizar los procedimientos implantados con su ejecución práctica. De cómo se aplica NIS2 en el funcionamiento cotidiano de la empresa trata el texto sobre la implementación de NIS2 en la práctica. Si la empresa fabrica además productos con elementos digitales, tiene, junto a ambas leyes, obligaciones derivadas del Reglamento europeo de ciberresiliencia, entre ellas la obligación de notificar las vulnerabilidades explotadas en un plazo de 24 horas.

Para la dirección resulta útil llevar un breve registro de toda la evaluación: qué servicios presta la empresa, a qué sector pertenece, cuál es su tamaño y cuándo se verificaron las condiciones. Ese registro ahorra tiempo al tratar con la autoridad y demuestra que la empresa abordó la cuestión con diligencia. Conviene además repetir la evaluación ante cada cambio importante en la estructura del grupo, cada nuevo servicio o cada adquisición.

Cómo plantear exactamente la verificación de la posición de la empresa y el plan de resiliencia depende del sector y de si la empresa es prestadora del servicio, proveedora o ambas cosas a la vez; por eso los abogados del despacho ARROWS advokátní kancelář lo evalúan siempre según el servicio concreto y no según una lista de control universal.

Riesgos de una clasificación incorrecta en el régimen de ciberseguridad

Resumen final

La infraestructura crítica y NIS2 no son dos variantes de un mismo régimen, sino dos leyes independientes que pueden afectar a una misma empresa simultáneamente. El artículo ha mostrado que el régimen de ciberseguridad se verifica según el servicio concreto, el sector y el tamaño y se notifica a la autoridad en un plazo de 60 días, mientras que la condición de entidad de infraestructura crítica nace con la resolución de inclusión en la lista, precedida por la obligación de información del prestador del servicio esencial, y que en la entidad de infraestructura crítica confluyen ambos regímenes.

Para la dirección de la empresa se desprende de ello una tarea clara: realizar ambas pruebas por separado, designar a una persona responsable de ambos regímenes y revisar la cadena de suministro. La empresa que desconoce su posición no puede cumplir los plazos ni preparar los contratos, y sobre su posición acabará decidiendo la autoridad.

Los abogados del despacho ARROWS advokátní kancelář evalúan la posición de las empresas conforme a la LCS y la LIC, preparan notificaciones y planes de resiliencia y adaptan los contratos con proveedores y clientes. Escríbanos a consultas@arws.cz o consulte nuestra práctica de contratos y negociación.