La Directiva sobre la resiliencia de las entidades críticas: preparación para el cumplimiento

Los cambios normativos suelen entrar en vigor mucho antes de que se conviertan en una prioridad práctica. Se publican los requisitos, los plazos están claros y la terminología resulta familiar; sin embargo, para muchas organizaciones que probablemente entren en el ámbito de aplicación, las consecuencias operativas siguen sin haberse analizado en profundidad. Esta es la situación actual con respecto a la Directiva de la UE sobre la resiliencia de las entidades críticas (Directiva (UE) 2022/2557), conocida como CER, una directiva de la UE que debe transponerse al derecho nacional y que se aplica a nivel nacional mediante legislación de transposición.

A medida que los Estados miembros de la UE se acercan a la fecha límite del 17 de julio de 2026 para la identificación de entidades críticas, este artículo ofrece una visión general informativa y el contexto para las organizaciones que puedan verse afectadas por la Directiva. Está dirigido a ejecutivos, responsables de riesgos, directores de seguridad, secretarios corporativos y consejos de administración, con el fin de apoyar los debates internos y la planificación de la implementación en torno a las posibles implicaciones de la CER.

¿Qué es la Directiva CER (UE) 2022/2557?

La Directiva CER (UE) 2022/2557 es el marco de la UE para reforzar la resiliencia de las organizaciones que prestan servicios esenciales, desplazando el enfoque de la protección de activos individuales hacia el mantenimiento de los servicios ante situaciones de interrupción. Sustituye a la Directiva europea sobre infraestructuras críticas de 2008 (2008/114/CE), que tenía un alcance más limitado y se centraba principalmente en la protección física en los sectores de la energía y el transporte. El mundo ha cambiado desde 2008. Pandemias, amenazas híbridas, sabotajes patrocinados por Estados, fenómenos meteorológicos extremos, convergencia ciberfísica, fallos en cadena en la cadena de suministro. El panorama de riesgos posterior a la COVID es estructuralmente diferente, y los responsables políticos europeos llegaron a la conclusión de que el antiguo marco ya no se ajustaba al entorno de amenazas.

La CER amplía el ámbito de aplicación de dos sectores a once: energía, transporte, banca, infraestructura de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, administración pública, espacio y la producción, transformación y distribución de alimentos. Adopta un enfoque que abarca todos los tipos de riesgos, desde catástrofes naturales, terrorismo, amenazas internas, sabotaje, campañas híbridas, pandemias y accidentes; en lugar de centrarse en un único tipo de riesgo.

La CER coexiste con otros marcos de resiliencia de la UE y los complementa. NIS2 se centra en la ciberseguridad y la resiliencia de las redes y los sistemas de información, mientras que DORA se aplica específicamente a la resiliencia operativa digital en el sector financiero. Dependiendo del sector y de su alcance, las organizaciones pueden estar sujetas a más de uno de estos regímenes, por lo que la coordinación es importante para evitar la duplicación de tareas.

¿Cuál es el calendario de aplicación de la Directiva CER?

A más tardar el 17 de julio de 2026, los Estados miembros de la UE deberán haber identificado qué organizaciones de su territorio cumplen los requisitos para ser consideradas «entidades críticas» en virtud de la Directiva. Desde el momento en que se notifica a una organización, comienza a correr un plazo de diez meses para prepararse para el cumplimiento de la Directiva CER, con el fin de cumplir una serie de obligaciones de resiliencia que, para muchas de ellas, requerirán replantearse cómo gestionan el riesgo, la continuidad y la respuesta ante crisis. Ese es, aproximadamente, el tiempo disponible entre la carta de notificación y la auditoría de cumplimiento, y es un plazo considerablemente más corto del que merecerían la mayoría de los programas de transformación de tal envergadura.

Los hitos clave de implementación que se indican a continuación sirven de guía general. En la práctica, los plazos, la supervisión y la aplicación variarán según el Estado miembro, en función de la implementación nacional:

 

• 14 de diciembre de 2022: Adopción de la Directiva.
• 17 de octubre de 2024: Plazo de transposición para los Estados miembros. La mayoría no lo cumplió; todavía se están aprobando leyes nacionales en todo el bloque, lo que a su vez está acortando el plazo para todos los que vienen después.
• 17 de enero de 2026: los Estados miembros deben haber adoptado su estrategia nacional de resiliencia y completado su evaluación de riesgos a nivel nacional.
• 17 de julio de 2026: los Estados miembros deben identificar las entidades críticas e iniciar los procesos de notificación.
• Notificación + 10 meses: cada entidad identificada debe cumplir con las obligaciones de la Directiva. Para aquellas notificadas en la fecha de julio de 2026 o en fechas cercanas, el plazo vence en mayo de 2027.

¿Se aplica la Directiva CER a mi organización y qué significa la "designación como entidad crítica"?

La Directiva CER se aplica en la práctica cuando una autoridad nacional designa y notifica a una organización como entidad crítica porque presta un servicio esencial en un sector cubierto. Si su organización presta servicios esenciales en varios Estados miembros de la UE, puede ser objeto de designación en más de una jurisdicción. No obstante, los criterios de designación y los resultados dependerán de las evaluaciones realizadas por las autoridades nacionales competentes y de las particularidades de la aplicación nacional.