La Directiva sobre la resiliencia de las entidades críticas: preparación para el cumplimiento

¿Qué implica el plazo de 10 meses para el cumplimiento de los CER?

Antes del 17 de julio de 2026, los Estados miembros de la UE deben identificar las entidades críticas designadas y, tras la notificación, las organizaciones suelen disponer de un plazo muy reducido para demostrar que están preparadas para cumplir con el CER. Por lo tanto, los próximos doce a dieciocho meses serán el momento en que la teoría se convierta en práctica. Esto es lo que esperamos ver y lo que ya estamos observando en las organizaciones de nuestros clientes.

A finales de verano, se espera que las autoridades competentes nacionales ultimen sus metodologías de identificación, es decir, los umbrales y criterios que definen el "efecto perturbador significativo" sobre la prestación de un servicio esencial. Algunos Estados miembros están llevando a cabo consultas informales; otros se guardan bien sus cartas. En cualquier caso, en algunos Estados miembros, las cartas de identificación podrían empezar a llegar a las oficinas de las empresas durante la primavera y principios del verano de 2026. Para las multinacionales, las cartas no llegarán todas al mismo tiempo, ni dirán todas exactamente lo mismo.

¿Qué medidas suelen esperarse tras la notificación de una entidad crítica?

Una vez notificada, una organización pasa a ser una «entidad crítica» en el sentido jurídico y, por lo general, se espera que adopte medidas como las siguientes dentro del plazo de diez meses para demostrar su cumplimiento:

• Realizar su propia evaluación de riesgos (sistémicos), que abarque todos los peligros relevantes, tanto de origen natural como provocados por el ser humano, incluidas las amenazas internas, el sabotaje, las emergencias de salud pública y las amenazas híbridas, y mantenerla actualizada (al menos cada cuatro años, o antes si cambian las circunstancias).
• Adoptar medidas técnicas, de seguridad y organizativas adecuadas y proporcionadas para garantizar la resiliencia. La Directiva enumera las categorías previstas: prevención de incidentes, garantía de una protección física adecuada, respuesta a los incidentes y mitigación de sus efectos, recuperación, gestión de la seguridad del personal (incluida la verificación de antecedentes para puestos sensibles) y sensibilización del personal.
• Designar a un funcionario de enlace o a una persona de contacto equivalente ante la autoridad competente.
• Notificar los incidentes graves, normalmente en un plazo de 24 horas desde que se tenga conocimiento de ellos, y presentar posteriormente un informe más detallado (a menudo en el plazo de un mes), tal y como se establece en la legislación nacional de aplicación pertinente, cuando dichos incidentes perturben o puedan perturbar la prestación de servicios esenciales.
• Prepararse para las inspecciones y auditorías in situ que realice la autoridad competente y colabore en las solicitudes de información.
• Las entidades que operen en seis o más Estados miembros deben estar preparadas para la posibilidad de que se les aplique una coordinación y supervisión adicionales a nivel de la UE, al ser consideradas «entidades críticas de especial importancia europea».

Las obligaciones concretas y su aplicación dependerán de la legislación nacional de transposición.

Las sanciones se establecerán en la legislación nacional y deberán ser «eficaces, proporcionadas y disuasorias». Varios Estados miembros están barajando cifras que llamarán la atención de cualquier director financiero. Y lo que es más importante para muchos ejecutivos con los que hablo, las consecuencias reputacionales y operativas de que se detecte un incumplimiento, especialmente tras un incidente real, son más difíciles de cuantificar, pero suelen ser más perjudiciales que la propia multa.

¿Cómo se manifiesta la resiliencia operativa en el marco del CER?

Existe una tendencia a considerar la CER como una simple lista de comprobación de cumplimiento. En la práctica, esto puede resultar insuficiente, ya que la Directiva concede gran importancia a la resiliencia operativa, la gobernanza y la toma de decisiones en situaciones de perturbación.

La Directiva es, en esencia, un instrumento de gobernanza disfrazado de medida de seguridad. Plantea si tu organización cuenta realmente con las estructuras, las facultades de decisión, la «memoria muscular» adquirida mediante simulacros y la fluidez interfuncional necesarias para hacer frente a una interrupción grave de un servicio esencial y recuperarse de ella. Una evaluación de riesgos redactada de forma impecable que permanece archivada en una carpeta de SharePoint y que no guarda relación con la forma en que el comité ejecutivo toma realmente las decisiones bajo presión no satisfará a una autoridad competente durante mucho tiempo y, desde luego, no te servirá de nada la noche en que se produzca realmente una crisis.

¿Cómo afecta la Directiva a la gestión de crisis y a la continuidad de las actividades (BCM)?

Las organizaciones que saldrán fortalecidas de este proceso —no solo cumpliendo con la normativa, sino siendo realmente más resilientes— suelen compartir algunas características.

• Consideran que la CER supone una oportunidad para consolidar programas fragmentados (continuidad del negocio, gestión de crisis, seguridad física, amenazas internas, riesgos de la cadena de suministro, planificación de la continuidad del negocio y recuperación ante desastres) en una única arquitectura de resiliencia coherente, con un único responsable ejecutivo.
• Alinean el trabajo con las normas ISO 22361, ISO 22301 e ISO 31030, que son referencias internacionales ampliamente utilizadas que proporcionan un marco práctico para la implementación y ayudan a las organizaciones a demostrar su madurez.
• Invierten en ejercicios de simulación y simulacros que resultan incómodos, no en aquellos que confirman que el plan funciona. Además, se encargan de formar adecuadamente a sus consejos de administración desde el principio, de modo que, cuando el oficial de enlace eleve un asunto a las 2 de la madrugada, no haya que volver a explicar las funciones y competencias en pleno incidente.

CER, NIS2 y DORA: ¿Dónde pueden surgir duplicidades en los flujos de trabajo y lagunas?

Muchas organizaciones pueden estar sujetas a más de un marco normativo, entre ellos el CER, el NIS2 y, cuando proceda, la DORA, por lo que es habitual que surjan dudas sobre la duplicación, la rendición de cuentas y las lagunas. No vamos a convertir esto en una receta, ya que la aplicación práctica varía considerablemente según el sector, la transposición nacional y el grado de madurez actual de su organización. Sin embargo, hay algunos patrones que se repiten con suficiente frecuencia como para que merezca la pena mencionarlos.

La primera consiste en considerar el CER como un mero proyecto de cumplimiento normativo, asignándolo al departamento jurídico o a una única función de gestión de riesgos y elaborando un informe. Esto genera papeleo, no resiliencia. El espíritu de la Directiva es de carácter operativo.

El segundo es subestimar la interrelación entre NIS2 y DORA. Muchas organizaciones entrarán simultáneamente en el ámbito de aplicación de dos o tres normativas. Llevar a cabo líneas de trabajo paralelas y descoordinadas agota el presupuesto, crea confusión en cuanto a la responsabilidad y deja lagunas en la interfaz entre el ámbito físico y el cibernético.

El tercero se detiene en el ámbito de la sede central. La condición de entidad crítica se aplica cuando se prestan servicios esenciales, a menudo en instalaciones, plantas, centros de datos, centros logísticos, hospitales y subestaciones. Los documentos de gobernanza redactados en la capital que no se traduzcan en una preparación operativa sobre el terreno no superarán su primera inspección.

El cuarto es el punto ciego en la gestión de crisis. Contar con un impresionante registro de riesgos no equivale a tener capacidad de respuesta ante una crisis. La capacidad de haber identificado correctamente tu «empresa mínima viable», detectar una señal débil, reunir a las personas adecuadas en cuestión de minutos, tomar decisiones con información incompleta, coordinar a las partes interesadas internas y externas, y comunicarte de forma coherente bajo presión, es una capacidad distinta que se puede entrenar. Además, es la que con mayor frecuencia se descubre que falta durante la primera prueba real..

La importancia de la preparación como componente clave del cumplimiento de la CER.

Nuestros equipos de expertos llevan más de 40 años acompañando a las organizaciones en su camino hacia la gestión de crisis y la resiliencia, en todos los sectores, en todos los continentes y a lo largo de crisis que, en su conjunto, han transformado la forma en que las organizaciones serias abordan el riesgo. Lo que más nos llama la atención, al echar la vista atrás a los últimos años, es lo profundamente que ha cambiado el entorno operativo y por qué la preparación se ha convertido en una disciplina de liderazgo. Los ecosistemas en los que todos debemos desenvolvernos están más interconectados, son más competitivos y menos indulgentes de lo que eran hace tan solo cinco años. El CER es, en muchos sentidos, el reconocimiento normativo de esa nueva realidad..

Según lo que observamos, las organizaciones que mejor se desenvuelven en este entorno son aquellas que han interiorizado las siguientes lecciones clave:

• La resiliencia es una disciplina ejecutiva, no departamental. En el momento en que se delega, se reduce, y es precisamente la resiliencia limitada la que se rompe primero.
• La calidad de las decisiones que se toman en una crisis se determina meses antes de que esta se produzca. No mediante planes, sino a través de la confianza, los hábitos y las competencias que se han forjado dentro del equipo directivo y más allá de él.
• La interconexión es el factor que multiplica los riesgos y que casi todo el mundo sigue subestimando. Identificar las dependencias, el personal, los proveedores, los datos, los terceros y las zonas geográficas es ahora tan importante como identificar los activos.
• El aprendizaje sincero tras un incidente es la inversión que más beneficios reporta en materia de resiliencia. La mayoría de las organizaciones analizan lo ocurrido de forma cortés; las que son resilientes lo hacen de forma incómoda.

¿Cómo se puede acelerar la preparación para el cumplimiento de los CER?

De cara al mes de julio, las organizaciones tal vez deseen plantearse una serie de medidas para reforzar su capacidad de resiliencia, en función de su perfil de riesgo y del marco normativo.

• Evaluaciones del grado de preparación del CER y de las deficiencias con respecto a los requisitos de la Directiva y a la transposición nacional correspondiente, comparadas con las normas ISO 22361, ISO 22301 e ISO 31030.
• Evaluaciones de riesgos de todo tipo adaptadas a sus servicios esenciales, instalaciones e interdependencias, incluyendo escenarios de amenazas internas y amenazas híbridas.
• Diseño de programas de gestión de crisis y mejora de su madurez, gobernanza, preparación para auditorías y elaboración de un conjunto de pruebas de resiliencia mediante manuales de actuación, marcos de toma de decisiones, simulaciones a nivel ejecutivo y aprendizaje tras las acciones.
• Apoyo a la elaboración y puesta en marcha de un plan de resiliencia, incluidas las medidas organizativas, de seguridad física y de seguridad del personal que exige la Directiva.
• La preparación para la notificación de incidentes, incluido el procedimiento de notificación las 24 horas del día a las autoridades competentes y la cadena de escalamiento, que debe funcionar a cualquier hora.
• Reuniones informativas con el consejo de administración y los directivos para poner de acuerdo a los responsables sobre las responsabilidades ante los organismos reguladores, los auditores o la realidad, antes de que surja la pregunta.
• Apoyo integrado entre el CER, el NIS2 y, cuando proceda, el DORA, de modo que las líneas de trabajo se refuercen mutuamente en lugar de competir por el mismo presupuesto.

¿Cómo podemos ayudar a tu organización?

Ayudamos a las organizaciones a reforzar sus capacidades de gestión de crisis y resiliencia operativa en todos los sectores y zonas geográficas, centrándonos en la preparación práctica y real.
 
Si tu organización puede verse afectada por el CER o si deseas reforzar vuestras capacidades de gestión de crisis y resiliencia, contacta con nosotros. El plazo es fijo y las organizaciones se están centrando cada vez más en cómo reforzar de la mejor manera posible su preparación antes de la implementación, no dudes en ponerte en contacto con nosotros.

Disclaimer: Este artículo ofrece una visión general de la Directiva de la UE sobre la resiliencia de las entidades críticas (CER). No pretende constituir un asesoramiento jurídico ni normativo, y las organizaciones deben buscar la orientación adecuada en función de sus circunstancias específicas y de la legislación nacional aplicable.