Reglas de ciberseguridad para servicios esenciales y digitales

Resumen automático, sin revisar

1. La norma regula la seguridad de las redes y sistemas de información usados para prestar servicios esenciales y servicios digitales, y crea un sistema para notificar incidentes. También fija un marco institucional y de coordinación entre autoridades.
2. Se aplica a los operadores de servicios esenciales establecidos en España y a los proveedores de servicios digitales con sede en España, como mercados en línea, motores de búsqueda y servicios de nube. Quedan fuera las microempresas y pequeñas empresas proveedoras de servicios digitales.
3. Los operadores y proveedores deben adoptar medidas de seguridad proporcionadas al riesgo y designar a un responsable de la seguridad de la información. Además, deben notificar los incidentes con efectos perturbadores significativos, con una notificación inicial, intermedias y una final.
4. Quien informe sobre incidentes queda protegido: no puede sufrir consecuencias negativas en su trabajo salvo mala fe, y la entidad notificante no asume mayor responsabilidad por notificar.
5. Las infracciones se clasifican en muy graves, graves y leves, con multas de hasta 1.000.000 euros en el caso más grave. La norma prefiere impulsar la subsanación: en algunos supuestos se puede apercibir en lugar de sancionar.
6. La supervisión corre a cargo de autoridades competentes según el tipo de operador, como el CNPIC, la Secretaría de Estado para el Avance Digital o el Centro Criptológico Nacional, apoyadas por los equipos de respuesta a incidentes (CSIRTCSIRT Equipo que analiza riesgos, vigila incidentes de seguridad informática, difunde alertas y ayuda a resolverlos.) de referencia.

A quién afecta

• Operadores de servicios esenciales (energía, transporte, salud, agua, sistema financiero, entre otros sectores estratégicos): Deben adoptar medidas de seguridad, designar un responsable de seguridad y notificar los incidentes significativos.
• Proveedores de servicios digitales (mercados en línea, motores de búsqueda y computación en nube) con sede en España: Deben comunicar su actividad en tres meses, aplicar medidas de seguridad y notificar incidentes significativos.
• Trabajadores que informen sobre incidentes: Quedan protegidos frente a consecuencias negativas en su puesto de trabajo.
• Autoridades públicas competentes y CSIRT de referencia: Supervisan el cumplimiento, reciben las notificaciones y pueden sancionar.

Palabras que conviene saber

Servicio esencial

Servicio necesario para funciones sociales básicas, la salud, la seguridad o el bienestar de los ciudadanos, que depende de redes y sistemas de información.

CSIRT

Equipo que analiza riesgos, vigila incidentes de seguridad informática, difunde alertas y ayuda a resolverlos.

Servicio de computación en nube

Servicio que permite usar recursos de computación compartidos y ajustables a través de Internet.

Real decreto-ley

Norma con rango de ley que el Gobierno puede aprobar de urgencia en situaciones extraordinarias.

Resume la ley tal como se publicó en el BOE. Lo escribe una inteligencia artificial y puede tener errores: el texto oficial es el que vale. Leer el texto oficial · Cómo hacemos los resúmenes