Alemania: BSIG

Al punto común de notificación (gemeinsame Meldestelle) del BSI y de la Oficina Federal de Protección Civil y Asistencia en Catástrofes (BBK), al que se accede por el portal del BSI. El artículo 32, apartado 1, de la BSIG fija las etapas: una primera notificación temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación en 72 horas, una notificación intermedia a petición del BSI y una notificación final a más tardar un mes después de la de 72 horas. Si en ese momento el incidente sigue en curso, se presenta un informe de situación y la notificación final llega cuando se haya gestionado el incidente (artículo 32, apartado 2). La obligación rige como pronto desde que se habilitó el canal de notificación. Según el artículo 36, el BSI confirma la recepción sin demora y, si es posible, en 24 horas, y a petición ofrece orientación sobre medidas correctoras.

Según el artículo 33, apartado 1, de la BSIG, las entidades especialmente importantes e importantes se registran a más tardar tres meses después de pasar a considerarse como tales, por primera vez o de nuevo, mediante el sistema de registro creado por el BSI y la BBK. Comunican su nombre y forma jurídica, dirección y datos de contacto, incluidos los rangos públicos de direcciones IP, su sector, los Estados miembros en los que prestan servicios y sus autoridades de supervisión. Los operadores de instalaciones críticas se registrarán en su lugar según el artículo 8 de la KRITIS-Dachgesetz (artículo 33, apartado 2), pero solo cuando entre en vigor el reglamento que identifica las instalaciones críticas con arreglo a esa ley; hasta entonces, el artículo 66 mantiene la redacción anterior del artículo 33, apartado 2, así que siga las instrucciones vigentes del BSI. Los cambios deben comunicarse sin demora y a más tardar en dos semanas (artículo 33, apartado 5). Si una entidad no se registra, el BSI puede registrarla él mismo de acuerdo con las autoridades de supervisión (artículo 33, apartado 3), y no comunicar los datos correctamente o a tiempo es una infracción administrativa sancionable con multa de hasta 500 000 euros según el artículo 65. Guarde la confirmación con su documentación de NIS2.

Sobre todo las empresas de los tipos de entidad de los anexos 1 y 2 de la BSIG que alcanzan los umbrales de tamaño del artículo 28, además de algunas entidades con independencia de su tamaño. Según el artículo 28, apartado 1, son entidades especialmente importantes, entre otras, los operadores de instalaciones críticas, los prestadores cualificados de servicios de confianza, los registros de dominios de primer nivel y los proveedores de servicios DNS, así como las empresas de un tipo de entidad del anexo 1 con al menos 250 empleados o más de 50 millones de euros de facturación y más de 43 millones de euros de balance. Según el artículo 28, apartado 2, son entidades importantes, entre otras, los demás prestadores de servicios de confianza y las empresas de un tipo de entidad de los anexos 1 o 2 con al menos 50 empleados o más de 10 millones de euros tanto de facturación como de balance. Las actividades secundarias insignificantes pueden no tenerse en cuenta (apartado 3), y las cifras de empresas asociadas o vinculadas no se suman si la empresa es independiente en su informática (apartado 4). El BSI ofrece una autoevaluación en su web.

Sobre todo el tamaño, el sector y la supervisión, no las obligaciones de fondo. La ley alemana usa en el artículo 28 de la BSIG los términos besonders wichtige Einrichtung (entidad especialmente importante) y wichtige Einrichtung (entidad importante); corresponden a las entidades esenciales e importantes de NIS2. Ambas deben adoptar las medidas de gestión de riesgos del artículo 30, notificar los incidentes significativos según el artículo 32, registrarse según el artículo 33 y cumplir las obligaciones de la dirección del artículo 38. Las diferencias están en la supervisión y las multas: el BSI puede revisar por iniciativa propia a las entidades especialmente importantes, ordenar auditorías y exigir pruebas (artículo 61), mientras que con las importantes actúa cuando los hechos apuntan a incumplimientos (artículo 62); las multas máximas del artículo 65 son más altas para las especialmente importantes. Los operadores de instalaciones críticas, siempre especialmente importantes, tienen obligaciones adicionales, como sistemas de detección de ataques (artículo 31) y pruebas periódicas (artículo 39).

Porque el artículo 33, apartado 1, de la BSIG los incluye entre los datos de contacto que las entidades deben comunicar, para que el BSI pueda dirigir sus avisos a la organización correcta. Cuando el BSI o un socio sabe que una dirección de su rango forma parte de una botnet, expone un servicio vulnerable o está siendo atacada, necesita saber de quién es para avisarle rápido. En la práctica, muchas empresas no conocen sus rangos de memoria: pueden estar asignados por el proveedor de internet, repartidos entre sedes o dispersos en servicios en la nube. Recójalos de los contratos con proveedores y de la configuración de los routers, anote qué rango corresponde a qué sede y mantenga la lista al día, porque los cambios deben comunicarse en dos semanas según el artículo 33, apartado 5. El registro no autoriza a nadie a escanear ni atacar esas direcciones. NetSenX no hace el registro, pero su vista de red muestra qué equipos internos se comunican con el exterior y por qué direcciones.

El BSI puede registrarle él mismo, pedir documentos, y es posible una multa. Según el artículo 33, apartado 3, de la BSIG, el BSI puede efectuar el registro de acuerdo con las autoridades de supervisión competentes si una entidad no lo hace. Según el apartado 4, si los hechos indican que una entidad no ha cumplido su obligación de registro, debe facilitar a petición del BSI los documentos e información que este necesite para valorarlo. No comunicar los datos exigidos, o comunicarlos de forma incorrecta, incompleta o tardía, es una infracción administrativa según el artículo 65, apartado 2, número 6, sancionable con multa de hasta 500 000 euros según el artículo 65, apartado 5. No registrarse tampoco suspende las demás obligaciones: las medidas de gestión de riesgos y la notificación se aplican porque cumple los criterios, no porque esté registrado. Si duda de si está incluido, use la autoevaluación del BSI y documente el resultado.

Son procesos, apoyados en herramientas técnicas y en una integración organizativa, que detectan ataques a los sistemas informáticos comparando los datos que estos procesan con información y patrones técnicos que indican ataques. Es la definición del artículo 2, número 41, de la BSIG. El artículo 31, apartado 2, obliga a los operadores de instalaciones críticas a usar estos sistemas para los sistemas, componentes y procesos informáticos determinantes para el funcionamiento de sus instalaciones críticas; los sistemas deben recoger y evaluar de forma continua y automática parámetros adecuados de la operación, deberían poder identificar y evitar amenazas y prever medidas de corrección, y seguir el estado de la técnica con un coste proporcionado a las consecuencias de un fallo. La definición subraya la integración organizativa: una herramienta que nadie mira no la cumple. Una detección de red como NetSenX puede ser un componente técnico; los procesos, funciones y respuesta en torno a ella le corresponden a usted.

No directamente: el artículo 31, apartado 2, de la BSIG solo se aplica a los operadores de instalaciones críticas. Las demás entidades especialmente importantes e importantes, entre ellas muchas empresas medianas, quedan bajo las medidas generales de gestión de riesgos del artículo 30, que exigen medidas adecuadas, proporcionadas y eficaces para evitar perturbaciones y reducir el impacto de los incidentes, incluida la gestión de incidentes de seguridad (artículo 30, apartado 2, número 2). El artículo 30 no menciona la detección de ataques, pero gestionar incidentes y cumplir la etapa de 24 horas del artículo 32 es difícil sin una forma de notarlos, así que muchas entidades usan detección proporcionada a su riesgo. Los clientes que operan instalaciones críticas también pueden exigirla a sus proveedores por contrato. Documente por qué la detección elegida encaja con su tamaño y exposición. NetSenX ofrece detección de red en todos los planes, incluido Free, y dice lo que no ve.

Medidas técnicas y organizativas adecuadas, proporcionadas y eficaces, documentadas y que cubran al menos diez áreas. Según el artículo 30, apartado 1, las entidades especialmente importantes e importantes deben adoptar medidas para evitar perturbaciones de la disponibilidad, integridad y confidencialidad de los sistemas, componentes y procesos informáticos que usan para prestar sus servicios, y reducir al mínimo el impacto de los incidentes de seguridad. La proporcionalidad tiene en cuenta la exposición al riesgo, el tamaño de la entidad, los costes de aplicación y la probabilidad y gravedad de los incidentes y sus efectos sociales y económicos. El cumplimiento debe documentarse. Según el apartado 2, las medidas deberían seguir el estado de la técnica y tener en cuenta las normas europeas e internacionales pertinentes, y deben basarse en un enfoque que abarque todos los peligros; el apartado enumera las áreas mínimas, que reproducen el artículo 21, apartado 2, de NIS2, desde el análisis de riesgos y la gestión de incidentes hasta la autenticación multifactor. Para ciertos proveedores digitales prevalece el acto de ejecución de la UE (apartado 3).

Hasta 10 millones de euros para las entidades especialmente importantes y 7 millones para las importantes por las infracciones principales, con máximos ligados a la facturación para las grandes empresas. El artículo 65, apartado 5, de la BSIG fija estos topes para infracciones como no adoptar las medidas de gestión de riesgos del artículo 30, no documentarlas, no notificar los incidentes correctamente o a tiempo según el artículo 32 y ciertas obligaciones de información del artículo 35. Para entidades con una facturación mundial total superior a 500 millones de euros, el máximo sube al 2 % de la facturación en las especialmente importantes y al 1,4 % en las importantes (apartados 6 y 7). Otras infracciones tienen topes menores, por ejemplo hasta 500 000 euros por un registro incorrecto o tardío y hasta 100 000 euros para algunas otras. Son máximos: el importe real depende del caso. A ello se suma, por el artículo 38, la responsabilidad de la dirección según el derecho de sociedades.

Sí, frente a la sociedad, según las normas del derecho de sociedades. El artículo 38, apartado 1, de la BSIG obliga a la dirección de las entidades especialmente importantes e importantes a aplicar las medidas de gestión de riesgos del artículo 30 y a supervisar su aplicación. Según el apartado 2, los directivos que incumplen estas obligaciones responden ante su entidad por los daños causados con culpa conforme a las normas de derecho de sociedades aplicables a su forma jurídica; solo si el derecho de sociedades no contiene tal regla, la responsabilidad la establece la propia BSIG. Para una GmbH o una AG, eso remite a los estándares conocidos del administrador diligente. Además, en las entidades especialmente importantes, la autoridad de supervisión puede, como último recurso, prohibir temporalmente el ejercicio de sus funciones a directivos poco fiables si no se cumplen las órdenes del BSI (artículo 61, apartado 9). Documente aprobaciones, revisiones y formación, y compruebe si su seguro de administradores cubre estas reclamaciones.

Sí, de forma periódica. El artículo 38, apartado 3, de la BSIG obliga a la dirección de las entidades especialmente importantes e importantes a participar periódicamente en formaciones para adquirir conocimientos y competencias suficientes con los que reconocer y valorar los riesgos y las prácticas de gestión de riesgos en seguridad de la información, y juzgar su impacto en los servicios de la entidad. La ley no fija horas, formato ni certificado, así que elija una formación adecuada a su sector y tamaño y repítala con una frecuencia razonable, por ejemplo cada año y tras cambios importantes en las amenazas o en la ley. La obligación es personal de los miembros de la dirección: delegarla en el responsable de informática no la cumple. Guarde certificados de asistencia y el programa: el BSI puede incluir el cumplimiento del artículo 38, apartado 3, en las auditorías que ordena a las entidades especialmente importantes según el artículo 61, apartado 1, y actuar con las importantes según el artículo 62.

Confirma la recepción y puede ayudar, y en algunos casos puede obligarle a informar al público o hacerlo él mismo. Según el artículo 36, apartado 1, de la BSIG, el BSI envía a la entidad notificante una confirmación de recepción sin demora y, si es posible, en 24 horas, y a petición le da orientación o asesoramiento operativo sobre medidas correctoras; también puede ofrecer apoyo técnico adicional si se le pide. Según el apartado 2, si hace falta concienciar al público para prevenir o gestionar un incidente significativo, o si la divulgación es de interés público por otra razón, el BSI puede, tras oír a la entidad, obligarla a informar al público, o informarle él mismo. El BSI usa además las notificaciones para avisar a otros y elaborar la situación nacional. Las notificaciones voluntarias y el intercambio de información no crean obligaciones adicionales que no existirían de otro modo (artículo 30, apartado 7). Guarde copia de todo lo que haya enviado.

En lo esencial de NIS2, no: siguen DORA. El artículo 28, apartado 6, de la BSIG dispone que los artículos 30, 31, 32, 35, 36, 38 y 39, que cubren gestión de riesgos, detección de ataques, notificación de incidentes, deberes de información, obligaciones de la dirección y pruebas, no se aplican a las entidades financieras del artículo 2, apartado 2, del Reglamento (UE) 2022/2554 (DORA) ni a las empresas a las que se aplican los requisitos de DORA a través de la ley bancaria o la ley de supervisión de seguros alemanas. Su gestión de riesgos TIC y su notificación de incidentes se rigen por DORA y las supervisa el supervisor financiero. Otras disposiciones de la BSIG, como el registro del artículo 33, no están en esa lista, así que revíselas por separado. Los proveedores TIC de estas entidades no quedan exentos por esta regla: si ellos mismos están en el ámbito de la BSIG, la aplican, y DORA les llega por sus contratos.

Sí, si está incluida, de formas que dependen de su categoría. Para las entidades especialmente importantes, el BSI puede ordenar auditorías, controles o certificaciones por organismos independientes para verificar las medidas de gestión de riesgos, las obligaciones de notificación y la formación de la dirección (artículo 61, apartado 1, de la BSIG); a partir de tres años después de la entrada en vigor puede exigir pruebas de cumplimiento a otras entidades especialmente importantes (apartado 3); y puede comprobar el cumplimiento por sí mismo, con derecho a entrar en los locales en horario habitual y a ver documentos (apartado 5). Para las entidades importantes, el BSI comprueba y puede tomar las mismas medidas cuando los hechos indican que no se cumplen las obligaciones (artículo 62). Los operadores de instalaciones críticas deben aportar pruebas mediante auditorías, controles o certificaciones cada tres años (artículo 39). Tenga lista la documentación de las medidas del artículo 30, que el apartado 1 exige de todos modos.