Per Tom Meevis, advocat de Law & More
La ciberseguretat ja no és purament una qüestió tècnica. També és una qüestió legal i de governança que afecta pràcticament totes les organitzacions de qualsevol mida.
Amb la Directiva NIS2 europea i la Llei de ciberseguretat neerlandesa, la responsabilitat de la resiliència digital es trasllada fermament al consell d'administració. La Llei de ciberseguretat neerlandesa entra en vigor el 15 d'agost de 2026. Per tant, els propietaris d'empreses, els directors i els responsables de compliment han d'establir amb poca antelació:
- si la seva organització entra dins l'àmbit d'aplicació de les noves normes;
- quines obligacions se'n deriven;
- quines mesures calen;
- i com l'organització pot complir aquestes obligacions.
Aquest article estableix els elements principals de NIS2 i la Llei de ciberseguretat neerlandesa: l'abast, el deure de diligència, el deure de notificació, la responsabilitat del consell d'administració, l'aplicació de la llei i les mesures que les organitzacions poden prendre ara.
Què és NIS2?
NIS2 és la designació formal de la Directiva (UE) 2022/2555. Succeeix a la primera directiva europea de seguretat de les xarxes i la informació, generalment anomenada NIS1.
Els estats membres havien de transposar la NIS2 a la legislació nacional abans del 17 d'octubre de 2024. A partir del 18 d'octubre de 2024, la NIS2 va substituir formalment la directiva anterior.
El seu objectiu és augmentar i alinear millor el nivell de ciberresiliència dins de la Unió Europea. Això s'articula en dues línies principals. En primer lloc, un abast més ampli: moltes més organitzacions entren dins de les normes que sota NIS1. En segon lloc, una supervisió més reforçada i una aplicació més estricta, amb un conjunt d'eines més ampli i responsabilitats més clares per als directors.
Mentre que el NIS1 distingia entre operadors de serveis essencials i proveïdors de serveis digitals, el NIS2 treballa amb entitats essencials i entitats importants. Aquesta distinció no és merament terminològica: entre altres coses, determina la intensitat de la supervisió i el nivell de les possibles multes.
Quines organitzacions pertanyen a NIS2?
NIS2 s'aplica a organitzacions actives en divuit sectors designats, dividits en sectors d'alta criticitat i altres sectors crítics.
Els sectors d'alta criticitat inclouen l'energia, el transport, la banca, les infraestructures del mercat financer, la sanitat, l'aigua potable i les aigües residuals, les infraestructures digitals, la gestió de serveis TIC per a usuaris empresarials, l'administració pública i l'espai.
Els altres sectors crítics inclouen els serveis postals i de missatgeria, la gestió de residus, els productes químics, l'alimentació, la indústria manufacturera, els proveïdors digitals i les institucions de recerca.
El llindar de mida
Dins d'aquests sectors, la regla principal és que una organització entra dins del NIS2 quan es qualifica com a empresa mitjana o gran. Els criteris són tenir almenys 50 empleats o una facturació anual o un balanç general superior a 10 milions d'euros.
Hi ha excepcions a aquesta regla principal. Algunes organitzacions entren dins l'àmbit d'aplicació independentment de la seva mida, perquè els seus serveis es consideren particularment crítics:
- proveïdors de xarxes i serveis públics de comunicacions electròniques;
- proveïdors de serveis de confiança;
- proveïdors de serveis de registre de noms de domini;
- registres de noms de domini de nivell superior;
- organismes del sector públic.
A partir del 15 d'agost de 2026, les noves obligacions s'apliquen a més de 8,000 organitzacions als Països Baixos. Això representa una expansió considerable en comparació amb el nombre que cobreix l'actual Llei de seguretat de xarxes i sistemes d'informació.
Per tant, les organitzacions que abans no es consideraven part d'un sector crític poden quedar atrapades, inclosos els fabricants mitjans, els productors d'aliments, les institucions de recerca i els proveïdors de serveis digitals. És important destacar que les organitzacions són responsables d'avaluar si entren dins de l'àmbit d'aplicació. No arribarà cap carta d'un supervisor que els ho indiqui.
El deure de cura: quines mesures calen?
El nucli de NIS2 i de la Llei de ciberseguretat neerlandesa és el deure de diligència. Les entitats essencials i importants han de prendre mesures tècniques, operatives i organitzatives adequades i proporcionades per gestionar els riscos per a la seva xarxa i els seus sistemes d'informació.
Les normes identifiquen els temes que la política ha d'abordar en qualsevol cas:
- anàlisi de riscos i política de seguretat de la informació;
- gestió d'incidents;
- continuïtat del negoci, gestió de còpies de seguretat i recuperació de desastres;
- seguretat de la cadena de subministrament;
- ciberhigiene i formació del personal;
- política de gestió de vulnerabilitats;
- autenticació multifactor;
- comunicacions segures;
- criptografia;
- avaluació periòdica de l'eficàcia de les mesures.
Les mesures han de ser proporcionades a la mida de l'organització i als riscos als quals està realment exposada. Per tant, una entitat important més petita no ha de prendre les mateixes mesures que una entitat essencial gran en un sector d'alt risc.
Això no fa que el deure de diligència sigui opcional. Les organitzacions han de poder justificar quins riscos han identificat, quines mesures han pres i per què aquestes mesures són apropiades. No només les mesures en si, sinó també la manera com es valoren, es registren i s'avaluen periòdicament està subjecta a supervisió.
Obligació de notificació després d'un incident
Juntament amb el deure de diligència, el NIS2 imposa un deure de notificació gradual per a incidents significatius. Quan un incident té o pot tenir un impacte substancial en la continuïtat dels serveis, s'apliquen els següents terminis en termes generals:
- en un termini de 24 hores, un avís previ a l'equip nacional de resposta a incidents de seguretat informàtica o a l'autoritat competent;
- en un termini de 72 hores, una notificació formal amb una avaluació inicial de la gravetat i l'impacte;
- en el termini màxim d'un mes, un informe final que descrigui l'incident, la seva probable causa principal, les mesures adoptades i qualsevol efecte transfronterer.
Aquests terminis fan necessari establir procediments clars amb antelació. L'organització ha de saber quan un incident és notificable, qui està autoritzat a notificar-lo, quina informació ha d'estar disponible, qui coordina i com s'informa la junta i el supervisor.
Una organització que només intenta establir un procés de notificació durant un incident corre un risc considerable de no poder informar a temps o completament.
Responsabilitat de la junta directiva
Un element important de NIS2 és que la responsabilitat de gestionar el risc cibernètic recau expressament en el consell d'administració. El consell ha d'aprovar les mesures de seguretat, supervisar-ne la implementació, ser capaç d'avaluar els riscos cibernètics de l'organització i rebre la formació suficient.
Per tant, la ciberseguretat ja no es pot tractar com una responsabilitat exclusiva del departament d'informàtica. És un tema de governança que ha de formar part de la presa de decisions i la gestió de riscos habituals.
La directiva també aborda expressament la responsabilitat personal de l'alta direcció en cas d'incompliment per part de l'organització. Registrar la participació del consell d'administració en conseqüència, per exemple, documentant la formació realitzada, les decisions del consell, la política aprovada, les avaluacions de riscos, els informes i la supervisió de la implementació.
La implementació neerlandesa
La implementació neerlandesa del NIS2 s'ha endarrerit substancialment. No es va complir el termini de transposició del 17 d'octubre de 2024.
El 8 de juliol de 2026, la Comissió Europea va decidir portar els Països Baixos, juntament amb Irlanda, Espanya i França, davant el Tribunal de Justícia de la Unió Europea per no haver notificat les mesures de transposició. Els Països Baixos es trobaven, doncs, entre els quatre països endarrerits de la Unió Europea.
El moment és preciós. Un dia abans, el 7 de juliol de 2026, el Senat havia aprovat la Llei de ciberseguretat i la Llei de resiliència d'entitats crítiques. Queda per veure si el fet que la Llei s'hagués adoptat abans que s'enviés la remissió afecta el resultat del procediment; això ho ha de decidir el Tribunal.
Ambdues lleis entren en vigor el 15 d'agost de 2026. La Llei de ciberseguretat implementa la Directiva NIS2; la Llei de resiliència d'entitats crítiques implementa la Directiva europea CER, destinada a la resiliència de les infraestructures crítiques. Les organitzacions cobertes per aquesta última seran designades formalment com a entitats crítiques a partir del 15 d'agost de 2026.
En entrar en vigor, l'actual Llei de seguretat de xarxes i sistemes d'informació (Wbni) caduca. Per a les organitzacions que ja hi estan incloses, això significa obligacions més pesades; per a les organitzacions que entren dins l'àmbit d'aplicació per primera vegada, un règim completament nou.
Registre amb el NCSC
Una nova obligació important és el registre al Centre Nacional de Ciberseguretat. Les entitats essencials i importants s'han d'inscriure al registre nacional d'entitats. Aquest registre és obligatori a partir del 15 d'agost de 2026 i es realitza a través del portal MijnNCSC, utilitzant eHerkenning per a organitzacions ordinàries i SSOnRijk per a organismes del sector públic. Els canvis en les dades registrades s'han de notificar en un termini de catorze dies.
El registre no és només un tràmit administratiu. Un cop registrades, les organitzacions es poden connectar als serveis del seu CSIRT, que ofereix productes i serveis per augmentar la resiliència, així com suport en cas d'incident. Prepareu el registre amb antelació, de manera que la implementació no comenci només després de l'entrada en vigor.
Supervisió i aplicació
La Llei de ciberseguretat preveu un règim de supervisió diferenciat. Les entitats essencials estan subjectes a una supervisió proactiva: el supervisor pot fer comprovacions contínues i per iniciativa pròpia, sense cap incident o senyal específic. Les entitats importants estan subjectes a una supervisió reactiva, on el supervisor actua en principi en resposta a un incident, una queixa o un altre senyal concret.
La supervisió es divideix entre diverses autoritats. A partir del 15 d'agost de 2026, l'Autoritat Neerlandesa per a la Infraestructura Digital supervisa organitzacions en nou sectors; altres supervisors estan designats per a altres sectors. Establiu quin supervisor és competent per a la vostra organització.
El conjunt d'eines de control és ampli i inclou:
- una anàlisi de seguretat o una auditoria de seguretat;
- una instrucció vinculant;
- una ordre d'execució administrativa o una ordre subjecta a una multa;
- publicació d'una infracció;
- una multa administrativa;
- per a entitats essencials: suspensió d'una certificació, d'una autorització o d'un membre del consell d'administració.
Per a les entitats essencials, la multa màxima és de com a mínim 10 milions d'euros o el 2% de la facturació anual mundial total, el que sigui més alt. Per a les entitats importants, és de com a mínim 7 milions d'euros o l'1.4% de la facturació anual mundial, de nou el que sigui més alt. El nivell final depèn de les circumstàncies del cas, inclosa la naturalesa, la gravetat i la durada de la infracció, el grau de culpabilitat i les mesures adoptades.
Què pot fer ara la vostra organització?
- Realitzar una autoavaluació. Establir si l'organització és activa en un sector designat i compleix el llindar de mida.
- Determineu la categoria correcta. Establiu si l'organització es qualifica com a entitat essencial o important i quin supervisor és competent.
- Prepareu el registre. Recopileu les dades necessàries per al registre amb el NCSC a través de MijnNCSC.
- Provar les mesures de deure de cura. Avaluar les mesures existents sobre anàlisi de riscos, resposta a incidents, continuïtat del negoci, seguretat de la cadena de subministrament, ciberhigiene, vulnerabilitats, autenticació multifactor i criptografia.
- Establiu el procés de notificació. Registreu qui avalua si un incident és notificable, qui notifica i com es compleixen els terminis de 24 hores, 72 hores i un mes.
- Implicar la junta de manera demostrable. Registrar quines decisions ha pres la junta, quina formació s'ha dut a terme i com s'exerceix la supervisió de la implementació.
- Incloeu la cadena de subministrament. Una gran part de les vulnerabilitats no sorgeixen dins de l'organització en si, sinó en els proveïdors i prestadors de serveis. Reviseu els vostres contractes sobre els acords de seguretat, els deures de notificació i els drets d'auditoria.
Per acabar
La Llei de ciberseguretat i la Llei de resiliència d'entitats crítiques representen un enduriment considerable de les obligacions de ciberseguretat. Un abast més ampli, mesures concretes de deure de cura, terminis de notificació ajustats, responsabilitat personal dels directors i un conjunt d'eines substancials per al compliment de la normativa fan que les organitzacions no puguin deixar de banda aquest tema. Amb l'entrada en vigor el 15 d'agost de 2026, el temps de preparació és curt.
Law & More ajuda les empreses, els directors i els responsables de compliment normatiu a determinar la seva posició segons NIS2 i la Llei de ciberseguretat neerlandesa, a establir i provar les mesures de deure de diligència, a preparar el registre amb el NCSC i a integrar legalment la política de ciberseguretat.
Voleu que s'avaluï la posició de la vostra organització segons les noves normes? No dubteu a contactar amb nosaltres per a una conversa sense compromís.
Preguntes freqüents
A continuació responem a les preguntes que ens fan més sovint sobre aquest tema.
Quan entra en vigor la Llei de ciberseguretat neerlandesa?
El 15 d'agost de 2026, el Senat va aprovar la Llei de ciberseguretat i la Llei de resiliència d'entitats crítiques el 7 de juliol de 2026. En entrar en vigor, l'actual Llei de seguretat de xarxes i sistemes d'informació (Wbni) caduca.
La meva organització està subjecta a NIS2?
Això depèn del sector i de la mida. El NIS2 cobreix divuit sectors designats i, dins d'aquests sectors, com a regla general, organitzacions amb almenys 50 empleats o una facturació anual o un balanç general superior a 10 milions d'euros. Algunes parts estan cobertes independentment de la seva mida.
Rebré una notificació si la meva organització està dins de l'àmbit d'aplicació?
No. Les organitzacions són responsables d'avaluar si entren dins de la Llei de ciberseguretat. Esperar comporta el risc que s'apliquin obligacions abans que s'hagi fet l'avaluació.
Quina diferència hi ha entre una entitat essencial i una entitat important?
Determina la intensitat de la supervisió i el nivell de les possibles multes. Les entitats essencials estan subjectes a supervisió proactiva, on el supervisor pot comprovar per iniciativa pròpia. Les entitats importants estan subjectes a supervisió reactiva, impulsada per un incident, una queixa o un altre senyal.
Què implica el deure de cura?
Prendre mesures tècniques, operatives i organitzatives adequades i proporcionades per gestionar els riscos per a la vostra xarxa i els vostres sistemes d'informació, que abastin qüestions com l'anàlisi de riscos, la gestió d'incidents, la continuïtat del negoci, la seguretat de la cadena de subministrament, la ciberhigiene, les vulnerabilitats, l'autenticació multifactor i la criptografia. Heu de poder justificar per què les mesures escollides són adequades.
Quins terminis de notificació s'apliquen després d'una incidència?
Un avís precoç en 24 hores, una notificació formal en 72 hores amb una avaluació inicial de la gravetat i l'impacte, i un informe final en un termini màxim d'un mes. Establiu el procés de notificació amb antelació.
La meva organització s'ha de registrar?
Sí. El registre al registre nacional d'entitats és obligatori a partir del 15 d'agost de 2026 i es fa a través de MijnNCSC, utilitzant eHerkenning o, per a organismes del sector públic, SSOnRijk. Els canvis s'han de notificar en un termini de catorze dies. Un cop registrat, us podeu connectar als serveis del vostre CSIRT.
Quina responsabilitat recau en la junta directiva?
El consell ha d'aprovar les mesures de seguretat, supervisar-ne la implementació, ser capaç d'avaluar els riscos cibernètics i sotmetre's a formació. La directiva aborda la responsabilitat personal de l'alta direcció per incompliment, per la qual cosa cal registrar les decisions, la formació i la supervisió de manera demostrable.
Quin és el preu de les multes?
Per a entitats essencials, com a mínim 10 milions d'euros o el 2% de la facturació anual mundial; per a entitats importants, com a mínim 7 milions d'euros o l'1.4%, en cada cas el que sigui més alt. El nivell final depèn de factors com ara la naturalesa, la gravetat i la durada de la infracció i el grau de culpabilitat.
Qui supervisa el compliment?
Això varia segons el sector. A partir del 15 d'agost de 2026, l'Autoritat Neerlandesa per a la Infraestructura Digital supervisa organitzacions en nou sectors; hi ha altres supervisors designats per a altres sectors. Establiu quin supervisor és competent per a la vostra organització.
Per què s'ha remès els Països Baixos al Tribunal de Justícia?
Per transposició tardana de NIS2. El 8 de juliol de 2026, la Comissió Europea va decidir portar els Països Baixos, juntament amb Irlanda, Espanya i França, al Tribunal de Justícia per no haver notificat les mesures de transposició. El fet que la Llei de ciberseguretat s'hagués adoptat un dia abans no posa per si sol fi a aquests procediments.
Això també s'aplica als meus proveïdors?
La seguretat de la cadena de subministrament és un dels temes de deure de diligència. Una gran part de les vulnerabilitats sorgeixen en proveïdors i prestadors de serveis. Reviseu els vostres contractes sobre els acords de seguretat, els deures de notificació i els drets d'auditoria.
