Atenci髇 norma derogada, ver regulaci髇 posterior

Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇

• 

  La administración digital en la era de las tecnologías disruptivas

  Libros
  Desde 82,00 €
  
  (IVA Inc.)
  Más info.
• 

  Manual de Presupuestos y Contabilidad de las Corporaciones Locales. 10ª edición

  Libros
  Desde 100,78 €
  
  (IVA Inc.)
  Más info.
• 

  Práctica Urbanística

  Periódicos y Revistas
  308,88 €
  343,20 €
  (IVA Inc.)
  Más info.
• 

  Actualidad Administrativa

  Periódicos y Revistas
  554,32 €
  
  (IVA Inc.)
  Más info.

Sumario

LE0000744597_20230116 Directiva 2016/1148/2016, 6 julio, derogada por el art韈ulo 44 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de ciberseguridad en toda la Uni髇, por la que se modifican el Reglamento (UE) n.� 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (獶.O.U.E.L.� 27 diciembre), con efectos a partir del 18 de octubre de 2024.

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNI覰 EUROPEA,

Visto el Tratado de Funcionamiento de la Uni髇 Europea, y en particular su art韈ulo 114,

Vista la propuesta de la Comisi髇 Europea,

Previa transmisi髇 del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comit� Econ髆ico y Social Europeo (1) ,

De conformidad con el procedimiento legislativo ordinario (2) ,

Considerando lo siguiente:

• (1) Las redes y sistemas de informaci髇 desempe馻n un papel crucial en la sociedad. Su fiabilidad y seguridad son esenciales para las actividades econ髆icas y sociales, y en particular para el funcionamiento del mercado interior.
• (2) La magnitud, la frecuencia y los efectos de los incidentes de seguridad se est醤 incrementando y representan una grave amenaza para el funcionamiento de las redes y sistemas de informaci髇. Esos sistemas pueden convertirse adem醩 en objetivo de acciones nocivas deliberadas destinadas a perjudicar o interrumpir su funcionamiento. Este tipo de incidentes puede interrumpir las actividades econ髆icas, generar considerables p閞didas financieras, menoscabar la confianza del usuario y causar grandes da駉s a la econom韆 de la Uni髇.
• (3) Las redes y sistemas de informaci髇, principalmente internet, contribuyen de forma decisiva a facilitar la circulaci髇 transfronteriza de productos, servicios y personas. Debido a ese car醕ter transnacional, una perturbaci髇 grave de esas redes y sistemas, ya sea o no deliberada, y con independencia del lugar en que se produzca, puede afectar a diferentes Estados miembros y a la Uni髇 en su conjunto. Por consiguiente, la seguridad de las redes y sistemas de informaci髇 es fundamental para el correcto funcionamiento del mercado interior.
• (4) Partiendo de los significativos avances logrados en el marco del Foro Europeo de Estados miembros, que ha permitido promover discusiones e intercambios de informaci髇 sobre buenas pr醕ticas pol韙icas, incluida la elaboraci髇 de principios de cooperaci髇 europea ante crisis cibern閠icas, procede establecer un Grupo de cooperaci髇 compuesto por representantes de los Estados miembros, la Comisi髇 y la Agencia de Seguridad de las Redes y de la Informaci髇 de la Uni髇 Europea (ENISA) a fin de respaldar y facilitar la cooperaci髇 estrat間ica entre los Estados miembros en lo relativo a la seguridad de las redes y sistemas de informaci髇. Para que dicho grupo sea eficaz e integrador, es esencial que todos los Estados miembros posean unas capacidades m韓imas y una estrategia que garanticen un elevado nivel de seguridad de las redes y sistemas de informaci髇 en su territorio. Por otra parte, los operadores de servicios esenciales y los proveedores de servicios digitales deben estar sujetos a requisitos en materia de seguridad y notificaci髇 de incidentes, con el fin de fomentar una cultura de gesti髇 de riesgos y garantizar que se informe de los incidentes m醩 graves.
• (5) Las capacidades existentes no bastan para garantizar un elevado nivel de seguridad de las redes y sistemas de informaci髇 en la Uni髇. Los niveles de preparaci髇 de los Estados miembros son muy distintos, lo que ha dado lugar a planteamientos fragmentados en la Uni髇. Esta situaci髇 genera niveles desiguales de protecci髇 de los consumidores y las empresas, comprometiendo el nivel general de seguridad de las redes y sistemas de informaci髇 de la Uni髇. A su vez, la inexistencia de requisitos comunes aplicables a los operadores de servicios esenciales y los proveedores de servicios digitales imposibilita la creaci髇 de un mecanismo global y eficaz de cooperaci髇 en la Uni髇. Las universidades y los centros de investigaci髇 tienen un papel determinante que desempe馻r a la hora de impulsar la investigaci髇, el desarrollo y la innovaci髇 en esos 醡bitos.
• (6) Para dar una respuesta efectiva a los problemas de seguridad de las redes y sistemas de informaci髇 es necesario un planteamiento global en la Uni髇 que integre requisitos m韓imos comunes en materia de desarrollo de capacidades y planificaci髇, intercambio de informaci髇, cooperaci髇 y requisitos comunes de seguridad para los operadores de servicios esenciales y los proveedores de servicios digitales. No obstante, no est� excluido que los operadores de servicios esenciales y los proveedores de servicios digitales apliquen medidas de seguridad m醩 estrictas que las previstas en la presente Directiva.
• (7) Para cubrir todos los incidentes y riesgos pertinentes, la presente Directiva debe aplicarse tanto a los operadores de servicios esenciales como a los proveedores de servicios digitales. Sin embargo, las obligaciones impuestas a los operadores de servicios esenciales y a los proveedores de servicios digitales no deben aplicarse a empresas que suministren redes p鷅licas de comunicaciones o presten servicios de comunicaciones electr髇icas disponibles para el p鷅lico en el sentido de la Directiva 2002/21/CE del Parlamento Europeo y del Consejo (3) , que est醤 sujetas a los requisitos espec韋icos de seguridad e integridad establecidos en dicha Directiva, como tampoco a los prestadores de servicios de confianza definidos en el Reglamento (UE) n.� 910/2014 del Parlamento Europeo y del Consejo (4) , que est醤 sujetos a los requisitos de seguridad establecidos en dicho Reglamento.
• (8) La presente Directiva debe entenderse sin perjuicio de que los Estados miembros puedan adoptar las medidas necesarias para garantizar la protecci髇 de los intereses esenciales de su seguridad, preservar el orden p鷅lico y la seguridad p鷅lica, y permitir la investigaci髇, detecci髇 y enjuiciamiento de infracciones penales. De conformidad con el art韈ulo 346 del Tratado de Funcionamiento de la Uni髇 Europea (TFUE), ning鷑 Estado miembro est� obligado a facilitar informaci髇 cuya divulgaci髇 considere contraria a los intereses esenciales de su seguridad. En este contexto, son relevantes la Decisi髇 2013/488/UE del Consejo (5) y los acuerdos sobre confidencialidad o los acuerdos informales sobre confidencialidad como el Protocolo para el intercambio de informaci髇.
• (9) Determinados sectores de la econom韆 ya est醤 ya regulados o pueden regularse en el futuro mediante actos jur韉icos sectoriales de la Uni髇 que incluyan normas relacionadas con la seguridad de las redes y sistemas de informaci髇. Siempre que esos actos jur韉icos de la Uni髇 contengan disposiciones por las que se impongan requisitos en materia de seguridad de las redes y sistemas de informaci髇 o en materia de notificaci髇 de incidentes, dichas disposiciones deben aplicarse en lugar de las disposiciones correspondientes de la presente Directiva si contienen requisitos cuyos efectos sean, como m韓imo, equivalentes a los de las obligaciones que establece la presente Directiva. En tales casos, los Estados miembros deben aplicar lo dispuesto en los mencionados actos jur韉icos sectoriales de la Uni髇, incluidos los relativos a cuestiones de competencia judicial, y no deben llevar a cabo el proceso de identificaci髇 de los operadores de servicios esenciales, tal como se definen en la presente Directiva. En este contexto, los Estados miembros deben facilitar a la Comisi髇 informaci髇 sobre la aplicaci髇 de dichas disposiciones con car醕ter de lex specialis. A la hora de determinar si los requisitos en materia de seguridad de las redes y sistemas de informaci髇 o en materia de notificaci髇 de incidentes establecidos en los actos jur韉icos sectoriales de la Uni髇 son o no equivalentes a los que se establecen en la presente Directiva, debe tenerse 鷑icamente en cuenta lo dispuesto en los actos jur韉icos de la Uni髇 aplicables y su aplicaci髇 en los Estados miembros.
• (10) En el sector del transporte mar韙imo y fluvial, los requisitos de seguridad que imponen los actos jur韉icos de la Uni髇 a las compa耥as, buques, instalaciones portuarias, puertos y servicios de gesti髇 del tr醘ico de buques se aplican a la totalidad de las operaciones, incluidas las de los sistemas de radio y telecomunicaciones, los sistemas inform醫icos y las redes. Una parte de los procedimientos obligatorios que han de seguirse se refiere a la notificaci髇 de todos los incidentes de seguridad, y debe, por tanto, considerarse lex specialis en la medida en que dichos requisitos sean al menos equivalentes a las disposiciones correspondientes de la presente Directiva.
• (11) Al identificar a los operadores del sector del transporte mar韙imo y fluvial, los Estados miembros deben tener en cuenta los c骴igos y directrices internacionales existentes o que se puedan elaborar en el futuro, en particular, por parte de la Organizaci髇 Mar韙ima Internacional, con el fin de proporcionar a los diferentes operadores mar韙imos un planteamiento coherente.
• (12) La regulaci髇 y la supervisi髇 del sector bancario y de las infraestructuras de los mercados financieros han sido objeto de una elevada armonizaci髇 en la Uni髇 mediante el recurso al Derecho primario y al Derecho derivado de la Uni髇 y a normas elaboradas junto con las autoridades europeas de supervisi髇. Dentro de la Uni髇 Bancaria, el Mecanismo 趎ico de Supervisi髇 garantiza la aplicaci髇 y supervisi髇 de dichos requisitos. En los Estados miembros que no forman parte de la Uni髇 Bancaria, son los reguladores bancarios competentes de cada Estado miembro los que garantizan dicha funci髇. En otros 醡bitos de regulaci髇 del sector financiero, el Sistema Europeo de Supervisi髇 Financiera tambi閚 garantiza un alto grado de uniformidad y convergencia de las pr醕ticas de supervisi髇. La Autoridad Europea de Valores y Mercados tambi閚 desempe馻 una funci髇 directa de supervisi髇 para determinadas entidades, concretamente las agencias de calificaci髇 crediticia y los registros de operaciones.
• (13) El riesgo operativo es un componente fundamental de la regulaci髇 y la supervisi髇 prudenciales en los sectores de la banca y las infraestructuras del mercado financiero. Dicho riesgo se extiende a todas las operaciones, incluidas la seguridad, la integridad y la resistencia de las redes y sistemas de informaci髇. Los requisitos relativos a estos sistemas, que a menudo son m醩 estrictos que los establecidos en la presente Directiva, se recogen en una serie de actos jur韉icos de la Uni髇 que incluyen normas sobre el acceso a la actividad de las entidades de cr閐ito y a la supervisi髇 prudencial de las entidades de cr閐ito y las empresas de inversi髇, y normas sobre los requisitos prudenciales aplicables a las entidades de cr閐ito y las empresas de inversi髇, que incluyen requisitos sobre el riesgo operativo; normas sobre los mercados de instrumentos financieros, que incluyen requisitos sobre evaluaci髇 de riesgos para las empresas de inversi髇 y los mercados regulados; normas sobre los derivados extraburs醫iles, las entidades de contrapartida central y los registros de operaciones, que incluyen requisitos sobre el riesgo operativo para dichas entidades y registros; y normas sobre la mejora de la liquidaci髇 de valores en la Uni髇 y sobre los depositarios centrales de valores, que incluyen requisitos sobre el riesgo operativo. Por otra parte, los requisitos de notificaci髇 de incidentes forman parte de la pr醕tica normal en materia de supervisi髇 en el sector financiero y est醤 incluidos a menudo en los manuales de supervisi髇. Los Estados miembros deben tener en cuenta dichas normas y requisitos a la hora de aplicar la lex specialis.
• (14) Como ya observ� el Banco Central Europeo en su dictamen de 25 de julio de 2014 (6) , la presente Directiva no afecta al r間imen de supervisi髇 de los sistemas de pago y liquidaci髇 del Eurosistema en virtud del Derecho de la Uni髇. Conviene que las autoridades responsables de esa supervisi髇 intercambien experiencias sobre cuestiones relacionadas con la seguridad de las redes y sistemas de informaci髇 con las autoridades competentes en virtud de la presente Directiva. Esta consideraci髇 se aplica asimismo a los miembros del Sistema Europeo de Bancos Centrales que no sean miembros de la zona Euro y que ejerzan esa supervisi髇 de los sistemas de pago y liquidaci髇 sobre la base de disposiciones legales y reglamentarias nacionales.
• (15) Los mercados en l韓ea permiten a consumidores y comerciantes celebrar contratos de compraventa o de prestaci髇 de servicios en l韓ea con comerciantes, y son el destino final de celebraci髇 de tales contratos. Esos mercados no deben tener por objeto servicios en l韓ea que constituyan 鷑icamente un paso intermedio para acceder a servicios prestados por terceros a trav閟 de los que finalmente se pueda celebrar un contrato. Por consiguiente, no deben tener por objeto servicios en l韓ea que comparen el precio de los productos o servicios de diferentes comerciantes para luego dirigir al usuario hacia el comerciante al que este prefiera comprar el producto. Los servicios inform醫icos prestados por el mercado en l韓ea pueden incluir servicios de tramitaci髇 de transacciones, agregaci髇 de datos o elaboraci髇 de perfiles de los usuarios. Las tiendas de aplicaciones, que funcionan como tiendas en l韓ea que posibilitan la distribuci髇 digital de aplicaciones o programas inform醫icos de terceros, deben ser consideradas un tipo de mercado en l韓ea.
• (16) Los motores de b鷖queda en l韓ea permiten al usuario realizar b鷖quedas, en principio, en todos los sitios web, a partir de una consulta sobre cualquier tema. Tambi閚 pueden restringirse a sitios web en una lengua determinada. La definici髇 de 玬otor de b鷖queda en l韓ea� de la presente Directiva no debe incluir las funciones de b鷖queda que se limiten al contenido de un sitio web en concreto, con independencia de que la funci髇 de b鷖queda la proporcione un motor de b鷖queda externo. Tampoco debe incluir, por consiguiente, servicios en l韓ea que comparen el precio de los distintos productos o servicios de diferentes comerciantes para luego dirigir al usuario hacia el comerciante al que se prefiera comprar el producto.
• (17) Los servicios de computaci髇 en nube abarcan toda una serie de actividades que pueden realizarse seg鷑 diferentes modelos. A efectos de la presente Directiva, se entiende por 玸ervicios de computaci髇 en nube� aquellos servicios que permiten acceder a un conjunto modulable y el醩tico de recursos inform醫icos que se pueden compartir. Esos 玸ervicios de computaci髇� incluyen recursos tales como las redes, servidores u otras infraestructuras, sistemas de almacenamiento, aplicaciones y servicios. El t閞mino 玬odulable� se refiere a los recursos de computaci髇 que el proveedor de servicios en nube puede asignar de manera flexible con independencia de la localizaci髇 geogr醘ica de los recursos para hacer frente a fluctuaciones de la demanda. El t閞mino 玡l醩tico� se usa para describir los recursos de los que se abastece y que se ponen a la venta seg鷑 la demanda, de modo que se puedan aumentar o reducir con rapidez los recursos disponibles en funci髇 de la carga de trabajo. La expresi髇 玵ue se pueden compartir� se usa para describir recursos inform醫icos que se proporcionan a m鷏tiples usuarios que comparten un acceso com鷑 al servicio pero la tramitaci髇 se lleva a cabo por separado para cada usuario, aunque el servicio se preste desde el mismo equipo electr髇ico.
• (18) La funci髇 de un punto de intercambio de internet (en lo sucesivo, 獻XP�, por sus siglas en ingl閟 de 玦nternet exchange point�) es conectar redes entre s�. Un IXP no proporciona acceso a la red ni act鷄 como proveedor o transportista de servicios de tr醤sito. Tampoco presta otros servicios ajenos a la interconexi髇, aunque ello no impide que un IXP preste tales servicios. El IXP existe para conectar entre s� redes que est醤 t閏nica y organizativamente diferenciadas. El t閞mino 玸istema aut髇omo� se emplea para describir una red que es t閏nicamente independiente.
• (19) Los Estados miembros deben ser responsables de determinar qu� entidades cumplen los criterios de la definici髇 de 玱perador de servicios esenciales�. A efectos de garantizar un planteamiento coherente, la definici髇 de operador de servicios esenciales debe ser aplicada de manera coherente por todos los Estados miembros. A tal fin, la presente Directiva prev� un examen de las entidades que desarrollan su actividad en sectores y subsectores espec韋icos, el establecimiento de una lista de servicios esenciales, la consideraci髇 de una lista com鷑 de factores intersectoriales que permitan determinar si un incidente potencial tendr韆 un efecto perturbador significativo, un proceso de consulta en el que participen los Estados miembros pertinentes en el caso de las entidades que prestan servicios en varios Estados miembros, y el apoyo del Grupo de cooperaci髇 en el proceso de identificaci髇. Con el fin de garantizar que los cambios que puedan producirse en el mercado se tengan debidamente en cuenta, los Estados miembros deben revisar peri骴icamente la lista de operadores identificados y actualizarla cuando sea necesario. Por 鷏timo, los Estados miembros deben presentar a la Comisi髇 la informaci髇 necesaria para valorar en qu� medida este m閠odo com鷑 ha permitido que los Estados miembros apliquen la definici髇 de modo coherente.
• (20) En el proceso de identificaci髇 de los operadores de servicios esenciales, los Estados miembros deben valorar, como m韓imo para cada uno de los subsectores que se indican en la presente Directiva, qu� servicios han de considerarse esenciales para el mantenimiento de actividades sociales y econ髆icas vitales y determinar si las entidades enumeradas en los sectores y subsectores que se indican en la presente Directiva y que prestan esos servicios cumplen los criterios de identificaci髇 de los operadores. Al valorar si una entidad presta un servicio que es esencial para el mantenimiento de actividades sociales o econ髆icas cruciales, basta con examinar si la entidad presta un servicio que est� incluido en la lista de servicios esenciales. Por otra parte, debe demostrarse que la prestaci髇 del servicio esencial depende de redes y sistemas de informaci髇. Por 鷏timo, al valorar si un incidente en las redes y sistemas de informaci髇 relativo a la prestaci髇 del servicio tendr韆 un efecto perturbador significativo en la prestaci髇 de este, los Estados miembros deben tener en cuenta una serie de factores intersectoriales, as� como, en su caso, los factores sectoriales pertinentes.
• (21) A efectos de la identificaci髇 de los operadores de servicios esenciales, el establecimiento en un Estado miembro implica el ejercicio real y efectivo de una actividad mediante una organizaci髇 estable. La forma jur韉ica de dicha organizaci髇, ya sea a trav閟 de una sucursal o una filial con personalidad jur韉ica, no es el factor determinante a este respecto.
• (22) Es posible que las entidades que operan en los sectores y subsectores que se indican en la presente Directiva presten tanto servicios esenciales como no esenciales. Por ejemplo, en el sector del transporte a閞eo, los aeropuertos prestan servicios que un Estado miembro puede considerar esenciales, como la gesti髇 de las pistas, pero tambi閚 una serie de servicios que pueden considerarse no esenciales, como la oferta de zonas comerciales. Los operadores de servicios esenciales deben estar sujetos a los requisitos espec韋icos de seguridad 鷑icamente respecto de aquellos servicios que se consideren esenciales. Para la identificaci髇 de los operadores, los Estados miembros deben por lo tanto establecer una lista de los servicios que se consideren esenciales.
• (23) La lista de servicios debe contener la totalidad de los servicios prestados en el territorio de un determinado Estado miembro que cumplan los requisitos establecidos en la presente Directiva. Los Estados miembros deben estar facultados para completar la lista existente incluyendo en ella nuevos servicios. La lista de servicios debe servir de referencia para que los Estados miembros puedan identificar a los operadores de servicios esenciales. Su finalidad es determinar los tipos de servicios esenciales en cada uno de los sectores que se indican en la presente Directiva, distingui閚dolos as� de los servicios no esenciales de los que una entidad activa en un sector determinado pueda ser responsable. La lista de servicios establecida por cada Estado miembro ser韆 otro elemento de utilidad para evaluar las pr醕ticas normativas de cada Estado miembro con el fin de garantizar la coherencia global del proceso de identificaci髇 en todos los Estados miembros.
• (24) Para los fines del proceso de identificaci髇, cuando una entidad preste un servicio esencial en dos o m醩 Estados miembros, estos deben entablar entre s� conversaciones bilaterales o multilaterales. Este proceso de consulta tiene por objeto ayudarles a valorar el car醕ter cr韙ico del operador en t閞minos de su impacto transfronterizo, permitiendo a cada Estado miembro participante exponer su punto de vista en lo que respecta a los riesgos asociados a los servicios prestados. Los Estados miembros interesados deben tener en cuenta los puntos de vista de los dem醩 en este proceso, y deben poder solicitar la asistencia del Grupo de cooperaci髇 a este respecto.
• (25) Como resultado del proceso de identificaci髇, los Estados miembros deben adoptar medidas nacionales para determinar qu� entidades est醤 sujetas a obligaciones en materia de seguridad de las redes y sistemas de informaci髇. Este resultado podr韆 alcanzarse mediante la elaboraci髇 de una lista en la que se enumere a todos los operadores de servicios esenciales, o bien mediante la adopci髇 de medidas nacionales que incluyan criterios objetivos y cuantificables, como la producci髇 del operador o el n鷐ero de usuarios, que permitan determinar qu� entidades han de quedar sujetas a las obligaciones en materia de seguridad de las redes y sistemas de informaci髇. Las medidas nacionales, con independencia de que ya existieran o de que se adopten en el contexto de la presente Directiva, deben incluir todas las medidas jur韉icas y administrativas y las pol韙icas que permitan identificar a los operadores de servicios esenciales a los efectos de la presente Directiva.
• (26) Para dar una indicaci髇 de la importancia, en relaci髇 con el sector de que se trate, de los operadores identificados de servicios esenciales, los Estados miembros deben tener en cuenta el n鷐ero y la magnitud de los operadores identificados, por ejemplo en t閞minos de cuota de mercado o cantidad producida o transportada, sin necesidad de divulgar informaci髇 que pueda revelar qu� operadores han sido identificados.
• (27) A fin de determinar si un incidente podr韆 tener un efecto perturbador significativo, los Estados miembros deben tener en cuenta distintos factores, como el n鷐ero de usuarios que conf韆n en dicho servicio para fines tanto privados como profesionales. La utilizaci髇 de ese servicio puede ser directa, indirecta o mediante intermediario. Al evaluar el impacto, en t閞minos de magnitud y duraci髇, que podr韆 tener un incidente en las actividades econ髆icas y sociales o en la seguridad p鷅lica, los Estados miembros deben considerar tambi閚 el tiempo que probablemente tendr韆 que transcurrir antes de que la discontinuidad empiece a tener repercusiones negativas.
• (28) Adem醩 de los factores intersectoriales, deben tambi閚 tenerse en cuenta factores espec韋icamente sectoriales para determinar si un incidente tendr韆 un efecto perturbador significativo en la prestaci髇 de un servicio esencial. En el caso de los proveedores de energ韆, esos factores podr韆n ser el volumen o la proporci髇 de la energ韆 nacional generada; en el caso de los proveedores de petr髄eo, el volumen diario; en el caso del transporte a閞eo, incluidos aeropuertos y compa耥as a閞eas, del transporte ferroviario y de los puertos mar韙imos, la proporci髇 del volumen de tr醘ico nacional y el n鷐ero de viajeros u operaciones de transporte de mercanc韆s anuales; en el caso de la banca o las infraestructuras del mercado financiero, su importancia sist閙ica, valorada seg鷑 los activos totales o la raz髇 entre estos y el producto interior bruto; en el caso del sector sanitario, el n鷐ero de pacientes atendidos cada a駉 por el prestador de servicios sanitarios; en el caso de la producci髇, tratamiento y abastecimiento de agua, el volumen y el n鷐ero y los tipos de usuarios abastecidos incluidos, por ejemplo, hospitales, organismos que presten servicios p鷅licos o particulares, y la existencia de fuentes alternativas de suministro de agua para abastecer la misma zona geogr醘ica.
• (29) A fin de alcanzar y mantener un elevado nivel de seguridad de las redes y sistemas de informaci髇, cada Estado miembro debe disponer de una estrategia nacional de seguridad de las redes y sistemas de informaci髇 que fijen los objetivos estrat間icos y las medidas concretas que haya que aplicar.
• (30) Habida cuenta de las diferencias existentes entre las estructuras nacionales de gobernanza y con el fin de salvaguardar las disposiciones sectoriales vigentes o los organismos de supervisi髇 y regulaci髇 de la Uni髇 ya existentes, y para evitar duplicidades, los Estados miembros deben poder designar a m醩 de una autoridad nacional competente responsable de ejercer las funciones vinculadas a la seguridad de las redes y sistemas de informaci髇 de los operadores de servicios esenciales y los proveedores de servicios digitales en virtud de la presente Directiva.
• (31) Con el fin de facilitar la cooperaci髇 y la comunicaci髇 transfronterizas y de permitir una aplicaci髇 efectiva de la presente Directiva, es necesario que cada Estado miembro designe, sin perjuicio de las disposiciones normativas sectoriales, un punto de contacto 鷑ico nacional que se encargue de coordinar las cuestiones relacionadas con la seguridad de las redes y sistemas de informaci髇 y de la cooperaci髇 transfronteriza a escala de la Uni髇. Las autoridades competentes y los puntos de contacto 鷑ico deben disponer de recursos t閏nicos, financieros y humanos adecuados para garantizar que puedan ejercer de manera efectiva y eficiente las funciones que se les atribuyen y alcanzar de este modo los objetivos de la presente Directiva. Dado que la finalidad de la presente Directiva es mejorar el funcionamiento del mercado interior mediante la creaci髇 de un clima de confianza y seguridad, los organismos de los Estados miembros deben poder cooperar eficazmente con los agentes econ髆icos y han de estar estructurados en consecuencia.
• (32) Las autoridades competentes o los equipos de respuesta a incidentes de seguridad inform醫ica (en lo sucesivo, 獵SIRT�, por sus siglas en ingl閟 de 玞omputer security incident response teams�) deben recibir las notificaciones de los incidentes. Los puntos de contacto 鷑icos no deben recibir directamente ninguna notificaci髇 de incidente, salvo en caso de que act鷈n tambi閚 como autoridad competente o como CSIRT. No obstante, una autoridad competente o un CSIRT ha de poder encargar al punto de contacto 鷑ico que transmita notificaciones de incidentes a los puntos de contacto 鷑icos de los dem醩 Estados miembros afectados.
• (33) Para garantizar que la informaci髇 se facilite efectivamente a los Estados miembros y a la Comisi髇, el punto de contacto 鷑ico debe presentar un informe resumido al Grupo de cooperaci髇, y este debe estar anonimizado para proteger la confidencialidad de las notificaciones y la identidad de los operadores de servicios esenciales y los proveedores de servicios digitales, dado que, para el intercambio de informaci髇 sobre buenas pr醕ticas dentro del Grupo de cooperaci髇, no es necesaria informaci髇 sobre la identidad de las entidades notificantes. El informe resumido debe contener informaci髇 sobre el n鷐ero de notificaciones recibidas y sobre las caracter韘ticas de los incidentes notificados, como los tipos de vulneraciones de la seguridad, su gravedad o su duraci髇.
• (34) Los Estados miembros deben disponer de capacidades t閏nicas y de organizaci髇 adecuadas para poder adoptar medidas de prevenci髇, detecci髇, respuesta y mitigaci髇 de los incidentes y riesgos que afecten a las redes y sistemas de informaci髇. Los Estados miembros deben asegurarse por tanto de que disponen de CSIRT que funcionen adecuadamente y cumplan los requisitos esenciales para as� disponer de capacidades efectivas y compatibles que permitan hacer frente a incidentes y riesgos y garantizar una cooperaci髇 eficaz a escala de la Uni髇. Con el fin de que todos los tipos de operadores de servicios esenciales y proveedores de servicios digitales gocen de este tipo de capacidades y posibilidades de cooperaci髇, los Estados miembros deben asegurarse de que todos ellos queden cubiertos por un CSIRT designado. Dada la importancia de la cooperaci髇 internacional en materia de ciberseguridad, los CSIRT deben tener la posibilidad de participar en redes internacionales de cooperaci髇 adem醩 de la red de CSIRT establecida en virtud de la presente Directiva.
• (35) La cooperaci髇 entre los sectores p鷅lico y privado es esencial dado que la mayor parte de las redes y sistemas de informaci髇 es de gesti髇 privada. Se debe alentar a los operadores de servicios esenciales y proveedores de servicios digitales a crear sus propios mecanismos de cooperaci髇 informal para garantizar la seguridad de las redes y sistemas de informaci髇. Cuando sea indicado, el Grupo de cooperaci髇 ha de poder invitar a los interesados a las discusiones. Para fomentar eficazmente el intercambio de informaci髇 y buenas pr醕ticas, es esencial garantizar que los operadores de servicios esenciales y los proveedores de servicios digitales que participan en dichos intercambios no queden en desventaja a causa de su cooperaci髇.
• (36) La ENISA debe prestar asistencia a los Estados miembros y a la Comisi髇 ofreci閚doles su experiencia, conocimientos y asesoramiento y facilitando el intercambio de buenas pr醕ticas. En particular, a la hora de aplicar la presente Directiva, la Comisi髇 debe consultar a la ENISA, y los Estados miembros deben poder hacerlo. Para desarrollar las capacidades y los conocimientos en los Estados miembros, el Grupo de cooperaci髇 debe servir tambi閚 de instrumento para intercambiar informaci髇 sobre buenas pr醕ticas, discutir sobre las capacidades y el grado de preparaci髇 de los Estados miembros y, a t韙ulo voluntario, prestar ayuda a los miembros del grupo para evaluar las estrategias nacionales en materia de seguridad de las redes y sistemas de informaci髇, la creaci髇 de capacidades y los ejercicios de evaluaci髇 relativos a la seguridad de las redes y sistemas de informaci髇.
• (37) En su caso, los Estados miembros deben poder utilizar o adaptar las estructuras organizativas o las estrategias existentes al aplicar la presente Directiva.
• (38) Las funciones del Grupo de cooperaci髇 y las de la ENISA son interdependientes y complementarias. En general, la ENISA debe ayudar al Grupo de cooperaci髇 en la ejecuci髇 de sus funciones, en consonancia con el objetivo de aquella, establecido en el Reglamento (UE) n.� 526/2013 del Parlamento Europeo y del Consejo (7) , a saber, ayudar a las instituciones, 髍ganos y organismos de la Uni髇 y a los Estados miembros a aplicar las pol韙icas necesarias para cumplir los requisitos legales y reglamentarios relativos a la seguridad de las redes y de la informaci髇 que figuran en actos jur韉icos actuales y futuros de la Uni髇. En particular, la ENISA debe prestar asistencia en aquellos 醡bitos que corresponden a sus propias funciones, enumeradas en el Reglamento (UE) n.� 526/2013, a saber, analizar las estrategias de la seguridad de las redes y los sistemas de informaci髇, apoyar la organizaci髇 y realizaci髇 de ejercicios relativos a la seguridad de las redes y sistemas de informaci髇 a escala de la Uni髇 e intercambiar informaci髇 y buenas pr醕ticas en materia de sensibilizaci髇 y formaci髇. La ENISA tambi閚 debe participar en la elaboraci髇 de las directrices aplicables a los criterios sectoriales de determinaci髇 de la gravedad de las repercusiones de un incidente.
• (39) A fin de promover un elevado nivel de seguridad de las redes y sistemas de informaci髇, el Grupo de cooperaci髇 debe, en su caso, cooperar con las instituciones, 髍ganos y organismos de la Uni髇 para intercambiar conocimientos pr醕ticos y buenas pr醕ticas, y para ofrecer asesoramiento sobre aspectos de seguridad de las redes y sistemas de informaci髇 que puedan incidir en la labor de dichas instituciones, 髍ganos y organismos, sin dejar de respetar las disposiciones vigentes en materia de intercambio de informaci髇 restringida. Cuando coopere con las autoridades policiales en los aspectos relacionados con la seguridad de las redes y de la informaci髇 que puedan incidir en la labor de dichas autoridades, el Grupo de cooperaci髇 debe respetar los canales de informaci髇 existentes y las redes establecidas.
• (40) La informaci髇 sobre incidentes tiene cada vez mayor utilidad para la poblaci髇 en general y para las empresas, en particular las peque馻s y medianas empresas. En algunos casos, este tipo de informaci髇 ya se proporciona a trav閟 de sitios web de 醡bito nacional, en la lengua de un pa韘 concreto, dedicados principalmente a incidentes y sucesos con una dimensi髇 nacional. Dado que las empresas operan cada vez m醩 con car醕ter transfronterizo y que los particulares utilizan servicios en l韓ea, la informaci髇 sobre incidentes debe facilitarse de modo agregado a escala de la Uni髇. Es conveniente que la secretar韆 de la red de CSIRT mantenga un sitio web, o dedique una p醙ina dentro de un sitio web existente, en el que se ponga a disposici髇 del p鷅lico informaci髇 general sobre los principales incidentes en materia de seguridad que afecten a las redes y sistemas de informaci髇 acaecidos en toda la Uni髇, prestando una atenci髇 especial a los intereses y necesidades de las empresas. Conviene asimismo que los CSIRT que participen en dicha red faciliten con car醕ter voluntario la informaci髇 que deba publicarse en ese sitio web, sin incluir informaci髇 confidencial o delicada.
• (41) Cuando la informaci髇 se considere confidencial de conformidad con las normas nacionales y de la Uni髇 en materia de confidencialidad empresarial, debe mantenerse ese car醕ter confidencial a la hora de desarrollar las actividades y cumplir los objetivos establecidos en la presente Directiva.
• (42) Los ejercicios que simulan en tiempo real situaciones asociadas a un incidente son esenciales para comprobar el grado de preparaci髇 de los Estados miembros y su capacidad de cooperaci髇 por lo que respecta a la seguridad de las redes y sistemas de informaci髇. El ciclo de ejercicios denominado CyberEurope, coordinado por la ENISA con la participaci髇 de los Estados miembros, es una herramienta 鷗il para hacer pruebas y elaborar recomendaciones sobre el modo de ir mejorando la gesti髇 de incidentes a escala de la Uni髇. Considerando que, en la actualidad, los Estados miembros no est醤 obligados a planificar ejercicios ni a participar en ellos, la creaci髇 de la red de CSIRT en virtud de la presente Directiva ha de permitirles participar en ejercicios basados en una planificaci髇 precisa y en decisiones estrat間icas. El Grupo de cooperaci髇 establecido en virtud de la presente Directiva debe discutir sobre las decisiones estrat間icas relativas a los ejercicios, en particular, aunque no exclusivamente, por lo que respecta a la regularidad de los mismos y a la concepci髇 de las hip髏esis. La ENISA, de conformidad con su mandato, debe apoyar la organizaci髇 y realizaci髇 de ejercicios a escala de la Uni髇, ofreciendo sus conocimientos especializados y su asesoramiento al Grupo de coordinaci髇 y a la red de CSIRT.
• (43) El alcance mundial de los problemas que afectan a la seguridad de las redes y sistemas de informaci髇 hace necesaria una mayor cooperaci髇 internacional para mejorar las normas de seguridad y el intercambio de informaci髇, y promover un planteamiento global com鷑 con respecto a las cuestiones de seguridad.
• (44) La responsabilidad de velar por la seguridad de las redes y sistemas de informaci髇 recae en gran medida en los operadores de servicios esenciales y los proveedores de servicios digitales. Debe fomentarse una cultura de gesti髇 de riesgos que implique una evaluaci髇 del riesgo y la aplicaci髇 de medidas de seguridad adecuadas a los riesgos que hay que afrontar, y esta se debe desarrollar a trav閟 de requisitos normativos adecuados y pr醕ticas sectoriales voluntarias. Asimismo, es indispensable sentar unas condiciones de igualdad dignas de confianza para garantizar el funcionamiento efectivo del Grupo de cooperaci髇 y la red de CSIRT y, por ende, la cooperaci髇 efectiva de todos los Estados miembros.
• (45) La presente Directiva se aplica 鷑icamente a las administraciones p鷅licas que hayan sido identificadas como operadores de servicios esenciales. Por consiguiente, es responsabilidad de los Estados miembros garantizar la seguridad de las redes y sistemas de informaci髇 de las administraciones p鷅licas que no est閚 incluidas en el 醡bito de aplicaci髇 de la presente Directiva.
• (46) Entre las medidas de gesti髇 del riesgo figuran aquellas cuya finalidad es determinar todo riesgo de incidentes, prevenir, detectar y gestionar incidentes y mitigar sus repercusiones. La seguridad de las redes y sistemas de informaci髇 comprende la seguridad de los datos conservados, transmitidos y procesados.
• (47) Las autoridades competentes deben seguir estando facultadas para adoptar directrices nacionales acerca de las circunstancias en las que los operadores de servicios esenciales deben notificar incidentes.
• (48) Numerosas empresas de la Uni髇 recurren para prestar sus propios servicios a proveedores de servicios digitales. Dado que algunos servicios digitales pueden representar un recurso importante para sus usuarios, incluidos los operadores de servicios esenciales, y dado que esos usuarios no siempre pueden recurrir a otras opciones, la presente Directiva debe aplicarse tambi閚 a los proveedores de ese tipo de servicios. La seguridad, continuidad y fiabilidad del tipo de servicios digitales a que se refiere la presente Directiva tienen una importancia capital para el buen funcionamiento de numerosas empresas. La perturbaci髇 de un servicio digital puede impedir la prestaci髇 de otros servicios que dependen de 閘 y afectar, por lo tanto, a actividades econ髆icas y sociales fundamentales en la Uni髇. Por esa raz髇, ese tipo de servicios digitales puede tener una importancia capital para el correcto funcionamiento de las empresas que dependen de ellos, y tambi閚 para la participaci髇 de estas en el mercado interior y en el comercio transfronterizo en toda la Uni髇. Esos proveedores de servicios digitales que est醤 sujetos a la presente Directiva son aquellos que prestan servicios digitales de los que muchas empresas de la Uni髇 dependen cada vez m醩.
• (49) Los proveedores de servicios digitales deben garantizar un nivel de seguridad acorde con el grado de riesgo que se plantea para la seguridad de los servicios digitales que presten, dada la importancia de sus servicios para las operaciones de otras empresas de la Uni髇. En la pr醕tica, el grado de riesgo para los operadores de servicios esenciales, que son a menudo esenciales para el mantenimiento de actividades sociales y econ髆icas cruciales, es superior al que corresponde a los proveedores de servicios digitales. Por consiguiente, los proveedores de servicios digitales deben estar sujetos a requisitos de seguridad menos rigurosos. Los proveedores de servicios digitales deben seguir pudiendo tomar las medidas que consideren oportunas a fin de gestionar los riesgos que se planteen para la seguridad de sus redes y servicios de informaci髇. Debido a su car醕ter transfronterizo, los proveedores de servicios digitales deben estar sujetos a un planteamiento m醩 armonizado a escala de la Uni髇. La especificaci髇 y aplicaci髇 de las medidas correspondientes debe verse facilitada mediante actos de ejecuci髇.
• (50) Aunque los fabricantes de equipos inform醫icos y quienes desarrollan programas inform醫icos no sean operadores de servicios esenciales ni proveedores de servicios digitales, sus productos facilitan la seguridad de las redes y sistemas de informaci髇. Desempe馻n por ello un importante papel al permitir que los operadores de servicios esenciales y los proveedores de servicios digitales garanticen la seguridad de sus redes e infraestructuras de informaci髇. Estos equipos y programas inform醫icos est醤 ya sujetos a las normas vigentes en materia de responsabilidad por los da駉s causados por productos defectuosos.
• (51) Las medidas t閏nicas y de organizaci髇 impuestas a los operadores de servicios esenciales y a los proveedores de servicios digitales no deben requerir que se dise馿, desarrolle o fabrique de una manera especial un determinado producto comercial de tecnolog韆 de la informaci髇 y la comunicaci髇.
• (52) Los operadores de servicios esenciales y los proveedores de servicios digitales deben garantizar la seguridad de las redes y sistemas que utilicen. Se trata fundamentalmente de redes y sistemas privados gestionados por el personal inform醫ico interno o cuya seguridad se ha encomendado a empresas externas. Los requisitos en materia de seguridad y notificaci髇 han de aplicarse a los operadores de servicios esenciales y a los proveedores de servicios digitales pertinentes, independientemente de si se encargan ellos mismos del mantenimiento de sus redes y sistemas de informaci髇 o lo subcontratan.
• (53) Para no imponer una carga financiera y administrativa desproporcionada a los operadores de servicios esenciales y a los proveedores de servicios digitales, los requisitos han de ser proporcionados en relaci髇 con los riesgos que presenta la red y el sistema de informaci髇 en cuesti髇, y tener en cuenta el estado de la t閏nica. En el caso de los proveedores de servicios digitales, esos requisitos no deben aplicarse ni a las microempresas ni a las peque馻s empresas.
• (54) Las administraciones p鷅licas de los Estados miembros que utilizan servicios ofrecidos por proveedores de servicios digitales, en particular servicios de computaci髇 en nube, pueden considerar conveniente exigir a los proveedores de tales servicios medidas de seguridad adicionales, m醩 estrictas que las que dichos proveedores ofrecer韆n normalmente en cumplimiento de los requisitos de la presente Directiva. Han de poder hacerlo mediante obligaciones contractuales.
• (55) Las definiciones de mercados digitales, motores de b鷖queda en l韓ea y servicios de computaci髇 en nube formuladas en la presente Directiva han de entenderse a los efectos espec韋icos de esta, y sin perjuicio de cualquier otro instrumento.
• (56) La presente Directiva no debe ser 骲ice para que los Estados miembros adopten medidas nacionales que obliguen a los organismos del sector p鷅lico a garantizar unas condiciones de seguridad espec韋icas cuando contraten servicios de computaci髇 en nube. Las medidas nacionales de ese tipo que se adopten deben aplicarse al organismo del sector p鷅lico de que se trate, y no al proveedor de servicios de computaci髇 en nube.
• (57) Dadas las diferencias fundamentales existentes entre los operadores de servicios esenciales, en particular por su vinculaci髇 directa con infraestructuras f韘icas, y los proveedores de servicios digitales, en particular por su car醕ter transfronterizo, debe adoptarse en la presente Directiva un planteamiento diferenciado con respecto al nivel de armonizaci髇 aplicable a esos dos grupos de entidades. Para los operadores de servicios esenciales, los Estados miembros deben poder identificar a los operadores correspondientes e imponerles requisitos m醩 estrictos que los previstos en la presente Directiva. Los Estados miembros no deben identificar a los proveedores de servicios digitales, ya que la presente Directiva debe aplicarse a todos los proveedores de servicios digitales incluidos en su 醡bito de aplicaci髇. Por otra parte, la presente Directiva y los actos de ejecuci髇 que se adopten en virtud de esta deben garantizar un elevado nivel de armonizaci髇 para los proveedores de servicios digitales respecto de los requisitos de seguridad y notificaci髇. Ello debe permitir que los proveedores de servicios digitales sean tratados de manera uniforme en toda la Uni髇, de una manera proporcionada en relaci髇 con su naturaleza y con el grado de riesgo al que puedan tener que hacer frente.
• (58) La presente Directiva no debe impedir que los Estados miembros impongan requisitos de seguridad y notificaci髇 a entidades que no sean proveedores de servicios digitales comprendidos en el 醡bito de aplicaci髇 de la presente Directiva, sin perjuicio de las obligaciones de los Estados miembros en virtud del Derecho de la Uni髇.
• (59) Las autoridades competentes deben procurar que se mantengan los canales de intercambio de informaci髇 informales y de confianza. Antes de dar publicidad a los incidentes notificados a las autoridades competentes, es preciso sopesar debidamente el inter閟 de los ciudadanos en ser informados sobre amenazas que en t閞minos comerciales y de reputaci髇 puedan sufrir los operadores de servicios esenciales y los proveedores de servicios digitales que notifican incidentes. A la hora de cumplir sus obligaciones de notificaci髇, las autoridades competentes y los CSIRT han de tener muy en cuenta la necesidad de mantener estrictamente confidencial la informaci髇 sobre los puntos vulnerables del producto antes de dar a conocer las soluciones de seguridad adecuadas.
• (60) Los proveedores de servicios digitales deben estar sujetos a un tipo de supervisi髇 ligera, reactiva y a posteriori, justificada por la naturaleza de sus servicios y operaciones. La autoridad competente de que se trate debe, por tanto, intervenir 鷑icamente cuando obtenga pruebas, por ejemplo del propio proveedor de servicios digitales, de otra autoridad competente, incluida una autoridad competente de otro Estado miembro, o de un usuario del servicio, de que un proveedor de servicios digitales no cumple los requisitos de la presente Directiva, en particular despu閟 de que se haya producido un incidente. Por consiguiente, la autoridad competente no debe tener la obligaci髇 general de supervisar a los proveedores de servicios digitales.
• (61) Las autoridades competentes deben disponer de los medios necesarios para ejercer sus funciones, incluidas sus competencias para obtener informaci髇 suficiente para evaluar el nivel de seguridad de las redes y sistemas de informaci髇.
• (62) Los incidentes pueden ser consecuencia de actividades delictivas, cuya prevenci髇, investigaci髇 y enjuiciamiento se ven facilitados por la coordinaci髇 y la cooperaci髇 entre los operadores de servicios esenciales, los proveedores de servicios digitales, las autoridades competentes y las autoridades policiales. Cuando se sospeche que un incidente guarda relaci髇 con actividades delictivas graves en virtud del Derecho de la Uni髇 o nacional, los Estados miembros deben alentar a los operadores de servicios esenciales y a los proveedores de servicios digitales a notificar personalmente a las autoridades policiales competentes los incidentes de naturaleza presuntamente delictiva y grave. Es deseable que el Centro Europeo de Ciberdelincuencia (EC3) y la ENISA faciliten, en su caso, la coordinaci髇 entre las autoridades competentes y las autoridades policiales de los diferentes Estados miembros.
• (63) En numerosas ocasiones los datos de car醕ter personal se ven comprometidos a ra韟 de incidentes. En este contexto, las autoridades competentes y las autoridades responsables de la protecci髇 de datos han de cooperar e intercambiar la informaci髇 sobre todos los asuntos pertinentes ante las violaciones de datos personales derivadas de incidentes.
• (64) La competencia judicial respecto de los proveedores de servicios digitales debe atribuirse al Estado miembro en el que el operador tenga en la Uni髇 su establecimiento principal, que corresponde en principio al lugar en el que el proveedor tiene su domicilio social en la Uni髇. Por establecimiento se entiende el ejercicio real y efectivo de una actividad mediante una organizaci髇 estable. La forma jur韉ica de dicha organizaci髇, ya sea a trav閟 de una sucursal o una filial con personalidad jur韉ica, no es el factor determinante a este respecto. Este criterio no debe depender de que las redes y sistemas de informaci髇 est閚 o no f韘icamente situados en un lugar determinado; la presencia y utilizaci髇 de tales sistemas no pueden asimilarse por s� mismos a la existencia del mencionado establecimiento principal y no constituyen, por tanto, criterios para determinar el establecimiento principal.
• (65) Cuando un proveedor de servicios digitales que no est� establecido en la Uni髇 ofrezca servicios en ella, debe designar a un representante. Para determinar si dicho proveedor de servicios digitales ofrece servicios en la Uni髇, debe averiguarse si hay constancia de que el proveedor de servicios digitales tiene la intenci髇 de ofrecer servicios a personas de uno o varios Estados miembros. La simple accesibilidad en la Uni髇 del sitio web del proveedor de servicios digitales o de un intermediario, o de una direcci髇 de correo electr髇ico y otros datos de contacto, o el empleo de una lengua de uso com鷑 en el pa韘 tercero en que est� establecido el proveedor de servicios digitales, no basta para determinar dicha intenci髇. No obstante, factores como el empleo de una lengua o una moneda, de uso com鷑 en uno o varios Estados miembros, con la posibilidad de encargar servicios en esa otra lengua, o la menci髇 de clientes o usuarios que est閚 en la Uni髇, puede revelar que el proveedor de servicios digitales tiene la intenci髇 de ofrecer servicios en la Uni髇. El representante debe actuar por cuenta del proveedor de servicios digitales, y las autoridades competentes o los CSIRT han de poder ponerse en contacto con 閘. El representante debe haber sido designado expresamente mediante un mandato escrito del proveedor de servicios digitales que le autorice para actuar por cuenta de este en lo que respecta a las obligaciones del proveedor en virtud de la presente Directiva, tambi閚 por lo que respecta a la obligaci髇 de notificaci髇 de incidentes.
• (66) La normalizaci髇 de los requisitos en materia de seguridad es un proceso impulsado por el mercado. Al objeto de garantizar una aplicaci髇 convergente de las normas de seguridad, los Estados miembros han de fomentar el cumplimiento de normas espec韋icas o la conformidad con ellas para as� lograr un elevado nivel de seguridad de las redes y sistemas de informaci髇 en la Uni髇. La ENISA debe prestar asistencia a los Estados miembros ofreci閚doles asesoramiento y directrices. A tal fin, podr韆 ser 鷗il elaborar normas armonizadas, de conformidad con el Reglamento (UE) n.� 1025/2012 del Parlamento Europeo y del Consejo (8) .
• (67) Puede ocurrir que entidades no incluidas en el 醡bito de aplicaci髇 de la presente Directiva sufran incidentes que tengan efectos significativos en los servicios que prestan. Cuando tales entidades consideren de inter閟 p鷅lico notificar que se han producido esos incidentes, deben poder hacerlo a t韙ulo voluntario. Tales notificaciones solo deben ser tramitadas por la autoridad competente o por el CSIRT cuando su tramitaci髇 no suponga una carga desproporcionada o injustificada para los Estados miembros afectados.
• (68) A fin de garantizar condiciones uniformes de ejecuci髇 de la presente Directiva, deben conferirse a la Comisi髇 competencias de ejecuci髇 para establecer, por una parte, las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperaci髇 y, por otra, los requisitos de seguridad y notificaci髇 aplicables a los proveedores de servicios digitales. Esas competencias deben ejercerse de conformidad con el Reglamento (UE) n.� 182/2011 del Parlamento Europeo y del Consejo (9) . Al adoptar actos de ejecuci髇 relacionados con las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperaci髇, la Comisi髇 debe tener plenamente en cuenta el dictamen de la ENISA.
• (69) Al adoptar actos de ejecuci髇 relacionados con los requisitos de seguridad aplicables a los proveedores de servicios digitales, la Comisi髇 debe tener plenamente en cuenta el dictamen de la ENISA y debe consultar a los interesados. Adem醩, se alienta a la Comisi髇 a que tenga en cuenta los siguientes ejemplos: por lo que respecta a la seguridad de los sistemas e instalaciones: la seguridad f韘ica y del entorno, la seguridad de abastecimiento, el control del acceso a las redes y sistemas de informaci髇 y la integridad de las redes y sistemas de informaci髇; por lo que respecta a la gesti髇 de incidentes: los procedimientos de gesti髇 de incidentes, las capacidades de detecci髇 de incidentes, la informaci髇 y comunicaci髇 sobre incidentes; por lo que respecta a la gesti髇 de la continuidad de las actividades: la estrategia de continuidad de los servicios y los planes para contingencias y las capacidades de recuperaci髇 en caso de cat醩trofe; y, por lo que respecta a la supervisi髇, la auditor韆 y los ensayos: las pol韙icas de supervisi髇 y registro, la planificaci髇 de contingencias durante los ejercicios, los ensayos con las redes y sistemas de informaci髇, las evaluaciones de seguridad y el control del cumplimiento de la normativa.
• (70) Al aplicar la presente Directiva, la Comisi髇 debe mantener contactos, seg鷑 corresponda, con los comit閟 sectoriales y organismos pertinentes establecidos a escala de la Uni髇 en los 醡bitos a los que se aplica la presente Directiva.
• (71) La Comisi髇 debe revisar peri骴icamente lo dispuesto en la presente Directiva, en consulta con los interesados, en particular para determinar si se precisa alguna modificaci髇 a ra韟 de cambios en la situaci髇 social, pol韙ica, de la tecnolog韆 o el mercado.
• (72) El intercambio de informaci髇 sobre riesgos e incidentes que ha de llevarse a cabo en el Grupo de cooperaci髇 y la red de los CSIRT, y el cumplimiento de la obligaci髇 de notificar los incidentes a las autoridades nacionales competentes o a los CSIRT, pueden hacer necesario el tratamiento de datos personales. Dicho tratamiento debe cumplir lo dispuesto en la Directiva 95/46/CE del Parlamento Europeo y del Consejo (10) y en el Reglamento (CE) n.� 45/2001 del Parlamento Europeo y del Consejo (11) . Al aplicar la presente Directiva, se debe aplicar, seg鷑 corresponda, el Reglamento (CE) n.� 1049/2001 del Parlamento Europeo y del Consejo (12) .
• (73) El Supervisor Europeo de Protecci髇 de Datos, consultado de conformidad con el art韈ulo 28, apartado 2, del Reglamento (CE) n.� 45/2001, emiti� un dictamen el 14 de junio de 2013 (13) .
• (74) Dado que el objetivo de la presente Directiva, a saber, garantizar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a los efectos de la acci髇, puede lograrse mejor a escala de la Uni髇, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el art韈ulo 5 del Tratado de la Uni髇 Europea. De conformidad con el principio de proporcionalidad establecido en el mismo art韈ulo, la presente Directiva no excede de lo necesario para alcanzar dicho objetivo.
• (75) La presente Directiva observa los derechos fundamentales y los principios reconocidos por la Carta de los Derechos Fundamentales de la Uni髇 Europea, en particular, el derecho al respeto de la vida privada y las comunicaciones, el derecho a la protecci髇 de los datos de car醕ter personal, la libertad de empresa, el derecho a la propiedad, el derecho a una tutela judicial efectiva y el derecho a ser o韉o. La presente Directiva debe aplicarse de conformidad con estos derechos y principios.

HAN ADOPTADO LA PRESENTE DIRECTIVA:

CAP蚑ULO I
DISPOSICIONES GENERALES

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. La presente Directiva establece medidas con el objeto de lograr un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 dentro de la Uni髇 a fin de mejorar el funcionamiento del mercado interior.

2. A tal fin, la presente Directiva:

• a) establece obligaciones para todos los Estados miembros de adoptar una estrategia nacional de seguridad de las redes y sistemas de informaci髇;
• b) crea un Grupo de cooperaci髇 para apoyar y facilitar la cooperaci髇 estrat間ica y el intercambio de informaci髇 entre los Estados miembros y desarrollar la confianza y seguridad entre ellos;
• c) crea una red de equipos de respuesta a incidentes de seguridad inform醫ica (en lo sucesivo, 玶ed de CSIRT�, por sus siglas en ingl閟 de 玞omputer security incident response teams�) con el fin de contribuir al desarrollo de la confianza y seguridad entre los Estados miembros y promover una cooperaci髇 operativa r醦ida y eficaz;
• d) establece requisitos en materia de seguridad y notificaci髇 para los operadores de servicios esenciales y para los proveedores de servicios digitales;
• e) establece obligaciones para que los Estados miembros designen autoridades nacionales competentes, puntos de contacto 鷑icos y CSIRT con funciones relacionadas con la seguridad de las redes y sistemas de informaci髇.

3. Los requisitos de seguridad y notificaci髇 previstos en la presente Directiva no ser醤 aplicables a las empresas que est醤 sujetas a los requisitos de los art韈ulos 13 bis y 13 ter de la Directiva 2002/21/CE ni a los proveedores de servicios de confianza sujetos a los requisitos del art韈ulo 19 del Reglamento (UE) n.� 910/2014.

4. La presente Directiva se entender� sin perjuicio de la Directiva 2008/114/CE del Consejo (14) y las Directivas 2011/93/UE (15) y 2013/40/UE (16) del Parlamento Europeo y del Consejo.

5. Sin perjuicio de lo dispuesto en el art韈ulo 346 del TFUE, la informaci髇 que se considere confidencial de acuerdo con las normas de la Uni髇 y nacionales, como las normas sobre confidencialidad empresarial, se intercambiar� con la Comisi髇 y otras autoridades competentes 鷑icamente cuando tal intercambio sea necesario a efectos de la aplicaci髇 de la presente Directiva. La informaci髇 que se intercambie se limitar� a aquella que resulte pertinente y proporcionada para la finalidad del intercambio. Dicho intercambio de informaci髇 preservar� la confidencialidad de esta y proteger� los intereses de seguridad y comerciales de los operadores de servicios esenciales y de los proveedores de servicios digitales.

6. La presente Directiva se entender� sin perjuicio de las acciones emprendidas por los Estados miembros para salvaguardar sus funciones estatales esenciales, en particular para salvaguardar la seguridad nacional, incluidas las acciones que protejan la informaci髇 cuya revelaci髇 los Estados miembros consideren contraria a los intereses esenciales de su seguridad, y para mantener el orden p鷅lico, en particular para permitir la investigaci髇, la detecci髇 y el enjuiciamiento de infracciones penales.

7. Se aplicar� lo dispuesto en un acto jur韉ico sectorial de la Uni髇, cuando este requiera que los operadores de servicios esenciales o los proveedores de servicios digitales garanticen la seguridad de sus redes y sistemas de informaci髇 o notifiquen incidentes, siempre que dichos requisitos tengan al menos un efecto equivalente al de las obligaciones establecidas en la presente Directiva.

V閍se Acuerdo entre el Parlamento Europeo, el Consejo Europeo, el Consejo de la Uni髇 Europea, la Comisi髇 Europea, el Tribunal de Justicia de la Uni髇 Europea, el Banco Central Europeo, el Tribunal de Cuentas Europeo, el Servicio Europeo de Acci髇 Exterior, el Comit� Econ髆ico y Social Europeo, el Comit� Europeo de las Regiones y el Banco Europeo de Inversiones sobre la organizaci髇 y el funcionamiento del Equipo de Respuesta a Emergencias Inform醫icas de las instituciones, 髍ganos y organismos de la UE (CERT-UE) (獶.O.U.E.C.� 13 enero 2018).LE0000612563_20171220

CAP蚑ULO II
MARCOS NACIONALES DE SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACI覰

CAP蚑ULO III
COOPERACI覰

Art韈ulo 11 Grupo de cooperaci髇

1. Se establece un Grupo de cooperaci髇 a fin de apoyar y facilitar la cooperaci髇 estrat間ica y el intercambio de informaci髇 entre los Estados miembros y desarrollar confianza y seguridad, y a fin de alcanzar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇.

El Grupo de cooperaci髇 ejercer� sus funciones con arreglo a los programas de trabajo bienales a que se refiere el apartado 3, p醨rafo segundo.

2. El Grupo de cooperaci髇 estar� formado por representantes de los Estados miembros, la Comisi髇 y la ENISA.

Cuando proceda, el Grupo de cooperaci髇 podr� invitar a representantes de los interesados pertinentes a que participen en su labor.

La Comisi髇 se har� cargo de la secretar韆.

3. El Grupo de cooperaci髇 ejercer� las siguientes funciones:

• a) proporcionar orientaci髇 estrat間ica para las actividades de la red de CSIRT establecida en virtud del art韈ulo 12;
• b) intercambiar buenas pr醕ticas cuando se intercambie informaci髇 relativa a la notificaci髇 de incidentes tal como se contempla en el art韈ulo 14, apartados 3 y 5, y en el art韈ulo 16, apartados 3 y 6;
• c) intercambiar buenas pr醕ticas entre los Estados miembros y, en colaboraci髇 con la ENISA, asistir a los Estados miembros en el desarrollo de capacidades para garantizar la seguridad de las redes y sistemas de informaci髇;
• d) discutir sobre las capacidades y la preparaci髇 de los Estados miembros, evaluar voluntariamente las estrategias nacionales de seguridad de las redes y sistemas de informaci髇 y la eficacia de los CSIRT e identificar las buenas pr醕ticas;
• e) intercambiar informaci髇 y buenas pr醕ticas sobre concienciaci髇 y formaci髇;
• f) intercambiar informaci髇 y buenas pr醕ticas sobre investigaci髇 y desarrollo en materia seguridad de las redes y sistemas de informaci髇;
• g) cuando proceda, intercambiar experiencias sobre asuntos relativos a seguridad de las redes y sistemas de informaci髇 con las instituciones, 髍ganos y organismos de la Uni髇 competentes;
• h) discutir sobre las normas y especificaciones a que hace referencia el art韈ulo 19 con los representantes de los organismos europeos de normalizaci髇 pertinentes;
• i) recopilar informaci髇 de buenas pr醕ticas sobre los riesgos e incidentes que afecten a las redes y sistemas de informaci髇;
• j) examinar anualmente los informes resumidos que menciona el art韈ulo 10, apartado 3, p醨rafo segundo;
• k) discutir sobre el trabajo emprendido con respecto a ejercicios relativos a la seguridad de las redes y sistemas de informaci髇, programas educativos y formaci髇, incluido el trabajo realizado por la ENISA;
• l) con la asistencia de la ENISA, intercambiar buenas pr醕ticas con respecto a la identificaci髇 de operadores de servicios esenciales por parte de los Estados miembros, en particular en relaci髇 con las dependencias transfronterizas, en lo que ata馿 a riesgos e incidentes;
• m) discutir sobre las modalidades para informar sobre notificaciones de incidentes tal como se contempla en los art韈ulos 14 y 16;

A m醩 tardar el 9 de febrero de 2018, y cada dos a駉s a partir de entonces, el Grupo de cooperaci髇 establecer� un programa de trabajo sobre las acciones que deben emprenderse para realizar sus objetivos y funciones, que ser醤 coherentes con los objetivos de la presente Directiva.

El Grupo de cooperaci髇 y la red de CSIRT empezar醤 a ejercer las funciones que se establecen en los art韈ulos 11 apartado 3, y 12, apartado 3, respectivamente, a m醩 tardar el 9 de febrero de 2017, conforme establece el art韈ulo 24 de la presente Directiva.LE0000579387_20160808

4. A efectos de la revisi髇 a que se refiere el art韈ulo 23, a m醩 tardar el 9 de agosto de 2018, y cada a駉 y medio a partir de entonces, el Grupo de cooperaci髇 elaborar� un informe para valorar la experiencia adquirida con la cooperaci髇 estrat間ica contemplada en el presente art韈ulo.

5. La Comisi髇 adoptar� actos de ejecuci髇 para establecer las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperaci髇. Dichos actos de ejecuci髇 se adoptar醤 de conformidad con el procedimiento de examen a que se refiere el art韈ulo 22, apartado 2.

A efectos del p醨rafo primero, la Comisi髇 presentar� al Comit� el primer proyecto de acto de ejecuci髇 a que se refiere el art韈ulo 22, apartado 1, a m醩 tardar el 9 de febrero de 2017.

V閍se Decisi髇 de Ejecuci髇 (UE) 2017/179 de la Comisi髇, de 1 de febrero de 2017, por la que se establecen las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de cooperaci髇 a que se refiere el art韈ulo 11, apartado 5, de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇 (獶.O.U.E.L.� 2 febrero).LE0000590475_20170203

Art韈ulo 12 Red de CSIRT

1. A fin de contribuir a desarrollar la confianza y la seguridad entre los Estados miembros y promover una cooperaci髇 operativa r醦ida y eficaz, se establece una red de CSIRT nacionales.

2. La red de CSIRT estar� formada por representantes de los CSIRT de los Estados miembros. La Comisi髇 participar� en la red de CSIRT en calidad de observador. La ENISA se har� cargo de la secretar韆 y apoyar� activamente la cooperaci髇 entre los CSIRT.

3. La red de CSIRT desempe馻r� los siguientes cometidos:

• a) intercambiar informaci髇 sobre servicios, operaciones y capacidades de cooperaci髇 de los CSIRT;
• b) a instancias de un representante de un CSIRT de un Estado miembro que pueda verse afectado por un incidente, intercambiar y discutir sobre informaci髇 sensible de car醕ter no comercial relacionada con ese incidente y los riesgos asociados; no obstante, todo Estado miembro podr� negarse a contribuir a dicha discusi髇 si existe riesgo de perjuicio para la investigaci髇 del incidente;
• c) intercambiar y proporcionar voluntariamente informaci髇 no confidencial sobre incidentes concretos;
• d) a instancias de un representante de un CSIRT de un Estado miembro, discutir y, cuando sea posible, determinar una respuesta coordinada a un incidente que se haya identificado dentro del 醡bito de competencias de ese Estado miembro;
• e) prestar apoyo a los Estados miembros a la hora de abordar los incidentes transfronterizos sobre la base de su asistencia mutua voluntaria;
• f) discutir, explorar e identificar m醩 formas de cooperaci髇 operativa, incluidas las relacionadas con:
  • i) categor韆s de riesgos e incidentes,
  • ii) alertas tempranas,
  • iii) asistencia mutua,
  • iv) principios y modalidades de coordinaci髇, cuando los Estados miembros respondan ante incidentes y riesgos transfronterizos de seguridad de las redes y sistemas de informaci髇;
• g) informar al Grupo de cooperaci髇 sobre sus actividades y sobre las formas adicionales de cooperaci髇 operativa sobre las que se haya discutido conforme a la letra f), y solicitar directrices a este respecto;
• h) discutir sobre la experiencia adquirida a partir de los ejercicios relativos a la seguridad de las redes y sistemas de informaci髇, entre ellas las organizadas por la ENISA;
• i) a instancias de un CSIRT determinado, analizar las capacidades y la preparaci髇 de ese mismo CSIRT;
• j) publicar directrices para facilitar la convergencia de pr醕ticas operativas con respecto a la aplicaci髇 de lo dispuesto en el presente art韈ulo en lo que ata馿 a la cooperaci髇 operativa.

El Grupo de cooperaci髇 y la red de CSIRT empezar醤 a ejercer las funciones que se establecen en los art韈ulos 11 apartado 3, y 12, apartado 3, respectivamente, a m醩 tardar el 9 de febrero de 2017, conforme establece el art韈ulo 24 de la presente Directiva.LE0000579387_20160808

4. A efectos de la revisi髇 que contempla el art韈ulo 23, a m醩 tardar el 9 de agosto de 2018, y cada a駉 y medio a partir de entonces, la red de CSIRT elaborar� un informe en el que se examine la experiencia adquirida a trav閟 de la cooperaci髇 operativa, en particular las conclusiones y recomendaciones, practicada con arreglo al presente art韈ulo. Dicho informe tambi閚 se enviar� al Grupo de cooperaci髇.

5. La red de CSIRT establecer� su reglamento interno.

CAP蚑ULO IV
SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACI覰 DE LOS OPERADORES DE SERVICIOS ESENCIALES

CAP蚑ULO V
SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACI覰 DE LOS PROVEEDORES DE SERVICIOS DIGITALES

Art韈ulo 16 Requisitos en materia de seguridad y notificaci髇 de incidentes

1. Los Estados miembros velar醤 por que los proveedores de servicios digitales determinen y adopten medidas t閏nicas y organizativas adecuadas y proporcionadas para gestionar los riesgos existentes para la seguridad de las redes y sistemas de informaci髇 que se utilizan en el marco de la oferta de servicios en la Uni髇 a que se refiere el anexo III. Habida cuenta de los avances t閏nicos, dichas medidas garantizar醤 un nivel de seguridad de las redes y los sistemas de informaci髇 adecuado en relaci髇 con el riesgo planteado, y tendr醤 en cuenta lo siguiente:

• a) la seguridad de los sistemas e instalaciones;
• b) la gesti髇 de incidentes;
• c) la gesti髇 de la continuidad de las actividades;
• d) la supervisi髇, auditor韆s y pruebas;
• e) el cumplimiento de las normas internacionales.

2. Los Estados miembros velar醤 por que los proveedores de servicios digitales adopten medidas para prevenir y reducir al m韓imo el impacto de los incidentes que afectan a la seguridad de sus redes y sistemas de informaci髇 en los servicios a que se refiere el anexo III que se ofrecen en la Uni髇, a fin de garantizar la continuidad de dichos servicios.

3. Los Estados miembros velar醤 por que los proveedores de servicios digitales notifiquen sin dilaci髇 indebida a la autoridad competente o al CSIRT cualquier incidente que tenga un impacto significativo en la prestaci髇 de uno de los servicios a que se refiere el anexo III que ellos ofrezcan en la Uni髇. Las notificaciones incluir醤 la informaci髇 necesaria para que la autoridad competente o el CSIRT puedan determinar la importancia de cualquier impacto transfronterizo. La notificaci髇 no sujetar� al notificante a una mayor responsabilidad.

4. Para determinar si el impacto de un incidente es significativo se tendr醤 en cuenta, en particular, los siguientes par醡etros:

• a) el n鷐ero de usuarios afectados por el incidente, en particular los usuarios que dependen del servicio para la prestaci髇 de sus propios servicios;
• b) la duraci髇 del incidente;
• c) la extensi髇 geogr醘ica con respecto a la zona afectada por el incidente;
• d) el grado de perturbaci髇 del funcionamiento del servicio;
• e) el alcance del impacto sobre las actividades econ髆icas y sociales.

La obligaci髇 de la notificaci髇 del incidente 鷑icamente se aplicar� cuando el proveedor de servicios digitales tenga acceso a la informaci髇 necesaria para valorar el impacto de un incidente en funci髇 de los par醡etros que se indican en el p醨rafo primero.

5. Cuando un operador de servicios esenciales dependa de un proveedor tercero de servicios digitales para la prestaci髇 de un servicio que es esencial para el mantenimiento de actividades sociales y econ髆icas fundamentales, dicho operador notificar� cualquier efecto significativo en la continuidad de los servicios esenciales causado por un incidente que afecte al proveedor de servicios digitales.

6. Cuando proceda, y en particular si el incidente mencionado en el apartado 3 afecta a dos o varios Estados miembros, la autoridad o el CSIRT al que se haya notificado el incidente informar� del mismo a los dem醩 Estados miembros afectados. Al hacerlo, las autoridades competentes, el CSIRT y los puntos de contacto 鷑icos preservar醤, de conformidad con el Derecho de la Uni髇 o de la legislaci髇 nacional acorde con el Derecho de la Uni髇, la seguridad y los intereses comerciales del proveedor de servicios digitales as� como la confidencialidad de la informaci髇 facilitada.

7. Tras consultar al proveedor de servicios digitales afectado, la autoridad competente o el CSIRT al que se le haya notificado el incidente y, en su caso, las autoridades o el CSIRT de los dem醩 Estados miembros afectados, podr醤 informar al p鷅lico de determinados incidentes o exigir al proveedor de servicios digitales que lo haga, cuando el conocimiento del p鷅lico sea necesario para evitar un incidente o hacer frente a un incidente en curso, o cuando la divulgaci髇 de un incidente redunde en inter閟 p鷅lico.

8. La Comisi髇 adoptar� actos de ejecuci髇 en los que se especifiquen m醩 los elementos a que se refiere el apartado 1 y los par醡etros enumerados en el apartado 4 del presente art韈ulo. Dichos actos de ejecuci髇 se adoptar醤 de conformidad con el procedimiento de examen a que se refiere el art韈ulo 22, apartado 2, a m醩 tardar el 9 de agosto de 2017.

V閍se Reglamento de Ejecuci髇 (UE) 2018/151 de la Comisi髇, de 30 de enero de 2018, por el que se establecen normas para la aplicaci髇 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo en lo que respecta a la especificaci髇 de los elementos que han de tener en cuenta los proveedores de servicios digitales para gestionar los riesgos existentes para la seguridad de las redes y sistemas de informaci髇, as� como de los par醡etros para determinar si un incidente tiene un impacto significativo (獶.O.U.E.L.� 31 enero).LE0000613806_20180220

9. La Comisi髇 podr� adoptar actos de ejecuci髇 por los que se establezcan los formatos y procedimientos aplicables a los requisitos de notificaci髇. Dichos actos de ejecuci髇 se adoptar醤 de conformidad con el procedimiento de examen a que se refiere el art韈ulo 22, apartado 2.

10. Sin perjuicio de lo dispuesto en el art韈ulo 1, apartado 6, los Estados miembros no impondr醤 nuevos requisitos de seguridad o de notificaci髇 a los proveedores de servicios digitales.

11. El presente cap韙ulo no se aplicar� a las microempresas y peque馻s empresas tal como se definen en la Recomendaci髇 2003/361/CE de la Comisi髇 (19) .

CAP蚑ULO VI
NORMALIZACI覰 Y NOTIFICACI覰 VOLUNTARIA

CAP蚑ULO VII
DISPOSICIONES FINALES

Art韈ulo 25 Transposici髇

1. Los Estados miembros adoptar醤 y publicar醤, a m醩 tardar el 9 de mayo de 2018, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. Informar醤 de ello inmediatamente a la Comisi髇.

Aplicar醤 esas medidas a partir del 10 de mayo de 2018.

Cuando los Estados miembros adopten dichas disposiciones, estas incluir醤 una referencia a la presente Directiva o ir醤 acompa馻das de dicha referencia en su publicaci髇 oficial. Los Estados miembros establecer醤 las modalidades de la mencionada referencia.

2. Los Estados miembros comunicar醤 a la Comisi髇 el texto de las principales disposiciones de Derecho interno que adopten en el 醡bito regulado por la presente Directiva.

V閍se, respecto a la incorporaci髇 del Derecho de la Uni髇 Europea, la燿isposici髇 final segunda del R.D.-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇 (獴.O.E.� 8 septiembre).LE0000627876_20220331