qué ocurre si no cumplo con las obligaciones de la NIS2

Supervisión, remediación y, en última instancia, una sanción

En caso de incumplimiento de las obligaciones de la Directiva (EU) 2022/2555, en la práctica primero viene la supervisión y la posibilidad de subsanar el incumplimiento, y solo después —si esto no ocurre— una sanción de la autoridad supervisora. La Ley de Ciberseguridad, la transposición holandesa de la Directiva (EU) 2022/2555, proporciona a la autoridad supervisora instrumentos para verificar si una organización cumple con sus deberes de diligencia debida y sus obligaciones de notificación. Qué autoridad supervisora es exactamente la responsable varía según el sector; esto se detalla en la página sobre qué autoridad competente controla mi sector en virtud de la NIS2. Ante incumplimientos, la autoridad supervisora puede dar directrices, imponer instrucciones vinculantes o, en una fase posterior, proceder a la ejecución.

Lo que esto significa en concreto depende de qué salga mal: la ausencia de las diez medidas obligatorias de la obligación de diligencia debida, una notificación que llega demasiado tarde o no llega en absoluto, o una cadena de proveedores que no ha sido evaluada. Respecto a la obligación de notificación, existen causas específicas en las que debe realizarse la notificación; esto se detalla en la página sobre cuándo debo notificar un incidente de ciberseguridad a la autoridad competente. En cuanto al deber de diligencia debida, se trata de una serie de medidas que en conjunto deben estar en orden, descritas en la página sobre qué diez medidas debo tomar según la NIS2. También existe una pregunta aparte sobre si la dirección puede ser responsabilizada personalmente en caso de incumplimiento, que se trata por separado en la página sobre responsabilidad de los administradores en caso de incumplimiento de la Directiva (EU) 2022/2555.

Fundamento en la directiva y la ley nacional

Las obligaciones que están sujetas a supervisión provienen del artículo 21 de la Directiva (EU) 2022/2555, que establece el deber de diligencia debida con las diez medidas, y de la obligación de notificación que es independiente de este; la Ley de Ciberseguridad transpone estas obligaciones al ordenamiento jurídico neerlandés y también regula las competencias de la autoridad supervisora. La aplicación exacta de la supervisión y las sanciones se deriva de esa ley nacional y de las publicaciones de las propias autoridades supervisoras, incluido el NCSC.