qué es la Ley de Ciberseguridad y qué cambia

La Ley de Ciberseguridad transpone NIS2 en la legislación holandesa

La Ley de Ciberseguridad es la ley holandesa que transpone la directiva europea NIS2 a normas nacionales. NIS2 es una directiva europea, y una directiva no se aplica automáticamente en cada país — para ello se necesita legislación nacional. En los Países Bajos, esa es la Ley de Ciberseguridad, disponible en la web de legislación oficial. En líneas generales, la ley sigue la directiva: los mismos sectores, la misma clasificación en entidades esenciales e importantes, y el mismo núcleo de obligaciones. Quien desea saber si su sector está incluido en los anexosencontrará allí el panorama que sirve de base a esta ley.

Lo que cambia para las organizaciones que caen bajo la ley es principalmente el alcance de las obligaciones. Surge una obligación de diligencia: adoptar medidas apropiadas para proteger los propios sistemas digitales. Surge la obligación de registro ante la autoridad supervisora. Y surge la obligación de notificación en caso de incidentes, con la cuestión de cuándo y a quién notificar. Para organizaciones que no caen bajo la ley, también cambia algo indirectamente: las organizaciones obligadas deben evaluar a sus proveedores, lo que significa que también las empresas no obligadas pueden recibir cuestionarios y requisitos contractuales. Quien se pregunta por qué esas preguntas llegan de todas formasencontrará allí cómo funciona esa transmisión a través de la cadena de suministro.

De dónde procede esto: la transposición de los artículos 21 y 23

Las obligaciones de la Ley de Ciberseguridad proceden directamente de la directiva NIS2: el artículo 21, apartado 2, de la Directiva (UE) 2022/2555 menciona las diez medidas que forman la base de la obligación de diligencia, y la obligación de notificación también está recogida en la directiva. La ley holandesa desarrolla estos requisitos en disposiciones nacionales, que pueden consultarse en la web de legislación oficial. El NCSC proporciona orientación sobre cómo se concretizan en la práctica la obligación de diligencia y la obligación de notificación.