.png "Calculadora de ROI jurídico: cómo está ayudando a los despachos de abogados")
María Luisa García Torres Dra. en Derecho Procesal. Jefe de estudios del área de Derecho. Facultad Business & Tech La reciente advertencia de la Comisión Europea a España por el retraso en la transposición de la Directiva NIS2 ha vuelto a situar la ciberseguridad en el centro del debate jurídico. Más allá de un simple incumplimiento formal de los plazos de transposición, nos encontramos ante una situación que obliga a reflexionar sobre la eficacia del Derecho de la Unión, la preparación de las organizaciones afectadas y la capacidad del ordenamiento jurídico para responder a riesgos digitales cada vez más complejos.
 |
||
| Maria Luisa Garcia, experta en derecho y tic y proteccion de datos (Imagen cedida por la autora) | ||
Bruselas ha recordado al Gobierno español la obligación de incorporar esta norma al ordenamiento jurídico nacional tras haber expirado el plazo de transposición el 17 de octubre de 2024. Transcurridos más de veinte meses desde aquella fecha, España continúa sin completar su incorporación al ordenamiento interno. La situación ha motivado la apertura de un procedimiento de infracción que, de persistir el incumplimiento, podría culminar ante el Tribunal de Justicia de la Unión Europea -en adelante, TJUE-.
Sin embargo, las consecuencias del retraso trascienden el ámbito de las relaciones entre España y las instituciones europeas. La falta de transposición plantea cuestiones relacionadas con la gobernanza de la ciberseguridad, la seguridad jurídica de las organizaciones afectadas e incluso la eventual responsabilidad del Estado por incumplimiento de sus obligaciones derivadas del Derecho de la Unión.
En realidad, NIS2 refleja un cambio profundo en la forma de entender la ciberseguridad en nuestras sociedades. La seguridad digital ha dejado de ser una cuestión exclusivamente tecnológica para convertirse en una auténtica exigencia jurídica de gobernanza.
¿Cuál es el impacto de la Directiva NIS2?
La Directiva (UE) 2022/2555, conocida como NIS2, constituye actualmente el marco jurídico de referencia de la Unión Europea -en adelante, UE- en materia de ciberseguridad.
Su finalidad es reforzar la resiliencia de aquellas organizaciones cuya actividad resulta esencial para el funcionamiento de la economía, los servicios públicos y la propia estabilidad social.
La norma amplía significativamente el ámbito de aplicación de la anterior Directiva NIS e incorpora nuevos sectores sometidos a obligaciones de gestión de riesgos, notificación de incidentes, supervisión y control. Entre ellos se encuentran la energía, el transporte, la sanidad, las telecomunicaciones, las infraestructuras digitales, la Administración pública, los servicios financieros, la gestión de residuos, los proveedores de servicios TIC y numerosos servicios digitales, cuya interrupción podría generar un impacto significativo sobre la sociedad.
No estamos ante una regulación dirigida exclusivamente a especialistas en ciberseguridad, sino ante una norma que afecta directamente a la forma en que las organizaciones públicas y privadas gestionan sus riesgos digitales.
La idea de que la ciberseguridad exige medidas organizativas y de gestión no es completamente nueva. La anterior Directiva NIS ya imponía a determinados operadores la obligación de adoptar medidas técnicas y organizativas apropiadas para gestionar los riesgos que afectaban a la seguridad de las redes y sistemas de información. Sin embargo, NIS2 da un paso adicional y refuerza significativamente esta dimensión de gobernanza.
La nueva Directiva amplía significativamente el número de entidades sujetas a supervisión, refuerza las obligaciones de gestión de riesgos, endurece los mecanismos de control y, especialmente, atribuye de forma expresa responsabilidades a los órganos de dirección de las organizaciones afectadas.
Los órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y recibir formación adecuada para comprender las amenazas digitales que pueden comprometer la actividad de la organización.
La ciberseguridad deja así de percibirse como una cuestión exclusivamente atribuible a departamentos técnicos, para integrarse plenamente en el ámbito de la dirección estratégica y la gobernanza corporativa.
Desde una perspectiva jurídica, esta evolución resulta especialmente relevante. La gestión de los riesgos de ciberseguridad pasa a incorporarse de forma expresa al núcleo de las obligaciones de gobierno de las entidades afectadas, junto a otras materias que hoy forman parte de la agenda de la alta dirección, como el cumplimiento normativo, la protección de datos o la gestión de riesgos corporativos.
La pregunta ya no es únicamente si una organización debe protegerse frente a las amenazas digitales. La verdadera cuestión es si sus órganos de dirección han adoptado las medidas necesarias para gestionar adecuadamente esos riesgos y si podrán demostrarlo cuando deban rendir cuentas por ello.
El coste jurídico del retraso español
El retraso en la transposición de NIS2 genera consecuencias que van mucho más allá de la apertura de un procedimiento de infracción por parte de la Comisión Europea. Desde una perspectiva institucional, supone el incumplimiento de una obligación derivada del Derecho de la UE. Sin embargo, sus efectos trascienden el ámbito de las relaciones entre España y las instituciones europeas. Además, la falta de incorporación de la Directiva al ordenamiento interno introduce un escenario de incertidumbre para las organizaciones afectadas, que deben prepararse para cumplir un marco regulatorio cada vez más exigente sin disponer todavía de una regulación nacional plenamente desarrollada que concrete aspectos esenciales de supervisión, control y cumplimiento.
Esta situación resulta especialmente relevante en un contexto caracterizado por el incremento constante de los ciberataques y por la creciente dependencia tecnológica de los servicios públicos y de la actividad económica.
Los riesgos digitales no esperan a que concluyan los procedimientos legislativos. Mientras la transposición permanece pendiente, continúan produciéndose incidentes que afectan a Administraciones públicas, hospitales, operadores de servicios esenciales, empresas privadas e infraestructuras críticas.
Precisamente por ello, la transposición de NIS2 no debería contemplarse como una mera obligación formal impuesta por Bruselas. Su finalidad no es únicamente armonizar normas dentro de la UE, sino reforzar la capacidad de prevención, detección y respuesta frente a amenazas cuya frecuencia, sofisticación e impacto continúan aumentando.
En este contexto, cada retraso normativo plantea inevitablemente una cuestión de fondo: si el marco jurídico está evolucionando al mismo ritmo que los riesgos que pretende gestionar.
¿Qué ocurre cuando una Directiva no se transpone?
La falta de transposición no significa que la Directiva carezca por completo de efectos jurídicos. Una vez expirado el plazo de transposición, el Estado miembro incumple una obligación derivada del Derecho de la Unión y queda expuesto a los mecanismos de control previstos por los Tratados.
Sin embargo, la cuestión resulta más compleja desde la perspectiva de los particulares.
La jurisprudencia del TJUE ha venido reconociendo, desde la Sentencia Van Duyn v Home Office -asunto 41/74-, de 4 de diciembre de 1974, que determinadas disposiciones de una directiva pueden desplegar efecto directo, una vez expirado el plazo de transposición, siempre que su contenido sea suficientemente claro, preciso e incondicional.
No obstante, dicho efecto directo opera únicamente frente al Estado y a las entidades que puedan considerarse emanaciones del mismo. Las directivas no producen, con carácter general, efecto directo horizontal entre particulares. Esto significa que una empresa privada no puede exigir a otra empresa privada el cumplimiento de obligaciones derivadas exclusivamente de una directiva no transpuesta. A este respecto, resulta relevante señalar que una parte significativa de las entidades sujetas a NIS2 en España pertenece al sector público o puede ser considerada, conforme a la jurisprudencia europea, una emanación del Estado. Por tanto, uno de los principales problemas de la falta de incorporación formal se constriñe al plano estrictamente horizontal, las relaciones entre empresas privadas, y a la ausencia de una infraestructura pública sancionadora y supervisora plenamente operativa.
En el caso de NIS2, además, muchas de sus previsiones requieren desarrollo normativo interno, designación de autoridades competentes, concreción de obligaciones organizativas, mecanismos de supervisión y establecimiento de regímenes sancionadores. Por ello, el retraso español no solo plantea un problema de incumplimiento frente a la UE. También genera una situación de incertidumbre jurídica para las organizaciones que saben que el Legislador europeo exige determinadas obligaciones, pero que todavía carecen de un marco nacional plenamente operativo que las concrete.
Ello no significa, sin embargo, que las entidades potencialmente afectadas puedan permanecer ajenas a las exigencias de NIS2. La Directiva anticipa el estándar regulatorio hacia el que necesariamente evolucionará el ordenamiento nacional, por lo que muchas organizaciones han iniciado ya procesos de adaptación de sus sistemas de gobernanza y gestión de riesgos.
¿Puede responder España por los daños derivados de la falta de transposición?
La cuestión más interesante desde una perspectiva jurídica quizá no sea la eventual sanción europea. La verdadera pregunta es si la falta de transposición podría llegar a generar responsabilidad patrimonial del Estado.
La respuesta exige acudir a la jurisprudencia del TJUE. Desde la conocida doctrina Francovich, vertida en la Sentencia del TJUE de 19 de noviembre de 1991 -asuntos acumulados C-6/90 y C-9/90, Francovich y Bonifaci contra República Italiana-, el Derecho de la Unión reconoce que los particulares pueden reclamar daños y perjuicios cuando un Estado incumple sus obligaciones europeas y dicho incumplimiento les ocasiona un perjuicio efectivo.
Posteriormente, las sentencias Brasserie du Pêcheur y Factortame III -asuntos acumulados C-46/93 y C-48/93- consolidaron esta doctrina y precisaron los requisitos necesarios para exigir responsabilidad patrimonial al Estado por infracción del Derecho de la Unión.
La aplicación de esta jurisprudencia al ámbito de la ciberseguridad abre escenarios especialmente interesantes. Imaginemos una empresa española perteneciente a alguno de los sectores afectados por NIS2 que sufre un ciberataque de gran impacto durante el periodo en que la Directiva ya debería haber estado plenamente incorporada al ordenamiento jurídico español. ¿Podría alegar que la falta de transposición le privó de mecanismos regulatorios, de supervisión o de coordinación previstos por el Legislador europeo?
Desde esta perspectiva, podría sostenerse que el retraso en la transposición ha impedido la plena articulación del sistema institucional diseñado por NIS2, incluyendo la designación formal de las autoridades competentes, los mecanismos de supervisión y los equipos de respuesta a incidentes -CSIRT- integrados en el marco europeo de cooperación. Aunque España dispone de organismos con funciones relevantes en materia de ciberseguridad, la ausencia de una implantación completa del modelo previsto por la Directiva podría ser invocada como un factor susceptible de limitar la eficacia de los mecanismos de coordinación, supervisión y respuesta que el Derecho europeo pretendía reforzar.
La Administración podría alegar la existencia de estructuras nacionales de respuesta y canales de coordinación previamente operativos. Sin embargo, también puede sostenerse que la falta de transposición retrasa la plena aplicación del sistema de gobernanza y cooperación reforzada específicamente diseñado por NIS2 para las entidades afectadas. En términos prácticos, ello podría traducirse en una pérdida de oportunidades de prevención, detección temprana o respuesta frente a amenazas que, como demuestra la experiencia diaria, no entienden de fronteras ni de plazos legislativos.
La cuestión no admite respuestas simples. La mera existencia del ciberataque no bastaría para generar responsabilidad estatal. Sería necesario acreditar que la norma incumplida tenía por finalidad conferir derechos a los particulares, que el incumplimiento estatal reviste suficiente gravedad y, especialmente, que existe una relación causal directa entre la omisión normativa y el daño efectivamente sufrido. Precisamente este último requisito constituiría el principal obstáculo probatorio.
Demostrar que un ciberataque concreto se produjo o se agravó como consecuencia directa de la falta de transposición de NIS2 no resultaría sencillo. No obstante, cuanto más se prolongue el retraso y más evidente resulte la finalidad protectora de la Directiva, mayor será la probabilidad de que aparezcan reclamaciones que intenten vincular determinados daños al incumplimiento estatal.
Ciberseguridad y Estado de Derecho
Existe una tendencia recurrente a presentar los incidentes de ciberseguridad como simples problemas tecnológicos. Sin embargo, sus consecuencias son profundamente jurídicas. Un ataque contra un hospital puede comprometer el derecho a la protección de la salud. Un incidente sobre una infraestructura crítica puede afectar al funcionamiento de servicios esenciales para millones de ciudadanos. Un ciberataque contra una Administración pública puede dificultar el ejercicio de derechos o impedir temporalmente el acceso a servicios públicos fundamentales. En todos estos casos, puede quedar afectada la protección de datos sensibles.
La ciberseguridad no protege únicamente redes, servidores o bases de datos. Protege derechos fundamentales, servicios esenciales e instituciones democráticas. Por ello, la verdadera importancia de NIS2 no reside únicamente en sus obligaciones técnicas ni en su régimen sancionador. Su relevancia radica en reconocer que la seguridad digital constituye una condición indispensable para el funcionamiento efectivo del Estado de Derecho en una sociedad crecientemente dependiente de la tecnología.
La advertencia de la Comisión Europea debería interpretarse, por tanto, como algo más que un conflicto entre Bruselas y Madrid. Es un recordatorio de que la resiliencia digital forma ya parte de la infraestructura jurídica sobre la que descansan nuestros derechos, nuestra economía y nuestras instituciones.
La ciberseguridad ya no es una cuestión reservada a los departamentos informáticos. Es una exigencia de gobernanza, una obligación jurídica y una condición necesaria para garantizar la continuidad de los servicios esenciales y la protección efectiva de los derechos fundamentales en el entorno digital.
La pregunta ya no es si debemos regular la ciberseguridad. La verdadera cuestión es cuánto tiempo puede permitirse un Estado retrasar la implantación de un marco normativo concebido precisamente para proteger a sus ciudadanos, sus empresas y sus servicios esenciales frente a riesgos que evolucionan más rápido que los propios procedimientos legislativos.