¿Qué es la Directiva NIS2?
La Directiva NIS2 (Directiva (UE) 2022/2555, denominada «Directiva SRI 2» en su versión oficial en español) es una ley de ciberseguridad de la UE que refuerza los requisitos de seguridad para las organizaciones de sectores críticos, entre ellos la energía. Obliga a las organizaciones incluidas, entre ellas los operadores de red de recarga de vehículos eléctricos (VE) que cumplen los criterios, a gestionar los riesgos de ciberseguridad, proteger sus cadenas de suministro y notificar los incidentes significativos.
Según el artículo 41 de la directiva, los Estados miembros debían transponerla a su legislación nacional a más tardar el 17 de octubre de 2024, aunque muchos no cumplieron ese plazo.
¿Afecta la NIS2 a los operadores de recarga de VE?
El anexo I de la NIS2, la lista de sectores de alta criticidad, incluye a los operadores responsables de la gestión y explotación de puntos de recarga (el término jurídico de la UE) que prestan un servicio de recarga a usuarios finales. Esta redacción coincide con la definición de operador de puntos de recarga (CPO) del AFIR, el Reglamento relativo a la implantación de una infraestructura para los combustibles alternativos, que AMPECO explica en su guía de cumplimiento del AFIR para CPO.
Como norma general, la NIS2 abarca a los operadores que se consideran medianas o grandes empresas según las normas de la UE. Esto suele significar tener al menos 50 empleados o superar los umbrales financieros correspondientes. El tamaño de la empresa también puede depender de la estructura del grupo empresarial al que pertenece, por lo que los operadores deben consultar la normativa nacional aplicable.
Dentro de su ámbito de aplicación, la NIS2 distingue dos categorías:
- Entidades esenciales: los grandes operadores de puntos de recarga (CPO). Las autoridades los supervisan de forma proactiva y pueden auditarlos sin que exista sospecha de incumplimiento.
- Entidades importantes: los operadores medianos, que se supervisan a posteriori cuando hay indicios de incumplimiento.
Un Estado miembro también puede incluir a una organización más pequeña en el ámbito de aplicación mediante su designación, por ejemplo cuando sea el único proveedor en ese país de un servicio esencial para actividades sociales o económicas críticas.
Un proveedor de servicios de movilidad eléctrica (eMSP) que solo vende el acceso a los puntos de recarga de otros operadores no está incluido como operador de puntos de recarga. Solo entra en el ámbito de aplicación por este motivo si también explota puntos de recarga, aunque podría estar incluido en otra categoría de la NIS2.
Como la NIS2 es una directiva, cada Estado miembro la aplica mediante su propia legislación nacional, que fija los detalles, como dónde y cómo debe registrarse un operador.
¿Qué exige la NIS2?
- Responsabilidad de la dirección: el órgano de dirección (el consejo de administración o la alta dirección) debe aprobar y supervisar las medidas de ciberseguridad y participar en formaciones. Sus miembros pueden ser considerados responsables de las infracciones.
- Medidas de gestión de riesgos: el artículo 21 establece diez ámbitos mínimos, entre ellos la gestión de incidentes, la continuidad de la actividad y las copias de seguridad, el cifrado, el control de acceso y la autenticación multifactor. La guía de la Directiva NIS2 para CPO los explica todos.
- Notificación de incidentes: un incidente significativo es aquel que causa, o puede causar, una perturbación operativa grave, pérdidas económicas o daños considerables a terceros. Activa tres plazos: una alerta temprana en las 24 horas siguientes a tener conocimiento de él, una notificación del incidente en un plazo de 72 horas y un informe final en el plazo de un mes desde esa notificación.
- Seguridad de la cadena de suministro: los operadores deben evaluar la seguridad de sus proveedores directos, incluidos los fabricantes de cargadores y el sistema de gestión de puntos de recarga (CPMS) que utilizan.
La NIS2 obliga a los Estados miembros a fijar multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, si esta cifra es superior. Para las entidades importantes, las cifras son 7 millones de euros o el 1,4 %. Las sanciones reales dependen de la infracción y de la legislación nacional.
¿Qué hacen los operadores y los proveedores de software según la NIS2?
La NIS2 impone sus obligaciones a los operadores de red de recarga de VE que cumplen los criterios, y esas obligaciones siguen siendo del operador: registrarse ante la autoridad competente, realizar su propio análisis de riesgos, establecer políticas de ciberseguridad, formar a la dirección, poner en servicio los cargadores de forma segura, gestionar los incidentes y cumplir los plazos de notificación. Los proveedores de software apoyan este trabajo integrando controles de seguridad, manteniendo sistemas seguros y aportando documentación, como certificaciones, informes de auditoría y políticas de seguridad. Los operadores pueden usar esta información en sus evaluaciones de riesgos de proveedores, pero utilizar una plataforma de software segura no los hace cumplir automáticamente con la NIS2.
NIS2 y Reglamento de Ciberresiliencia
| Aspecto | Directiva NIS2 | Reglamento de Ciberresiliencia (CRA) |
|---|---|---|
| Qué regula | Cómo protege una organización sus redes y sistemas | Cómo se diseñan los productos con elementos digitales, incluidos los cargadores |
| Sujetos obligados | Operadores de red de recarga de VE que cumplen los criterios y otras entidades incluidas | Fabricantes, importadores y distribuidores |
| Obligaciones | Gobernanza, gestión de riesgos, notificación de incidentes | Seguridad desde el diseño, gestión de vulnerabilidades |
| Plazos | Plazo de transposición nacional: 17 de octubre de 2024 | Notificación desde el 11 de septiembre de 2026; aplicación plena el 11 de diciembre de 2027 |
Las dos normas abordan aspectos distintos de la ciberseguridad. La NIS2 se centra en cómo las organizaciones gestionan los riesgos de ciberseguridad, incluidos los relacionados con sus proveedores. El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, establece requisitos de ciberseguridad para productos de hardware y software conectados. Los servicios en la nube independientes suelen quedar fuera del CRA, aunque pueden estar incluidos determinados servicios remotos que sean esenciales para el funcionamiento de un producto.
Cómo ayuda AMPECO a evaluar proveedores según la NIS2
La plataforma de recarga de VE de AMPECO cuenta con controles de seguridad evaluados de forma independiente que los operadores pueden revisar cuando evalúan a AMPECO como proveedor en el marco de la NIS2:
- Certificación ISO/IEC 27001:2022 y una auditoría SOC 2 Tipo II
- Control de acceso basado en roles, autenticación multifactor e inicio de sesión único (SSO)
- TLS 1.2 para los datos en tránsito y cifrado AES-256 para los datos en reposo
- Registros de auditoría
- Procedimientos de recuperación ante desastres probados en simulacros periódicos
Las certificaciones y los controles se describen en la página de seguridad de AMPECO.
Términos relacionados
- Operador de puntos de recarga (CPO)
- eMSP (proveedor de servicios de movilidad eléctrica)
- CPMS (sistema de gestión de puntos de recarga)
- OCPP (Open Charge Point Protocol)
- ISO 15118
Preguntas frecuentes
¿Afecta la NIS2 a los pequeños operadores de recarga?
Por lo general, no. Las pequeñas empresas, con menos de 50 empleados y un volumen de negocios anual o un balance general que no supera los 10 millones de euros, quedan fuera de la regla de tamaño. Aun así, un Estado miembro puede designar a un pequeño operador, por ejemplo si es el único proveedor de un servicio esencial en ese país, por lo que conviene consultar la legislación nacional antes de descartarlo.
¿Qué plazos de notificación de incidentes fija la NIS2?
Ante un incidente significativo, el operador envía una alerta temprana a su equipo nacional de respuesta a incidentes de seguridad informática (CSIRT) o a la autoridad competente en las 24 horas siguientes a tener conocimiento de él. En un plazo de 72 horas le sigue una notificación del incidente con una evaluación inicial, y un informe final en el plazo de un mes desde esa notificación. Si el incidente sigue en curso en ese momento, el operador envía en su lugar un informe de situación, y el informe final en el plazo de un mes desde la gestión del incidente.
¿Afecta la NIS2 a los proveedores de software de recarga?
Puede afectarles. Los proveedores de software de recarga de VE no están incluidos automáticamente como operadores de puntos de recarga, pero pueden estar sujetos a la NIS2 por otras categorías, como la computación en nube o los servicios gestionados. Aunque un proveedor de software no esté regulado directamente, los operadores de recarga sujetos a la NIS2 deben evaluar las prácticas de ciberseguridad de sus proveedores, incluidos sus proveedores de CPMS.
¿Basta la certificación ISO 27001 para cumplir la NIS2?
No. La certificación ISO/IEC 27001 puede ayudar a las organizaciones a demostrar que han establecido procesos de gestión de riesgos de ciberseguridad, pero no garantiza por sí sola el cumplimiento de la NIS2. Las organizaciones también deben cumplir los requisitos aplicables en materia de responsabilidad de la dirección, notificación de incidentes, seguridad de la cadena de suministro y demás obligaciones de la legislación nacional de transposición de la NIS2.
¿Le ha resultado útil?