¿NIS2 en el extranjero: ¿es la ley igual en cada país de la UE?
No, no exactamente. NIS2 es una directiva europea, y una directiva funciona de forma diferente a un reglamento. Un reglamento como el RGPD se aplica directa y literalmente en todos los Estados miembros. Una directiva como NIS2 fija un objetivo y un marco, pero cada país debe transponerlo en su propia legislación nacional. Por ello, las reglas precisas, los términos utilizados y la forma de supervisión pueden variar de un país a otro, aunque el punto de partida sea el mismo en todas partes.
Para un empresario que suministra a clientes en varios países, o que tiene sucursales en el extranjero, esto significa que un cuestionario de Alemania puede utilizar palabras distintas a las de un cuestionario de Francia o Bélgica, aunque ambos se remitan a la misma directiva europea. Lo que en un país se denomina medida obligatoria, en otro puede estar clasificado bajo una denominación ligeramente diferente. Esto no es un error de su cliente ni tampoco suyo: es el resultado de cómo funciona jurídicamente una directiva.
Lo que permanece igual, lo que cambia
El núcleo de NIS2 está fijado a nivel europeo: qué sectores pueden estar cubiertos por la directiva, qué tipo de medidas en el ámbito de la ciberseguridad se esperan, y que habrá alguna forma de supervisión. Esta base es el mismo punto de partida en todos los Estados miembros.
Lo que cambia, está principalmente en la ejecución. Cada país designa su propio órgano supervisor, con un nombre propio y un procedimiento de funcionamiento diferente. También la forma en que una empresa debe notificarse, la formulación precisa de las obligaciones, y los regímenes nacionales de multas pueden variar de un país a otro. Además, algunos países han optado por transponer la directiva de manera más amplia o ligeramente más estricta que el mínimo europeo, dentro del margen que la directiva permite.
En la práctica, esto significa que un proveedor neerlandés que suministra a un cliente alemán o español puede recibir un cuestionario que está estructurado de forma diferente a un cuestionario neerlandés comparable. La pregunta subyacente —¿puede demostrar que está haciendo algo en materia de ciberseguridad?— suele ser comparable. La forma en que se formula esa pregunta no siempre lo es.
Lo que esto significa para su propio dossier de cadena
Para el empresario que responde el mismo tipo de preguntas decenas de veces al año, la distinción entre el núcleo europeo y la ejecución nacional es principalmente relevante desde el punto de vista práctico. Las pruebas que proporciona —una política, un resumen de medidas, una declaración sobre control de acceso— pueden fundamentalmente seguir siendo las mismas, aunque la formulación de la pregunta varíe de un país a otro. Es la adaptación al formato del cliente la que puede cambiar según el país, no necesariamente el contenido de lo que ya ha documentado.
Ahí es donde un dossier de cadena centralizado demuestra su valor: documentar una sola vez la información subyacente, y reutilizarla en cada cuestionario, independientemente de en qué país se encuentre el cliente o de cuál sea exactamente la ley nacional tras la pregunta. la base de conocimientos con explicaciones por tema indica por tema qué información se suele solicitar, de modo que no tenga que averiguar nuevamente para cada país qué es diferente.
Si NIS2 en la forma nacional de un país específico se aplica concretamente a su empresa, y cuáles son las obligaciones precisas que se derivan de ello, consta en la legislación de ese país y ante la autoridad supervisora designada allí. Para la situación neerlandesa, puede comprobarlo ante la autoridad supervisora competente o ante un abogado familiarizado con cuestiones transfronterizas de NIS2; nosotros no evaluamos esa situación y no emitimos un dictamen al respecto.
Primero ver dónde se encuentra aproximadamente
Si no está seguro de si las preguntas sobre ciberseguridad que recibe están relacionadas con NIS2 o simplemente provienen de la política de su propio cliente, le ayuda tener primero una descripción general breve de lo que se suele preguntar y por qué. en algunas preguntas obtener una primera indicación muestra qué temas pueden ser relevantes para su situación, sin que esto constituya un juicio sobre su cumplimiento.
Para quienes quieran saber exactamente de dónde proviene la información en supplia.eu y cómo se mantiene, eso se explica en la página sobre cómo se elabora la información. Si después de leer aún duda sobre un término o situación específica, encontrará más información en las preguntas frecuentes sobre cuestionarios y supervisión.
¿Quiere saber cómo estas diferencias entre países se reflejan en la práctica con sus propios clientes? Realice el escaneo rápido gratuito o consulte la base de conocimiento. Así verá rápidamente qué temas afectan a su empresa, sin tener que investigar primero toda la normativa nacional.