Transposiciones NIS2: dónde diverge realmente la norma nacional
No es la directiva la que obliga a sus clientes, sino la norma nacional. Y en España hay una confusión que cuesta dinero: el ENS no es el marco NIS2 de una pyme privada.
He pasado las últimas semanas leyendo transposiciones en los boletines oficiales, no en resúmenes. Empiezo por España porque el error más caro no es una divergencia, es una atribución.
El ámbito del ENS
El Real Decreto 311/2022 fija su ámbito de aplicación en el art. 2: sector público, y las organizaciones del sector privado únicamente cuando prestan servicios o proveen soluciones a entidades públicas. Una pyme privada sin contrato público no queda sujeta al ENS por el hecho de entrar en el ámbito de NIS2. Una herramienta que le presenta el ENS como su marco de referencia le hace trabajar meses sobre el catálogo equivocado.
Formación
El art. 20.2 de la directiva habla de los miembros del órgano de dirección. Todos los países que he leído ampliaron el círculo. Croacia exige que el director se forme y permita formarse a los empleados (čl. 29 st. 3), y extiende el alcance personal a quien tenga facultades de supervisión, representación o decisión sobre las medidas (st. 4). Polonia la hace anual, una vez por año natural, documentada, y la aplica a aquellos en quienes se delegaron las obligaciones (art. 8e). Francia alcanza al órgano de dirección y a "les personnes exposées aux risques" (art. 14, 1°). Tres de tres. Si su plan de formación termina en el consejo, probablemente sea demasiado estrecho.
Polonia inventó una obligación que la directiva no contempla en absoluto
Los artículos 67b–67c crean un régimen de proveedor de alto riesgo: una designación ministerial publicada en el Monitor Polski es inmediatamente ejecutiva y no admite recurso de reposición. A partir de ahí no se pueden desplegar los productos afectados, hay siete años para retirar lo ya instalado, y las entidades de contratación pública no pueden adquirirlos. Ningún plazo de siete años ligado a un proveedor concreto aparece en NIS2.
La divergencia que cuesta dinero equivocarse
En cadena de suministro, Italia y Portugal exigen documentar a qué accede realmente un proveedor: "valutato e documentato" para el acceso a datos y propiedad intelectual, ponderado por criticidad (Misure ACN GV.SC-07.R1), y "a exposição da sua informação" como criterio de categorización (QNRCS GR.CA-7). Polonia y Alemania no exigen nada semejante, y Alemania no transpuso el art. 21.3. Una herramienta que impone ese campo en todas partes se equivoca igual que una que no lo ofrece en ninguna.
Por qué esto no es un detalle para quien fabrica la herramienta
Una plataforma construida sobre la directiva trata todos los países como uno solo, y en España eso significa aplicar el ENS a quien no está sujeto a él. Nosotros leemos el art. 2 del RD 311/2022 antes de proponer un marco. Lo reconozco: nuestra propia base indexaba el ENS solo por el título, lo que convertía una ausencia de dato en una supuesta ausencia de requisito. Lo corregimos tras leer la norma, no tras una queja.
¿Qué norma nacional le obliga?
La evaluación gratuita nombra la norma que le vincula, la autoridad a la que notifica y los plazos que su país fija realmente. Leemos el art. 2 del RD 311/2022 antes de proponerle el ENS como marco. Sin tarjeta.