IS2 en República Checa: quién debe registrarse y por qué es obligatorio
La nueva Ley de Ciberseguridad (ZKB), basada en la Directiva NIS2, introduce un cambio importante en la regulación digital del país. Ahora el alcance es mayor y, por ello, más de 6.000 empresas deberán cumplir la normativa.
El primer paso obligatorio es la inscripción antes del 31 de diciembre de 2025. Este paso es esencial, ya que sin registro no será posible iniciar el proceso de cumplimiento previsto para 2026.
¿Quién debe registrarse?
La normativa identifica dos categorías.
1. Servicios Esenciales
Esta categoría incluye entidades críticas para la sociedad y la economía, como:
- energía (electricidad, gas, petróleo y distribución)
- agua potable y tratamiento de aguas
- transporte (aéreo, ferroviario, carretera, marítimo y logística crítica)
- hospitales y centros sanitarios
- infraestructura digital (DNS, centros de datos, cloud europeos)
- bancos, seguros y servicios financieros regulados
- administración pública
Estas entidades deben cumplir requisitos más estrictos, incluyendo auditorías periódicas, planes de continuidad y reportes avanzados.
2. Servicios Importantes
Estas organizaciones también están obligadas a registrarse, aunque con requisitos iniciales menos exigentes. Incluyen:
- empresas TIC, hosting, SaaS y proveedores cloud
- empresas manufactureras medianas y grandes
- gestión de residuos y servicios ambientales
- servicios postales, logística y transporte
- industria alimentaria y agrícola
- universidades y centros de investigación
- proveedores tecnológicos de entidades esenciales
Además, empresas más pequeñas pueden ser incluidas si forman parte de una cadena de suministro crítica.
Criterios de Tamaño
La empresa debe registrarse si cumple al menos uno de los siguientes:
- 50 o más empleados, o
- 10 millones de euros en facturación anual o más
Las autoridades pueden incluir empresas más pequeñas si son estratégicas.
¿Por qué es obligatorio?
La finalidad es fortalecer la resiliencia digital europea. También busca estandarizar cómo las organizaciones gestionan la ciberseguridad.
Después del registro, la empresa deberá:
- aplicar controles basados en ISO 27000
- nombrar un responsable de ciberseguridad
- establecer políticas internas y procesos de gobierno IT
- reportar incidentes graves en máximo 24 horas
- demostrar cumplimiento mediante auditorías
Sanciones
Las multas pueden alcanzar:
- 250 millones CZK, o
- 2% de la facturación global anual,
según la cifra mayor. Además, pueden existir responsabilidades para la dirección.
Fechas Clave
| Fecha | Acción |
|---|---|
| 1 noviembre 2025 | Entrada en vigor de la nueva ley |
| 31 diciembre 2025 | Límite para el registro obligatorio |
| Durante 2026 | Implementación y auditorías |
Por esta razón, muchas empresas ya han iniciado auditorías y preparación.
