{"id":37871,"date":"2026-07-13T18:14:01","date_gmt":"2026-07-13T18:14:01","guid":{"rendered":"https:\/\/blogemergencias.es\/index.php\/2026\/07\/13\/comunicacion-de-la-comision-directrices-sobre-la-aplicacion-del-articulo-13-apartado-5-de-la-directiva-ue-2022-2557-relativa-a-la-resiliencia-de-las-entidades-criticas\/"},"modified":"2026-07-13T18:14:01","modified_gmt":"2026-07-13T18:14:01","slug":"comunicacion-de-la-comision-directrices-sobre-la-aplicacion-del-articulo-13-apartado-5-de-la-directiva-ue-2022-2557-relativa-a-la-resiliencia-de-las-entidades-criticas","status":"publish","type":"post","link":"https:\/\/blogemergencias.es\/index.php\/2026\/07\/13\/comunicacion-de-la-comision-directrices-sobre-la-aplicacion-del-articulo-13-apartado-5-de-la-directiva-ue-2022-2557-relativa-a-la-resiliencia-de-las-entidades-criticas\/","title":{"rendered":"Comunicaci\u00f3n de la Comisi\u00f3n – Directrices sobre la aplicaci\u00f3n del art\u00edculo 13, apartado 5, de la Directiva (UE) 2022\/2557 relativa a la resiliencia de las entidades cr\u00edticas."},"content":{"rendered":"
\n

I.\u00a0\u00a0\u00a0INTRODUCCI\u00d3N<\/span><\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

1.<\/p>\n<\/td>\n

\n La Directiva (UE)\u00a02022\/2557, relativa a la resiliencia de las entidades cr\u00edticas (en lo sucesivo, \u00abla Directiva\u00bb)\u00a0(1<\/span>)<\/a>, tiene por objeto garantizar que los servicios esenciales para el mantenimiento de funciones sociales o actividades econ\u00f3micas vitales se presten sin obst\u00e1culos en el mercado interior. La Directiva tiene por objeto mejorar la resiliencia de las entidades cr\u00edticas que prestan dichos servicios, creando un marco general para la resiliencia frente a todos los peligros (naturales y provocados por el hombre, accidentales o intencionados).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

2.<\/p>\n<\/td>\n

\n De conformidad con el art\u00edculo\u00a06, apartado 1, de la Directiva, los Estados miembros deben identificar sus entidades cr\u00edticas para los sectores y subsectores establecidos en el anexo de la Directiva a m\u00e1s tardar el 17\u00a0de\u00a0julio de\u00a02026. Para lograr un alto nivel de resiliencia, dichas entidades cr\u00edticas tienen obligaciones en virtud de la Directiva, incluida la obligaci\u00f3n establecida en el art\u00edculo\u00a013 de adoptar medidas t\u00e9cnicas, organizativas y de seguridad adecuadas y proporcionadas para garantizar su resiliencia. A este respecto, el art\u00edculo\u00a013, apartado 5, de la Directiva encarg\u00f3 a la Comisi\u00f3n que adoptara directrices no vinculantes para especificar en mayor medida las medidas t\u00e9cnicas, organizativas y de seguridad que pueden adoptar las entidades cr\u00edticas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

3.<\/p>\n<\/td>\n

\n De conformidad con las disposiciones mencionadas anteriormente, antes de la adopci\u00f3n de la presente Comunicaci\u00f3n, se consult\u00f3 a los Estados miembros y a las partes interesadas en un taller celebrado el 29\u00a0de\u00a0septiembre de\u00a02025. Se consult\u00f3 al Grupo de Resiliencia de las Entidades Cr\u00edticas sobre las l\u00edneas generales de la Comunicaci\u00f3n en sus reuniones de los d\u00edas 10 de abril, 19 de mayo y 30\u00a0de\u00a0septiembre de\u00a02025. Tambi\u00e9n se le consult\u00f3 sobre el proyecto de texto de la Comunicaci\u00f3n el 14\u00a0de\u00a0noviembre de\u00a02025, y el 25\u00a0de\u00a0febrero de\u00a02026 se comparti\u00f3 una versi\u00f3n actualizada con el Grupo de Resiliencia de las Entidades Cr\u00edticas. El 6\u00a0de\u00a0marzo de\u00a02026 tuvo lugar una consulta final del Grupo de Resiliencia de las Entidades Cr\u00edticas sobre el proyecto de directrices.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

4.<\/p>\n<\/td>\n

\n La presente Comunicaci\u00f3n no es jur\u00eddicamente vinculante ni afecta a la interpretaci\u00f3n del Derecho de la UE por parte del Tribunal de Justicia de la Uni\u00f3n Europea.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

II.\u00a0\u00a0\u00a0DIRECTRICES NO VINCULANTES SOBRE MEDIDAS DE MEJORA DE LA RESILIENCIA<\/span><\/p>\n

A.\u00a0\u00a0\u00a0CONSIDERACIONES GENERALES<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

5.<\/p>\n<\/td>\n

\n Estas directrices no vinculantes tienen por objeto especificar a\u00fan m\u00e1s las medidas t\u00e9cnicas, organizativas y de seguridad que pueden adoptar las entidades cr\u00edticas con arreglo al art\u00edculo\u00a013, apartado 1, letra a) a f), de la Directiva. La lista de medidas no es exhaustiva y puede complementarse con medidas adicionales.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

6.<\/p>\n<\/td>\n

\n De conformidad con el art\u00edculo\u00a013, apartado 1, al aplicar estas medidas, las entidades cr\u00edticas deben tener en cuenta lo siguiente.<\/span><\/p>\n\n\n\n\n <\/colgroup>\n\n\n
\n

a)<\/p>\n<\/td>\n

\n

Informaci\u00f3n pertinente facilitada por los Estados miembros sobre la evaluaci\u00f3n de riesgos del Estado miembro realizada con arreglo al art\u00edculo\u00a05 de la Directiva. Los Estados miembros deben enviar informaci\u00f3n r\u00e1pida, sucinta y personalizada a sus entidades cr\u00edticas. Dicha informaci\u00f3n podr\u00e1 incluir los informes a que se refiere el art\u00edculo\u00a09, apartado 3, de la Directiva, enviados a la Comisi\u00f3n utilizando el modelo com\u00fan de informe.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

b)<\/p>\n<\/td>\n

\n

Informaci\u00f3n pertinente sobre los resultados de la evaluaci\u00f3n de riesgos de la entidad cr\u00edtica realizada con arreglo al art\u00edculo\u00a012 de la Directiva. Se anima a las entidades cr\u00edticas a aplicar un enfoque hol\u00edstico pasando de una mera protecci\u00f3n de las infraestructuras cr\u00edticas a garantizar la continuidad de los servicios esenciales que prestan y a vincular los resultados de la evaluaci\u00f3n de riesgos a sus medidas de mejora de la resiliencia. Con el fin de apoyar las medidas de resiliencia, las entidades cr\u00edticas deben considerar la posibilidad de llevar a cabo evaluaciones de riesgos exhaustivas que vayan m\u00e1s all\u00e1 de sus dependencias directas, teniendo en cuenta los aspectos de interdependencia transfronteriza, sectorial y sist\u00e9mica.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

7.<\/p>\n<\/td>\n

\n De conformidad con el art\u00edculo\u00a013, apartado 1, de la Directiva, las medidas que deben adoptar las entidades cr\u00edticas deben ser adecuadas y proporcionadas. La idoneidad y proporcionalidad de estas medidas deben evaluarse en relaci\u00f3n con los resultados de las evaluaciones de riesgos mencionadas anteriormente.<\/span><\/p>\n\n\n\n\n <\/colgroup>\n\n\n
\n

a)<\/p>\n<\/td>\n

\n

Por \u00abadecuadas\u00bb deben entenderse medidas basadas en el riesgo o en el impacto, efectivas y apropiadas que puedan hacer que la entidad cr\u00edtica sea plenamente resiliente en la prestaci\u00f3n de servicios esenciales. La idoneidad de una medida puede diferir de una entidad cr\u00edtica a otra en funci\u00f3n de sus especificidades.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

b)<\/p>\n<\/td>\n

\n

Por \u00abproporcionadas\u00bb deben entenderse las medidas necesarias y suficientes que no sean excesivas en cuanto al nivel de riesgo y la gravedad del incidente perturbador. Las medidas deben adaptarse a las especificidades de la entidad cr\u00edtica en cuesti\u00f3n y tener en cuenta aspectos como la naturaleza de los servicios esenciales prestados, la cadena de suministro y las interdependencias, la eficiencia en costes de las medidas, el tama\u00f1o de la entidad y el impacto geogr\u00e1fico de los servicios prestados.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

8.<\/p>\n<\/td>\n

\n Las directrices tienen en cuenta todos los sectores cubiertos por el cap\u00edtulo III de la Directiva\u00a0(2<\/span>)<\/a>. La lista no exhaustiva de ejemplos podr\u00eda no aplicarse por igual a todos los sectores y a todos los tipos de infraestructuras cr\u00edticas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

9.<\/p>\n<\/td>\n

\n Las medidas que se adopten depender\u00e1n del resultado de la evaluaci\u00f3n de riesgos del Estado miembro y de las evaluaciones de riesgos de las entidades cr\u00edticas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

10.<\/p>\n<\/td>\n

\n Las medidas de resiliencia adoptadas por las entidades cr\u00edticas en virtud del art\u00edculo\u00a013, apartado 1, letra a) a f), deben aplicarse sin perjuicio de las medidas derivadas de la legislaci\u00f3n sectorial pertinente, como la legislaci\u00f3n mencionada en el considerando 31 de la Directiva, as\u00ed como la Directiva relativa a las medidas destinadas a garantizar un elevado nivel com\u00fan de ciberseguridad en toda la Uni\u00f3n (Directiva SRI 2)\u00a0(3<\/span>)<\/a>, la Legislaci\u00f3n Europea sobre el Clima\u00a0(4<\/span>)<\/a>, el Reglamento sobre la preparaci\u00f3n frente a los riesgos en el sector de la electricidad\u00a0(5<\/span>)<\/a>, el Reglamento sobre la seguridad del suministro de gas\u00a0(6<\/span>)<\/a>, la Directiva sobre la seguridad de las operaciones relativas al petr\u00f3leo y al gas mar adentro\u00a0(7<\/span>)<\/a>, el marco de la UE sobre seguridad mar\u00edtima y portuaria\u00a0(8<\/span>)<\/a>, el Reglamento General de Protecci\u00f3n de Datos (RGPD)\u00a0(9<\/span>)<\/a>, el Reglamento para la realizaci\u00f3n del Cielo \u00danico Europeo\u00a0(10<\/span>)<\/a>, el Reglamento sobre la Agencia de la Uni\u00f3n Europea para la Seguridad A\u00e9rea\u00a0(11<\/span>)<\/a> y el Reglamento de Ejecuci\u00f3n relativo a las funciones de la red de gesti\u00f3n del tr\u00e1fico a\u00e9reo\u00a0(12<\/span>)<\/a>, y en coherencia con ellas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

11.<\/p>\n<\/td>\n

\n Al utilizar la inteligencia artificial (IA) en sus medidas de resiliencia (por ejemplo, un sistema de IA que vigile la presi\u00f3n del agua en una presa o que controle una red el\u00e9ctrica), las entidades cr\u00edticas deben ser conscientes de que los sistemas de IA de alto riesgo deben cumplir los requisitos de seguridad del Reglamento de Inteligencia Artificial de la UE\u00a0(13<\/span>)<\/a>. Por \u00abde alto riesgo\u00bb se entiende que est\u00e1n destinados a ser utilizados como componentes de seguridad\u00a0(14<\/span>)<\/a> en la gesti\u00f3n y el funcionamiento de las infraestructuras digitales cr\u00edticas, del tr\u00e1fico rodado o en el suministro de agua, gas, calefacci\u00f3n o electricidad\u00a0(15<\/span>)<\/a>. Su fallo o mal funcionamiento puede poner en peligro la vida y la salud de las personas a gran escala y dar lugar a perturbaciones apreciables en el desarrollo ordinario de las actividades sociales y econ\u00f3micas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

12.<\/p>\n<\/td>\n

\n En relaci\u00f3n con el art\u00edculo\u00a013, apartado 2, de la Directiva, el considerando 30 explica que, \u00ab[e]n aras de la eficacia y la rendici\u00f3n de cuentas, las entidades cr\u00edticas deben describir las medidas que adopten, con un nivel de detalle que permita alcanzar de manera suficiente los objetivos de eficacia y rendici\u00f3n de cuentas, teniendo en cuenta los riesgos detectados, en un plan de resiliencia, o en uno o varios documentos que sean equivalentes a un plan de resiliencia, y poner ese plan en pr\u00e1ctica. La entidad cr\u00edtica que ya haya adoptado medidas t\u00e9cnicas, organizativas y de seguridad y elaborado documentos en virtud de otros actos jur\u00eddicos que sean pertinentes para las medidas de aumento de la resiliencia en virtud de la presente Directiva, debe poder, a fin de evitar duplicidades, utilizar dichas medidas y documentos para cumplir los requisitos en materia de medidas de resiliencia con arreglo a la presente Directiva […]\u00bb.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

13.<\/p>\n<\/td>\n

\n El papel del funcionario de enlace designado por la entidad cr\u00edtica de conformidad con el art\u00edculo\u00a013, apartado 3, de la Directiva es crucial para la adopci\u00f3n y aplicaci\u00f3n efectivas de medidas de mejora de la resiliencia, ya que garantiza una comunicaci\u00f3n y coordinaci\u00f3n eficientes y eficaces entre la entidad cr\u00edtica y las autoridades competentes en relaci\u00f3n con las obligaciones de la entidad cr\u00edtica y el marco general de resiliencia.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

14.<\/p>\n<\/td>\n

\n Al adoptar medidas de mejora de la resiliencia, se anima a las entidades cr\u00edticas a identificar todos los activos, instalaciones y equipos pertinentes y a tener en cuenta los aspectos transfronterizos y de interdependencia, dada la naturaleza altamente interconectada de los sectores que abarca la Directiva, incluidos los aspectos f\u00edsicos, medioambientales, cibern\u00e9ticos y de la cadena de suministro. Una perturbaci\u00f3n en un \u00e1mbito puede tener efectos en cascada en todo el mercado interior, perturbando as\u00ed la prestaci\u00f3n de servicios esenciales.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

15.<\/p>\n<\/td>\n

\n El mecanismo principal para considerar las interdependencias es la evaluaci\u00f3n de riesgos de la entidad cr\u00edtica y la evaluaci\u00f3n nacional de riesgos. La evaluaci\u00f3n de riesgos debe evaluar y tener en cuenta el grado en que otros sectores dependen del servicio esencial prestado por la entidad cr\u00edtica y el grado en que esta depende de otros servicios esenciales prestados por otras entidades en otros sectores, tambi\u00e9n, cuando proceda, en Estados miembros vecinos y terceros pa\u00edses.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

16.<\/p>\n<\/td>\n

\n Al adoptar medidas de mejora de la resiliencia, las entidades cr\u00edticas deben considerar la posibilidad de tener en cuenta las normas internacionales y europeas pertinentes.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

17.<\/p>\n<\/td>\n

\n Deben tenerse en cuenta las caracter\u00edsticas espec\u00edficas de las infraestructuras mar\u00edtimas cr\u00edticas: estas infraestructuras son m\u00e1s dif\u00edciles de supervisar y proteger; en el mar la detecci\u00f3n y la localizaci\u00f3n de incidentes, as\u00ed como las reparaciones, requieren m\u00e1s tiempo y son m\u00e1s costosas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

B.\u00a0\u00a0\u00a0MEDIDAS PREVENTIVAS [art\u00edculo\u00a013, apartado 1, letra a), de la Directiva]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

18.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que adopten medidas que aumenten su resiliencia mejorando su capacidad para evitar fallos o perturbaciones. Estas medidas deben integrarse en el plan de resiliencia mencionado en el art\u00edculo\u00a013, apartado 2, de la Directiva y considerarse parte de un sistema integrado y no componentes aislados. La efectividad de cualquier medida depende de su interacci\u00f3n con otras medidas, como la protecci\u00f3n f\u00edsica de las instalaciones, la respuesta, la resistencia y la recuperaci\u00f3n frente a incidentes perturbadores, y la gesti\u00f3n adecuada de la seguridad de los empleados.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

19.<\/p>\n<\/td>\n

\n Las medidas de reducci\u00f3n del riesgo de cat\u00e1strofes y de adaptaci\u00f3n al cambio clim\u00e1tico deben basarse en proyecciones clim\u00e1ticas plausibles a lo largo de la vida \u00fatil de las infraestructuras cr\u00edticas. Se anima a las entidades cr\u00edticas a que eviten poner infraestructuras cr\u00edticas (por ejemplo, centros de datos o subestaciones) en zonas de alto riesgo; a que adopten medidas para reforzar estructuralmente la infraestructura en cuesti\u00f3n (por ejemplo, protecci\u00f3n contra incendios, resistencia a inundaciones, sequ\u00edas y explosiones, y protecci\u00f3n contra l\u00edquidos), as\u00ed como medidas no estructurales (por ejemplo, formaci\u00f3n y protocolos de seguridad) para evitar colisiones, explosiones, vertidos de materiales peligrosos o radiaciones; a que encuentren soluciones basadas en la naturaleza, como la integraci\u00f3n de infraestructuras verdes (por ejemplo, humedales restaurados para absorber las marejadas o bosques urbanos para reducir el efecto de \u00abisla de calor\u00bb en los equipos el\u00e9ctricos); a que consideren los cambios inmediatos y a largo plazo en los patrones clim\u00e1ticos que podr\u00edan degradar la integridad del sistema a lo largo del tiempo, como el calor extremo, las inundaciones y el aumento del nivel del mar; a que elaboren un plan para la escasez de agua; a que realicen pruebas de resistencia para garantizar que la entidad pueda funcionar en un entorno significativamente m\u00e1s adverso (por ejemplo, en condiciones m\u00e1s c\u00e1lidas, fr\u00edas, h\u00famedas, secas, err\u00e1ticas o no estacionales).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

20.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que consideren la posibilidad de crear una base de datos de incidentes, contribuyendo a las bases de datos de incidentes de la UE\u00a0(16<\/span>)<\/a> y aplicando un sistema de notificaci\u00f3n de incidentes sistem\u00e1tico, que proporcione un historial de acontecimientos y permita no solo la prevenci\u00f3n de incidentes y la reducci\u00f3n de riesgos, sino tambi\u00e9n la recuperaci\u00f3n de activos.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

21.<\/p>\n<\/td>\n

\n Para evitar errores humanos, se anima a las entidades cr\u00edticas a identificar tareas propensas a errores y a aplicar contramedidas adecuadas, como la automatizaci\u00f3n, la formaci\u00f3n continua de los empleados, la supervisi\u00f3n y la rendici\u00f3n de cuentas clara, la documentaci\u00f3n detallada de los procesos, las auditor\u00edas e inspecciones peri\u00f3dicas y el desarrollo de una cultura de resiliencia y responsabilidad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

22.<\/p>\n<\/td>\n

\n Para garantizar que las medidas de resiliencia se apliquen en consonancia con la Directiva SRI 2, se anima a las entidades cr\u00edticas a que, al aplicar sus medidas de resiliencia, tengan en cuenta las medidas pertinentes para la seguridad de las redes y los sistemas de informaci\u00f3n, tal como se definen en la Directiva SRI 2. Las medidas establecidas en el Reglamento de Ejecuci\u00f3n (UE)\u00a02024\/2690 de la Comisi\u00f3n\u00a0(17<\/span>)<\/a> aplicables a determinados tipos de entidades de los sectores de la infraestructura digital, de la gesti\u00f3n de servicios de tecnolog\u00edas de la informaci\u00f3n y de las comunicaciones (TIC) (empresa a empresa) y de los proveedores digitales, tal como se definen en la Directiva SRI 2\u00a0(18<\/span>)<\/a>, as\u00ed como las orientaciones de aplicaci\u00f3n de ENISA que la acompa\u00f1an\u00a0(19<\/span>)<\/a>, pueden servir de referencia adicional.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

23.<\/p>\n<\/td>\n

\n Por lo que se refiere a la tecnolog\u00eda operativa, las entidades cr\u00edticas deben incorporar sobremandos manuales y disposiciones que prevean la participaci\u00f3n humana en las que se definan las condiciones y los requisitos espec\u00edficos para la intervenci\u00f3n humana y el control manual en respuesta a los peligros.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

C.\u00a0\u00a0\u00a0MEDIDAS DE PROTECCI\u00d3N F\u00cdSICA [art\u00edculo\u00a013, apartado\u00a01, letra\u00a0b), de la Directiva]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

24.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a adoptar medidas f\u00edsicas contra las amenazas naturales y de origen humano (por ejemplo, amenazas h\u00edbridas, sabotaje, terrorismo, actos delictivos, ataques militares o en tiempos de guerra, espionaje) y a establecer controles procesales que sirvan para detectar, disuadir, retrasar, denegar, responder y reducir el impacto de incidentes perturbadores.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

25.<\/p>\n<\/td>\n

\n Al planificar medidas adecuadas y proporcionadas de mejora de la resiliencia frente a las amenazas de origen humano, las entidades cr\u00edticas deben tener en cuenta la pertinencia de escenarios de amenaza espec\u00edficos. Concretamente, se les anima a que:<\/span><\/p>\n\n\n\n\n <\/colgroup>\n\n\n
\n

i)<\/p>\n<\/td>\n

\n

tengan en cuenta la necesidad de protocolos de coordinaci\u00f3n estrecha entre los sectores p\u00fablico y privado para apoyar la cooperaci\u00f3n operativa con las autoridades competentes y garantizar un flujo adecuado y rec\u00edproco de informaci\u00f3n sobre amenazas e incidentes, en aras de un conocimiento compartido de la situaci\u00f3n;<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

ii)<\/p>\n<\/td>\n

\n

en el caso de posibles amenazas h\u00edbridas de agentes estatales que, en el caso de las entidades cr\u00edticas, sean principalmente intentos de sabotaje para perturbar activos y equipos, o preparativos para tales intentos (incluido el espionaje o la vigilancia), consideren que los agentes estatales pueden patrocinar y dirigir a representantes vulnerables o explotables (por ejemplo, personas o grupos) para alcanzar sus objetivos, y que los agentes estatales pueden participar en ataques coordinados a trav\u00e9s de m\u00faltiples vectores de ataque en m\u00faltiples \u00e1mbitos o utilizando m\u00faltiples representantes;<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

iii)<\/p>\n<\/td>\n

\n

tengan en cuenta otras posibles amenazas, en particular las derivadas del terrorismo y el extremismo violento, las actividades delictivas, los ataques militares, las amenazas internas, el activismo, etc.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

26.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que consideren medidas de endurecimiento del per\u00edmetro (disuasi\u00f3n y retraso), como vallas de alta seguridad (por ejemplo, antiascenso\/anticorte), muros reforzados, puertas, mitigaci\u00f3n de veh\u00edculos hostiles, se\u00f1alizaci\u00f3n e iluminaci\u00f3n (por ejemplo, advertencias de alta visibilidad para disuadir a los intrusos oportunistas, e iluminaci\u00f3n de seguridad para eliminar las zonas muertas para la vigilancia).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

27.<\/p>\n<\/td>\n

\n El acceso de veh\u00edculos, personal y mercanc\u00edas a las instalaciones pertinentes debe canalizarse a trav\u00e9s de un n\u00famero limitado de puntos de control controlables. Las v\u00edas de aproximaci\u00f3n directa del veh\u00edculo deben limitarse con una combinaci\u00f3n de barreras f\u00edsicas (por ejemplo, bolardos fijos y retr\u00e1ctiles, obst\u00e1culos naturales u otras medidas de control de la velocidad), y debe respetarse la separaci\u00f3n m\u00e1xima prescrita entre las barreras vecinas para evitar la penetraci\u00f3n del veh\u00edculo.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

28.<\/p>\n<\/td>\n

\n Los puntos de entrada externos (por ejemplo, puertas o portones) a las instalaciones pertinentes deben ser de construcci\u00f3n robusta o reforzados, y estar (retro) equipados con bisagras de seguridad y mecanismos de bloqueo. Los marcos de las instalaciones (por ejemplo, ventanas, tragaluces) tambi\u00e9n deben estar equipados con mecanismos de bloqueo y estratificaci\u00f3n protectora (por ejemplo, barras, rejillas, vidrio resistente a los golpes, membranas protectoras). Los puntos de entrada no convencionales (por ejemplo, trampillas de techo, bocas de inspecci\u00f3n y respiraderos) a instalaciones o activos tambi\u00e9n deben estar protegidos contra la apertura no autorizada y la manipulaci\u00f3n.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

29.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que consideren la posibilidad de supervisar y detectar per\u00edmetros para detectar infracciones en tiempo real (por ejemplo, la instalaci\u00f3n de alarmas o sistemas de detecci\u00f3n de intrusiones, incluidos sensores interiores y exteriores). Estos deben mantener una cobertura de zona adecuada, estar sujetos a protocolos coherentes de seguimiento y respuesta y someterse a ensayos funcionales peri\u00f3dicos. Deben analizarse las detecciones leg\u00edtimas, los fallos del sistema y los falsos positivos, y deben aplicarse medidas correctoras para mantener la integridad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

30.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que consideren la posibilidad de velar por que los sistemas de v\u00eddeo proporcionen una cobertura clara y espec\u00edfica del entorno, tanto en tiempo real como grabada, de los activos, instalaciones y equipos pertinentes, as\u00ed como de las rutas de aproximaci\u00f3n y los puntos de entrada de las instalaciones. La sincronizaci\u00f3n del tiempo de vigilancia, el estado de la grabaci\u00f3n y los per\u00edodos de conservaci\u00f3n deben verificarse peri\u00f3dicamente. Las entidades deben llevar a cabo controles de reproducci\u00f3n rutinarios para confirmar que los rostros, las acciones y los acontecimientos son identificables para los fines forenses previstos tras posibles incidentes. Debe disponerse de componentes cr\u00edticos de repuesto (por ejemplo, medios de almacenamiento, unidades de alimentaci\u00f3n) en cantidad adecuada.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

31.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a garantizar que los dispositivos de iluminaci\u00f3n proporcionen una iluminaci\u00f3n uniforme de las entradas, los aparcamientos, las pasarelas y los campos de visi\u00f3n de las c\u00e1maras, evitando el deslumbramiento y la sombra profunda que podr\u00edan impedir la detecci\u00f3n o la grabaci\u00f3n. El alumbrado de emergencia y de reserva debe probarse peri\u00f3dicamente. Deben aplicarse peri\u00f3dicamente medidas correctoras (por ejemplo, sustituci\u00f3n de l\u00e1mparas, ajuste de la cobertura, recorte de la vegetaci\u00f3n).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

32.<\/p>\n<\/td>\n

\n La se\u00f1alizaci\u00f3n debe indicar claramente las restricciones de seguridad, los avisos de control y privacidad, y las rutas para el personal, los visitantes y las entregas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

33.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que estudien medidas para controlar (denegar) el acceso utilizando zonas de seguridad estratificadas, la gesti\u00f3n del acceso f\u00edsico (por ejemplo, lectores de tarjetas de acceso, esc\u00e1neres biom\u00e9tricos), las trampillas y las puertas con cerraduras dependientes. Debe considerarse el uso de personal de seguridad in situ<\/span> para patrullar y gestionar el control de acceso a las instalaciones, puntos de entrada o equipos pertinentes. El personal de seguridad tambi\u00e9n debe desempe\u00f1ar una funci\u00f3n de respuesta a incidentes. Deben mantener un contacto estrecho y regular con las autoridades policiales y los agentes de defensa pertinentes.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

34.<\/p>\n<\/td>\n

\n Las salas y recintos que alberguen electricidad, agua, gas, calefacci\u00f3n, ventilaci\u00f3n, aire acondicionado, telecomunicaciones, seguridad, redes u otras infraestructuras o equipos sensibles deben cerrarse con llave y controlarse el acceso, y complementarse con medidas proporcionadas contra la apertura y la manipulaci\u00f3n no autorizadas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

35.<\/p>\n<\/td>\n

\n Las salas de correo y los dep\u00f3sitos de entrega deben estar situados lejos de los activos, las instalaciones, los equipos y las zonas de alta ocupaci\u00f3n pertinentes, y equipados para la segregaci\u00f3n y la inspecci\u00f3n segura de art\u00edculos potencialmente sospechosos. El personal debe ser informado de procedimientos claros para los art\u00edculos sospechosos, como el aislamiento, la desescalada y la notificaci\u00f3n a las partes interesadas internas y externas pertinentes. En caso necesario, debe disponerse de herramientas de apertura y equipos de protecci\u00f3n individual. La cadena de custodia de las entregas valiosas o controladas debe documentarse desde la recepci\u00f3n hasta el destinatario. Los controles aleatorios deben realizarse y registrarse de forma peri\u00f3dica.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

36.<\/p>\n<\/td>\n

\n Todos los activos, instalaciones o equipos externos deben estar igualmente sujetos a medidas de protecci\u00f3n proporcionadas. Cualquier medida de protecci\u00f3n f\u00edsica adoptada por las entidades cr\u00edticas requiere una inspecci\u00f3n y un mantenimiento rutinarios de forma peri\u00f3dica.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

37.<\/p>\n<\/td>\n

\n Las medidas relativas a los controles de acceso del personal y a la seguridad f\u00edsica de la informaci\u00f3n sensible o clasificada no invalidan las obligaciones de gesti\u00f3n de riesgos de ciberseguridad establecidas en la Directiva SRI 2\u00a0(20<\/span>)<\/a>.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

38.<\/p>\n<\/td>\n

\n Adem\u00e1s de las orientaciones que figuran en la parte F de las presentes directrices relativas a la gesti\u00f3n de la seguridad de los empleados, se anima a las entidades cr\u00edticas a que mantengan un registro \u00fanico y autorizado de claves f\u00edsicas y credenciales (electr\u00f3nicas), incluidas las fechas de expedici\u00f3n, revocaci\u00f3n y retorno. Las claves o credenciales perdidas o robadas deben revocarse inmediatamente y cambiar o sustituir las cerraduras cuando se sospeche que se han puesto en peligro.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

39.<\/p>\n<\/td>\n

\n En lo tocante a los derechos de acceso, se anima a las entidades cr\u00edticas a que sigan el principio del \u00abm\u00ednimo privilegio\u00bb y que los revisen peri\u00f3dicamente o a ra\u00edz de un cambio de funciones. Los espacios pertinentes deben mantener una arquitectura por zonas, controlada mediante las medidas correspondientes para personas seleccionadas (por ejemplo, distinguiendo entre zonas p\u00fablicas, de trabajo, restringidas y cr\u00edticas) y combinando controles f\u00edsicos, t\u00e9cnicos y administrativos. Debe registrarse el acceso. Los visitantes deben ser canalizados a trav\u00e9s de un punto controlado, registrados, con identificaci\u00f3n visible y escoltados m\u00e1s all\u00e1 de la recepci\u00f3n, a menos que se autorice otra cosa. Estos medios de identificaci\u00f3n deben desactivarse inmediatamente en el momento de la salida. Los procedimientos correspondientes deben ser sencillos, estar documentados y comunicarse a todo el personal, en particular al personal de acogida y seguridad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

40.<\/p>\n<\/td>\n

\n Todo activo de informaci\u00f3n sensible debe colocarse, protegerse y almacenarse de manera que se reduzcan los riesgos para la integridad de dichos activos (por ejemplo, visualizaci\u00f3n no autorizada o accidental, manipulaci\u00f3n, robo o da\u00f1os medioambientales) y se acceda a \u00e9l sobre la base de la necesidad de conocer.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

41.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que establezcan y mantengan un inventario o repositorio de activos de informaci\u00f3n delicada. Los activos deben clasificarse en funci\u00f3n del nivel de sensibilidad empresarial o de seguridad. A continuaci\u00f3n, las entidades utilizar\u00e1n un sistema para documentar los activos de informaci\u00f3n (por ejemplo, restringidos, internos, p\u00fablicos o equivalentes), y etiquetar y gestionar dichos activos en consecuencia. Las normas y procedimientos de clasificaci\u00f3n y manipulaci\u00f3n deben comunicarse a todo el personal pertinente y revisarse peri\u00f3dicamente. Esto incluye normas para el acceso de escritorio y pantalla a la informaci\u00f3n y la creaci\u00f3n o copia de informaci\u00f3n.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

42.<\/p>\n<\/td>\n

\n Cuando proceda, las entidades cr\u00edticas deben tener en cuenta las normas nacionales aplicables para la protecci\u00f3n de la informaci\u00f3n clasificada que se considere pertinente para la seguridad nacional.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

43.<\/p>\n<\/td>\n

\n Si las partes interesadas externas requieren acceso a activos de informaci\u00f3n, se anima a las entidades cr\u00edticas a que consideren la posibilidad de elaborar orientaciones para los usuarios y acuerdos de no divulgaci\u00f3n, u otros mecanismos contractuales pertinentes, seg\u00fan proceda.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

44.<\/p>\n<\/td>\n

\n Cualesquiera instalaciones que alberguen activos de informaci\u00f3n delicada (por ejemplo, archivos, salas de servidores) u otras zonas de las que puedan extraerse activos de informaci\u00f3n delicada deben designarse y supervisarse como zonas seguras, con controles especialmente estrictos de acceso, visualizaci\u00f3n y retirada.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

45.<\/p>\n<\/td>\n

\n Las entidades cr\u00edticas deben velar por que los derechos de acceso se examinen y revisen peri\u00f3dicamente. Deben definirse per\u00edodos de conservaci\u00f3n para los activos de informaci\u00f3n delicada. Una vez que se hayan superado estos per\u00edodos o que otros acontecimientos requieran la reclasificaci\u00f3n de los activos de informaci\u00f3n, deben adoptarse las medidas adecuadas para sanear o destruir dichos activos.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

46.<\/p>\n<\/td>\n

\n Por lo que se refiere a las amenazas que plantean los sistemas no tripulados\u00a0(21<\/span>)<\/a> (drones), se anima a las entidades cr\u00edticas a que apliquen medidas para facilitar la detecci\u00f3n, el seguimiento y la identificaci\u00f3n de los sistemas no tripulados (por ejemplo, radares, esc\u00e1neres de radiofrecuencia, c\u00e1maras t\u00e9rmicas\/de luz diurna, sensores ac\u00fasticos). Cuando sea posible, las entidades cr\u00edticas tambi\u00e9n deben cooperar con los proveedores de servicios de telecomunicaciones para obtener acceso a los datos generados por las tecnolog\u00edas de detecci\u00f3n y comunicaci\u00f3n integradas (ISAC), con vistas a detectar actividades no autorizadas con drones dentro de su per\u00edmetro de seguridad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

47.<\/p>\n<\/td>\n

\n La amenaza de espionaje o vigilancia por parte de sistemas no tripulados no cooperativos debe mitigarse obstaculizando la visibilidad (a\u00e9rea, mar\u00edtima o terrestre) de activos o equipos sensibles (por ejemplo, ocult\u00e1ndolos o cambi\u00e1ndolos de ubicaci\u00f3n) y, en su caso, garantizando que se alojen en instalaciones cerradas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

48.<\/p>\n<\/td>\n

\n Las entidades cr\u00edticas tambi\u00e9n deben mitigar la amenaza de sabotaje por parte de sistemas no tripulados no cooperativos de instalaciones, activos o equipos. Algunos ejemplos de medidas de mitigaci\u00f3n son las redes o mallas antidrones y otras medidas de refuerzo estructural, como las ventanas resistentes a explosiones, el refuerzo de las placas del techo o los cerramientos estructurales completos.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

49.<\/p>\n<\/td>\n

\n Las entidades cr\u00edticas podr\u00e1n considerar la posibilidad de utilizar zonas geogr\u00e1ficas para gestionar y mitigar los riesgos relacionados con operaciones con drones no autorizadas o inseguras en las proximidades de sus instalaciones. Toda decisi\u00f3n de establecer dichas zonas debe estar sujeta a una evaluaci\u00f3n de riesgos y proporcionalidad realizada caso por caso, teniendo en cuenta la posible sensibilidad de la informaci\u00f3n que podr\u00eda revelarse mediante la publicaci\u00f3n de datos geogr\u00e1ficos relacionados con las entidades cr\u00edticas. Para ello, las entidades tendr\u00edan que cooperar con las autoridades nacionales competentes para garantizar que las zonas geogr\u00e1ficas pertinentes est\u00e9n debidamente definidas y publicadas digitalmente de conformidad con el marco de aviaci\u00f3n aplicable. Dichas zonas deben permitir, como m\u00ednimo, que los operadores de drones se beneficien de funcionalidades de geoconsciencia. A medida que evolucionen las capacidades t\u00e9cnicas, y cuando el marco regulador lo apoye, las entidades cr\u00edticas tambi\u00e9n pueden considerar la posibilidad de utilizar progresivamente funcionalidades de geovallado. El geovallado puede servir de salvaguardia preventiva al reducir la probabilidad de incursiones involuntarias de drones conformes en zonas sensibles. Las entidades cr\u00edticas deben mantener un v\u00ednculo operativo directo con el gestor de la zona geogr\u00e1fica. Esto permitir\u00eda la visibilidad oportuna de la actividad de drones autorizados frente a no autorizados en sus proximidades y apoyar\u00eda mejor el conocimiento de la situaci\u00f3n y la coordinaci\u00f3n con las autoridades competentes.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

50.<\/p>\n<\/td>\n

\n Es esencial reforzar las asociaciones y la comunicaci\u00f3n con los operadores de defensa contra los drones de las autoridades policiales y de defensa locales, u otros agentes legalmente autorizados con capacidades de mitigaci\u00f3n (por ejemplo, interferencias de radiofrecuencia, suplantaci\u00f3n y otras medidas cin\u00e9ticas o no cin\u00e9ticas). A tal efecto, se anima a las entidades cr\u00edticas a que faciliten el uso de sistemas de defensa contra los drones para proteger su per\u00edmetro, de conformidad con el marco jur\u00eddico pertinente.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

D.\u00a0\u00a0\u00a0MEDIDAS DE RESPUESTA, RESISTENCIA Y MITIGACI\u00d3N [art\u00edculo\u00a013, apartado\u00a01, letra\u00a0c), de la Directiva]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

51.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que consideren las siguientes medidas para mitigar las consecuencias de los incidentes.<\/span><\/p>\n\n\n\n\n <\/colgroup>\n\n\n
\n

a)<\/p>\n<\/td>\n

\n

Gesti\u00f3n de crisis y cat\u00e1strofes fuera del emplazamiento: medidas para mitigar las consecuencias adversas fuera del emplazamiento de un incidente perturbador grave y notificar r\u00e1pidamente a las autoridades de gesti\u00f3n de crisis y cat\u00e1strofes pertinentes para permitir la aplicaci\u00f3n de medidas de protecci\u00f3n fuera del emplazamiento. Esto requiere una estrecha coordinaci\u00f3n con las autoridades pertinentes, el establecimiento de canales de comunicaci\u00f3n probados y testados, as\u00ed como ejercicios peri\u00f3dicos de gesti\u00f3n de crisis y cat\u00e1strofes.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

b)<\/p>\n<\/td>\n

\n

Asistencia externa: medidas para integrar eficazmente la asistencia externa en las acciones de respuesta in situ<\/span> (incluida la gesti\u00f3n de accidentes graves, las acciones paliativas y la respuesta de emergencia).<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n <\/colgroup>\n\n\n
\n

c)<\/p>\n<\/td>\n

\n

Dise\u00f1o de infraestructuras que fallen de forma segura garantizando que cualquier perturbaci\u00f3n no afecte a la seguridad de las personas (incluida la seguridad del personal) y que se mitiguen los efectos en cascada en otros activos. Las caracter\u00edsticas de seguridad ante fallos permiten a la infraestructura mantener las funciones esenciales durante un fallo o soportar procedimientos de parada controlada que eviten da\u00f1os en los equipos y garanticen la capacidad de reinicio una vez que las condiciones lo permitan. El mantenimiento de las condiciones cr\u00edticas de sustento vital o de la capacidad de supervivencia pasiva puede lograrse mediante una capacidad de almacenamiento adecuada, el control de la capacidad t\u00e9rmica, un suministro de reserva adecuado y la seguridad de los materiales peligrosos.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

52.<\/p>\n<\/td>\n

\n A la hora de dise\u00f1ar infraestructuras seguras ante fallos, se anima a las entidades cr\u00edticas a que tengan en cuenta los siguientes elementos: la capacidad de almacenamiento necesaria en los peores escenarios de fallo para mantener las condiciones cr\u00edticas de sustento vital; el suministro de reserva necesario para mantener las operaciones cr\u00edticas y apoyar el apagado controlado de las operaciones de infraestructura; la seguridad de todos los materiales peligrosos almacenados o presentes en infraestructuras cr\u00edticas, garantizando su inclusi\u00f3n en los planes de codificaci\u00f3n y gesti\u00f3n de materiales peligrosos y que se protejan adecuadamente en caso de fallo de la infraestructura; y medidas de seguridad t\u00e9rmica para los activos de infraestructuras cr\u00edticas que alberguen personal o equipos sensibles a la temperatura. Dichas medidas podr\u00e1n incluir tanto la capacidad de calefacci\u00f3n como de refrigeraci\u00f3n para evitar v\u00edctimas de temperaturas extremas durante perturbaciones prolongadas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

53.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que adopten medidas para garantizar la disponibilidad, el mantenimiento y las capacidades de reparaci\u00f3n y a que definan claramente sus necesidades de suministro, diversifiquen las fuentes de suministro a trav\u00e9s de proveedores y rutas alternativos, apliquen el refuerzo y la redundancia de las infraestructuras y establezcan sistemas de salvaguardia con especificaciones sobre la funci\u00f3n, la duraci\u00f3n y la prioridad de restauraci\u00f3n.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

54.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que adopten las medidas adecuadas para garantizar la integridad de las redes y los sistemas inform\u00e1ticos y los programas inform\u00e1ticos utilizados en los equipos, en particular en relaci\u00f3n con la dependencia de proveedores de alto riesgo y la protecci\u00f3n contra las interferencias de las se\u00f1ales de radiofrecuencia y los ciberataques.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

55.<\/p>\n<\/td>\n

\n Los sistemas de alimentaci\u00f3n alternativos pueden incluir generadores y bater\u00edas de alimentaci\u00f3n ininterrumpida (SAI). Los sistemas de salvaguardia deben probarse peri\u00f3dicamente; la autonom\u00eda del combustible el\u00e9ctrico debe mantenerse durante al menos setenta y dos horas y deben activarse los contratos de los proveedores para la asistencia urgente (suministro, intervenciones y reparaciones).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

56.<\/p>\n<\/td>\n

\n En cuanto a la resiliencia del suministro de agua, las entidades cr\u00edticas podr\u00e1n limitar el uso del agua a funciones esenciales durante las perturbaciones y utilizar fuentes alternativas, como pozos de salvaguardia, tanques de almacenamiento, unidades port\u00e1tiles de tratamiento y opciones de almacenamiento flexibles. Se anima a las entidades cr\u00edticas del sector del agua potable a que determinen los puntos de suministro prioritarios, con el fin de garantizar una respuesta adecuada en situaciones de contingencia o durante la interrupci\u00f3n del suministro. Al adoptar medidas de resiliencia, las entidades cr\u00edticas deben garantizar que el agua destinada al consumo humano cumpla las normas de calidad establecidas en la Directiva (UE)\u00a02020\/2184\u00a0(22<\/span>)<\/a>.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

57.<\/p>\n<\/td>\n

\n En el caso de otros servicios p\u00fablicos sectoriales (por ejemplo, agua caliente, agua fr\u00eda, caldera de vapor) y suministros (por ejemplo, productos qu\u00edmicos, materias primas, piezas de recambio), la planificaci\u00f3n de contingencia en las cadenas de suministro debe considerar la posibilidad de pasar de modelos de inventario \u00abjusto a tiempo\u00bb a modelos de inventario \u00abpor si acaso\u00bb, cuando proceda. Los sistemas alternativos deben incluir recursos y suministros de salvaguardia preestablecidos (reservas de seguridad y reservas de contingencia).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

58.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que desarrollen programas de mantenimiento exhaustivos basados en las recomendaciones del fabricante, la experiencia operativa y las evaluaciones de riesgos. El mantenimiento predictivo puede llevarse a cabo utilizando tecnolog\u00edas avanzadas de seguimiento con redes de sensores integradas. El mantenimiento peri\u00f3dico y predictivo basado en el rendimiento, que utiliza herramientas de an\u00e1lisis de datos e IA para supervisar el envejecimiento y los fallos de previsi\u00f3n, podr\u00eda ser adecuado para optimizar el calendario de cualquier intervenci\u00f3n necesaria. Deben establecerse protocolos claros para responder a las alertas del sistema de seguimiento, incluida la verificaci\u00f3n de las alertas, la evaluaci\u00f3n de la urgencia y la movilizaci\u00f3n de recursos de mantenimiento. Estos protocolos deben definir procedimientos de gradaci\u00f3n ascendente para situaciones que requieran atenci\u00f3n inmediata. Las inspecciones peri\u00f3dicas de las infraestructuras complementan el seguimiento automatizado.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

59.<\/p>\n<\/td>\n

\n Por lo que se refiere a la gobernanza, las entidades cr\u00edticas deben considerar que la resiliencia debe integrarse desde los niveles m\u00e1s altos a los m\u00e1s bajos de la estructura de gobernanza. Deben establecer objetivos de resiliencia y adoptar una estrategia, una pol\u00edtica y una planificaci\u00f3n en materia de resiliencia, comunicarlos a las partes interesadas pertinentes sobre la base de la necesidad de conocer y llevar a cabo revisiones peri\u00f3dicas. Deben tenerse en cuenta las vulnerabilidades existentes y c\u00f3mo ofrecer una mejor prevenci\u00f3n, protecci\u00f3n, respuesta, resistencia, mitigaci\u00f3n, absorci\u00f3n, adaptaci\u00f3n y recuperaci\u00f3n en caso de un incidente.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

60.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que establezcan jerarqu\u00edas claras en la toma de decisiones. Debe consolidarse una competencia adecuada en materia de resiliencia en los consejos de administraci\u00f3n y en las funciones de resiliencia o gesti\u00f3n de riesgos para garantizar una estrategia adecuada, una pol\u00edtica adecuada y una planificaci\u00f3n operativa adecuada para la resiliencia. Se anima a las entidades cr\u00edticas a que consideren la posibilidad de nombrar a un responsable de resiliencia y a que garanticen una delimitaci\u00f3n clara de las funciones y responsabilidades de coordinaci\u00f3n para la aplicaci\u00f3n de los objetivos de resiliencia.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

61.<\/p>\n<\/td>\n

\n Tambi\u00e9n es pertinente en este contexto establecer y formalizar la cooperaci\u00f3n con las autoridades p\u00fablicas pertinentes, incluidos los responsables pol\u00edticos, las autoridades policiales, los servicios de emergencia y los agentes de defensa. Se anima a las entidades cr\u00edticas a que aclaren las funciones y los procedimientos para el intercambio de informaci\u00f3n, la notificaci\u00f3n y coordinaci\u00f3n de incidentes y las expectativas mutuas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

62.<\/p>\n<\/td>\n

\n Tambi\u00e9n puede considerarse el establecimiento y la formalizaci\u00f3n de la cooperaci\u00f3n con los agentes pertinentes del sector privado en el propio sector de la entidad, otros sectores y otros Estados miembros.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

63.<\/p>\n<\/td>\n

\n Deben establecerse protocolos de comunicaci\u00f3n de crisis para garantizar un flujo de informaci\u00f3n oportuno y preciso a las partes interesadas internas y externas (incluidos los clientes y el p\u00fablico) durante los incidentes. Las entidades cr\u00edticas deben mantener plantillas de comunicaci\u00f3n aprobadas previamente, rutinas de notificaci\u00f3n a las partes interesadas y capacidades de comunicaci\u00f3n multicanal, incluidos sistemas redundantes. Las comunicaciones deben adaptarse a distintos p\u00fablicos, teniendo en cuenta la multiplicidad de lenguas y los requisitos de accesibilidad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

64.<\/p>\n<\/td>\n

\n El dise\u00f1o de redundancias a m\u00faltiples escalas garantiza que los servicios puedan prestarse a escala transfronteriza, nacional, regional y local con una interoperabilidad efectiva.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

65.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que garanticen que los procedimientos de respuesta de emergencia abarquen sistemas de alerta multicanal con capacidades de geosegmentaci\u00f3n, como el servicio espacial de alerta de emergencia por sat\u00e9lite del Programa Galileo, cadenas de mando de comunicaci\u00f3n claras, incluidos los portavoces designados, y procedimientos operativos normalizados de riesgos espec\u00edficos adaptados a los riesgos espec\u00edficos de cada lugar. Las entidades cr\u00edticas deben mantener equipos de emergencia, designar y formar equipos de respuesta a emergencias y garantizar que los procedimientos de evacuaci\u00f3n sean accesibles y se practiquen con regularidad.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

E.\u00a0\u00a0\u00a0MEDIDAS DE RECUPERACI\u00d3N [art\u00edculo\u00a013, apartado 1, letra d), de la Directiva]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

66.<\/p>\n<\/td>\n

\n Para garantizar la continuidad de las operaciones, se anima a las entidades cr\u00edticas a que consideren medidas de redundancia que garanticen que los servicios esenciales sigan prest\u00e1ndose cuando fallen los sistemas primarios. Estas medidas pueden incluir la identificaci\u00f3n de los subservicios espec\u00edficos m\u00e1s cr\u00edticos para que sean los primeros en restablecerse (priorizaci\u00f3n del servicio), el mantenimiento de la capacidad de operar los equipos inform\u00e1ticos manualmente si los sistemas automatizados o basados en IA fallan o son manipulados, y la recuperaci\u00f3n de la mano de obra en caso de incidente perturbador.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

67.<\/p>\n<\/td>\n

\n Los emplazamientos alternativos para la recuperaci\u00f3n en caso de cat\u00e1strofe pueden ser emplazamientos calientes (totalmente equipados para su uso inmediato), calientes (parcialmente equipados) o fr\u00edos (que requieren una configuraci\u00f3n posterior a la perturbaci\u00f3n). Los emplazamientos de salvaguardia deben estar suficientemente alejados de las instalaciones primarias y seguir siendo accesibles. En la medida de lo posible, deben tenerse en cuenta las instalaciones m\u00f3viles (por ejemplo, los centros de mando). Las copias de seguridad deben almacenarse en lugares f\u00edsicamente separados o aislados desde el punto de vista log\u00edstico.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

68.<\/p>\n<\/td>\n

\n Sin perjuicio de lo dispuesto en la Directiva SRI 2\u00a0(23<\/span>)<\/a>, las entidades cr\u00edticas deben elaborar y mantener planes globales de continuidad de las actividades basados en evaluaciones del impacto sobre las actividades que identifiquen las funciones esenciales, establezcan prioridades de recuperaci\u00f3n y definan objetivos de tiempo de recuperaci\u00f3n y objetivos de punto de recuperaci\u00f3n, incluido el establecimiento de Acuerdos de Nivel de Servicio (ANS). Los planes de continuidad de las actividades deben especificar criterios claros de activaci\u00f3n, asignaci\u00f3n de recursos, funciones y mecanismos de coordinaci\u00f3n para las fases de respuesta, recuperaci\u00f3n, reanudaci\u00f3n y restauraci\u00f3n. Deben someterse a prueba, revisarse y actualizarse a intervalos planificados y tras cualquier incidente significativo o cambio en las operaciones.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

69.<\/p>\n<\/td>\n

\n Los procedimientos de gesti\u00f3n de crisis deben incluir estructuras de mando de incidentes con una autoridad decisoria claramente definida y planes de acci\u00f3n para incidentes documentados. Las entidades cr\u00edticas deben considerar la posibilidad de crear equipos de crisis con funciones predefinidas, protocolos de escalada, formaci\u00f3n adecuada y canales de comunicaci\u00f3n (primarios y alternativos) para garantizar respuestas r\u00e1pidas y coordinadas a los incidentes perturbadores.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

70.<\/p>\n<\/td>\n

\n La planificaci\u00f3n de la mano de obra debe abordar los requisitos de capacidad de intervenci\u00f3n mediante el mantenimiento de una lista de intervenci\u00f3n r\u00e1pida, programas de formaci\u00f3n y acuerdos de ayuda mutua preestablecidos con organizaciones asociadas. Las entidades cr\u00edticas deben desarrollar marcos de competencias y planificaci\u00f3n de la sucesi\u00f3n para garantizar una profundidad adecuada en las funciones cr\u00edticas y mantener la capacidad operativa durante interrupciones prolongadas o escasez de personal.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

71.<\/p>\n<\/td>\n

\n Para garantizar una recuperaci\u00f3n efectiva de los incidentes, las entidades cr\u00edticas deben aplicar protocolos de reactivaci\u00f3n gradual que den prioridad al restablecimiento de las funciones esenciales sobre la base de la evaluaci\u00f3n de riesgos o de las conclusiones del an\u00e1lisis de impacto sobre las actividades. Estos protocolos deben incluir procedimientos sistem\u00e1ticos de validaci\u00f3n de los sistemas cr\u00edticos, pruebas exhaustivas de la integridad y funcionalidad de los datos, medidas de control de calidad y una transici\u00f3n controlada de las operaciones de emergencia a las operaciones normales mediante aumentos graduales de la capacidad y la supervisi\u00f3n del rendimiento.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

72.<\/p>\n<\/td>\n

\n Las investigaciones posteriores al incidente deben utilizar metodolog\u00edas estructuradas, como el an\u00e1lisis de las causas subyacentes, para identificar las causas sist\u00e9micas en lugar de los s\u00edntomas inmediatos. Las revisiones posteriores a la acci\u00f3n deben llevarse a cabo tras todos los ejercicios e incidentes reales para extraer las lecciones aprendidas, y los resultados deben recogerse e integrarse sistem\u00e1ticamente en procedimientos actualizados, programas de formaci\u00f3n y evaluaciones de riesgos para evitar que se repitan y reforzar la resiliencia organizativa.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

73.<\/p>\n<\/td>\n

\n En t\u00e9rminos de cadenas de suministro, la resiliencia es esencial en el contexto de la recuperaci\u00f3n de incidentes perturbadores. En consonancia con sus evaluaciones de riesgos, las entidades cr\u00edticas deben considerar la posibilidad de cartografiar la cadena de suministro para la prestaci\u00f3n de sus servicios esenciales, desarrollar estrategias de resiliencia de la cadena de suministro a largo plazo y revisar y actualizar peri\u00f3dicamente el plan de contingencia de la cadena de suministro. Se les anima a que identifiquen cadenas de suministro alternativas en caso de que sus principales proveedores se vean afectados por incidentes perturbadores.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

74.<\/p>\n<\/td>\n

\n Las entidades cr\u00edticas deben considerar el almacenamiento estrat\u00e9gico, incluidas las existencias de seguridad, los mecanismos de resuministro r\u00e1pido y el almacenamiento externo protegido frente a amenazas comunes, de modo que, si se interrumpe la cadena de suministro, no se interrumpan los servicios esenciales.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

75.<\/p>\n<\/td>\n

\n Tambi\u00e9n merece la pena considerar la posibilidad de establecer contratos formales con otras entidades del mismo sector para compartir recursos, equipos o personal durante un esfuerzo de recuperaci\u00f3n a gran escala.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

F.\u00a0\u00a0\u00a0MEDIDAS DE GESTI\u00d3N DE LA SEGURIDAD DEL EMPLEADO [art\u00edculo\u00a013, apartado\u00a01, letra\u00a0e), de la Directiva]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

76.<\/p>\n<\/td>\n

\n Las amenazas relacionadas con el personal deben evaluarse y abordarse de modo que se mitigue el riesgo de error humano, sabotaje, amenazas internas y el riesgo de ausencia por enfermedad, emergencia o amenazas externas. Se anima a las entidades cr\u00edticas a que identifiquen y elaboren listas de categor\u00edas de personal que ejerzan funciones esenciales, incluido el personal de proveedores de servicios externos (contratistas y subcontratistas).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

77.<\/p>\n<\/td>\n

\n Al establecer estas listas, las entidades cr\u00edticas deben tener en cuenta las particularidades de los servicios esenciales prestados y vincularlos al personal que participe en su prestaci\u00f3n. A tal fin, las entidades cr\u00edticas deben conservar documentaci\u00f3n clara, exhaustiva y actualizada de estas categor\u00edas de personal.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

78.<\/p>\n<\/td>\n

\n Adem\u00e1s de las consideraciones anteriores relacionadas con los derechos de acceso, se anima a las entidades cr\u00edticas a que determinen a qui\u00e9n y en qu\u00e9 condiciones se da acceso a los locales, las infraestructuras cr\u00edticas y la informaci\u00f3n delicada. Deben establecerse procesos efectivos para conceder y revocar inmediatamente el acceso f\u00edsico y al sistema, y los derechos de acceso deben aplicarse estrictamente.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

79.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que concedan permisos \u00fanicamente seg\u00fan la necesidad de conocer o de acceder; solo debe concederse el nivel m\u00ednimo de acceso necesario para que el personal desempe\u00f1e su funci\u00f3n. Deben ponerse en marcha estrategias de aplicaci\u00f3n como el control de acceso basado en funciones\u00a0(24<\/span>)<\/a>, la autenticaci\u00f3n reforzada y la gesti\u00f3n de identidades\u00a0(25<\/span>)<\/a>, la separaci\u00f3n de funciones\u00a0(26<\/span>)<\/a>, las restricciones de base temporal y el acceso justo a tiempo\u00a0(27<\/span>)<\/a>, junto con auditor\u00edas y revisiones peri\u00f3dicas.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

80.<\/p>\n<\/td>\n

\n En cuanto a las comprobaciones de antecedentes personales, a fin de garantizar un alto nivel de seguridad de los empleados, es importante aplicar procedimientos internos s\u00f3lidos para solicitar comprobaciones de antecedentes personales de conformidad con el art\u00edculo\u00a014 de la Directiva y designar las categor\u00edas de personas que deben someterse a dichas comprobaciones de antecedentes personales. Tambi\u00e9n deben establecerse procedimientos para tratar con los empleados cuya habilitaci\u00f3n de seguridad se haya retirado.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

81.<\/p>\n<\/td>\n

\n Se anima a las entidades cr\u00edticas a que definan la pol\u00edtica de comprobaci\u00f3n de antecedentes personales, indicando qu\u00e9 funciones son sensibles, qu\u00e9 funciones tienen acceso directo o remoto a las instalaciones, la informaci\u00f3n o los sistemas de control, y los tipos de comprobaciones que deben realizarse para cada funci\u00f3n sensible, como la verificaci\u00f3n de la identidad, los antecedentes penales y laborales y la educaci\u00f3n.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

82.<\/p>\n<\/td>\n

\n Cuando proceda, las medidas deben ser coherentes con las actividades de verificaci\u00f3n de antecedentes con arreglo al Reglamento de Ejecuci\u00f3n (UE)\u00a02024\/2690 de la Comisi\u00f3n\u00a0(28<\/span>)<\/a>. Tambi\u00e9n debe garantizarse la coherencia con las medidas de seguridad de los recursos humanos adoptadas por la entidad en cuesti\u00f3n de conformidad con el art\u00edculo\u00a021, apartado 2, letra i), de la Directiva SRI 2.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

83.<\/p>\n<\/td>\n

\n Exigir al personal que tenga las cualificaciones y la formaci\u00f3n adecuadas, as\u00ed como impartir dicha formaci\u00f3n, forma parte de garantizar una gesti\u00f3n adecuada de la seguridad de los empleados, sensibilizar al personal sobre las medidas de resiliencia y apoyar las medidas de resiliencia adoptadas por la entidad cr\u00edtica en cuesti\u00f3n. La evaluaci\u00f3n de riesgos de la entidad cr\u00edtica, el tipo de servicios esenciales que presta y las medidas previstas o adoptadas deben determinar el tipo y el alcance de la formaci\u00f3n necesaria para su personal, a fin de garantizar que este no solo conozca en general las medidas de resiliencia, sino que tambi\u00e9n sea competente desde el punto de vista t\u00e9cnico y procedimental para desempe\u00f1ar sus funciones de manera resiliente.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

84.<\/p>\n<\/td>\n

\n Los requisitos de formaci\u00f3n y cualificaci\u00f3n se refieren, entre otras cosas, a la evaluaci\u00f3n de riesgos (por ejemplo, para el personal de gesti\u00f3n\/cumplimiento de los riesgos), la continuidad de las actividades y la gesti\u00f3n de crisis (por ejemplo, para el personal de continuidad de las actividades), la seguridad f\u00edsica (por ejemplo, para el personal de seguridad y las personas con derechos de acceso), la respuesta a incidentes y la mitigaci\u00f3n de estos (por ejemplo, para el personal de operaciones, los agentes designados para la respuesta a incidentes), el control y la verificaci\u00f3n del acceso (recursos humanos, personal de seguridad y gestores de funciones esenciales) y la sensibilizaci\u00f3n general sobre las medidas de resiliencia (de todos los empleados).<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

85.<\/p>\n<\/td>\n

\n Los requisitos de cualificaci\u00f3n dependen de las especificidades de la entidad cr\u00edtica en cuesti\u00f3n y de los servicios esenciales que presta. El objetivo de dichos requisitos debe ser garantizar que el personal sea competente para ejecutar las tareas descritas en la evaluaci\u00f3n de riesgos y el plan de resiliencia y en los protocolos de continuidad de la actividad y respuesta a incidentes integrados en el plan de resiliencia, dentro del \u00e1mbito de aplicaci\u00f3n de las medidas de resiliencia que adopten las entidades cr\u00edticas. Los requisitos de cualificaci\u00f3n se refieren a tareas operativas y t\u00e9cnicas, organizativas y de gesti\u00f3n, o de seguridad e investigaci\u00f3n. Las cualificaciones requeridas deben definirse en las pol\u00edticas internas de resiliencia y recursos humanos de la entidad cr\u00edtica en cuesti\u00f3n.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

G.\u00a0\u00a0\u00a0MEDIDAS DE SENSIBILIZACI\u00d3N [art\u00edculo\u00a013, apartado\u00a01, letra\u00a0f)]<\/p>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

86.<\/p>\n<\/td>\n

\n Es esencial contar con un buen programa para sensibilizar al personal sobre las medidas de resiliencia adoptadas por la entidad cr\u00edtica e inculcar una cultura de seguridad; el personal es un elemento vital en todas las fases del ciclo de resiliencia, desde la prevenci\u00f3n de incidentes perturbadores y la mitigaci\u00f3n de las amenazas internas hasta la respuesta a ellos mediante la activaci\u00f3n de los procedimientos pertinentes, la notificaci\u00f3n de incidentes y la garant\u00eda de la continuidad de las actividades, as\u00ed como el restablecimiento de las operaciones a su estado anterior al incidente. Sin personal bien informado, incluso las mejores medidas t\u00e9cnicas, organizativas y de seguridad podr\u00edan fracasar.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

87.<\/p>\n<\/td>\n

\n Sujeto a informaci\u00f3n delicada y sobre la base de la necesidad de conocer, la sensibilizaci\u00f3n sobre las medidas de resiliencia garantiza una cultura de resiliencia \u00f3ptima que hace de la resiliencia un valor compartido entre el personal de una entidad cr\u00edtica y reduce el riesgo de amenazas internas o de ingenier\u00eda social.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

88.<\/p>\n<\/td>\n

\n Deben adoptarse medidas de sensibilizaci\u00f3n junto con las medidas para las pr\u00e1cticas b\u00e1sicas de ciberhigiene y la formaci\u00f3n en ciberseguridad con arreglo a la Directiva SRI 2\u00a0(29<\/span>)<\/a>.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

89.<\/p>\n<\/td>\n

\n La formaci\u00f3n organizada por una entidad cr\u00edtica debe vincularse a los requisitos de formaci\u00f3n de la entidad cr\u00edtica mencionados en los puntos 82 y\u00a083 anteriores. Los cursos de formaci\u00f3n deben abarcar las medidas de resiliencia adoptadas por la entidad de conformidad con el art\u00edculo\u00a013, apartado 1, letras a) a e), de la Directiva, abarcando as\u00ed todo el ciclo de vida de la resiliencia. Esto significa comprender el panorama de amenazas, el papel de la entidad cr\u00edtica en el mantenimiento de funciones sociales vitales y las graves consecuencias de la perturbaci\u00f3n del servicio, reconocer y notificar r\u00e1pidamente actividades sospechosas, vulnerabilidades o incidentes inusuales, as\u00ed como responder a los incidentes y mitigarlos. Debe preverse una formaci\u00f3n espec\u00edfica para el personal con funciones esenciales.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

90.<\/p>\n<\/td>\n

\n Tambi\u00e9n se anima a las entidades cr\u00edticas a que consideren la posibilidad de impartir formaci\u00f3n sobre enfoques sensibles al g\u00e9nero que, junto con el seguimiento de los indicadores pertinentes, puedan reforzar la resiliencia, la rendici\u00f3n de cuentas y la sostenibilidad a largo plazo.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

91.<\/p>\n<\/td>\n

\n El material informativo compartido con el personal debe estar directamente relacionado con la evaluaci\u00f3n de riesgos de la entidad y las medidas de resiliencia adoptadas. Estos materiales informativos deben ser claros y f\u00e1ciles de digerir y deben explicar el papel fundamental de la entidad y el impacto de las perturbaciones en la sociedad y la econom\u00eda, la cobertura de todos los riesgos, los principios b\u00e1sicos de seguridad, como \u00abver algo, decir algo\u00bb, y el principio de \u00abm\u00ednimo privilegio\u00bb para el acceso a informaci\u00f3n delicada.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

92.<\/p>\n<\/td>\n

\n Los materiales informativos podr\u00edan incluir materiales visuales de referencia r\u00e1pida sobre, por ejemplo, violaciones de la seguridad f\u00edsica, p\u00e9rdida de energ\u00eda\/conectividad, descubrimiento de paquetes sospechosos, diagramas de flujo de notificaci\u00f3n de incidentes y recordatorios de continuidad de las actividades extra\u00eddos del plan de continuidad de las actividades, directrices de protecci\u00f3n f\u00edsica y pol\u00edticas de control de acceso. Para maximizar la sensibilizaci\u00f3n, estos materiales deben entregarse en m\u00faltiples formatos, como digital\u00a0(30<\/span>)<\/a> y f\u00edsico\u00a0(31<\/span>)<\/a>, y ser interactivos\u00a0(32<\/span>)<\/a>.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

93.<\/p>\n<\/td>\n

\n Los ejercicios son cruciales para validar el plan de resiliencia de una entidad cr\u00edtica y garantizar que su personal pueda desempe\u00f1ar de forma efectiva sus funciones durante un incidente real. En un enfoque que contemple todos los peligros, las entidades podr\u00edan organizar ejercicios basados en debates, como simulaciones te\u00f3ricas\u00a0(33<\/span>)<\/a>, y ejercicios basados en operaciones, como simulacros\u00a0(34<\/span>)<\/a>.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n\n\n\n\n\n <\/colgroup>\n\n\n
\u00a0<\/td>\n\n

94.<\/p>\n<\/td>\n

\n Al organizar ejercicios, las entidades cr\u00edticas deben centrarse en el resultado de su evaluaci\u00f3n de riesgos, poner a prueba todo el ciclo de resiliencia y garantizar una buena coordinaci\u00f3n intersectorial con otras entidades cr\u00edticas, cuando proceda, para poner a prueba las dependencias intersectoriales. Deben garantizar la cooperaci\u00f3n con las autoridades p\u00fablicas pertinentes, como las fuerzas y cuerpos de seguridad, los bomberos, otros servicios de emergencia y los primeros intervinientes en general en caso de incidentes perturbadores, e implicar a estas autoridades p\u00fablicas en los ejercicios.<\/span>\n <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

(1<\/span>)<\/a>\u00a0\u00a0Directiva (UE)\u00a02022\/2557 del Parlamento Europeo y del Consejo, de 14\u00a0de\u00a0diciembre de\u00a02022, relativa a la resiliencia de las entidades cr\u00edticas y por la que se deroga la Directiva\u00a02008\/114\/CE del Consejo (DO\u00a0L\u00a0333 de 27.12.2022, p.\u00a0164<\/a>).<\/p>\n

(2<\/span>)<\/a>\u00a0\u00a0Energ\u00eda, transporte, salud, agua potable, aguas residuales, administraci\u00f3n p\u00fablica, espacio, producci\u00f3n, transformaci\u00f3n y distribuci\u00f3n de alimentos.<\/p>\n

(3<\/span>)<\/a>\u00a0\u00a0Directiva (UE)\u00a02022\/2555 del Parlamento Europeo y del Consejo, de 14\u00a0de\u00a0diciembre de\u00a02022, relativa a las medidas destinadas a garantizar un elevado nivel com\u00fan de ciberseguridad en toda la Uni\u00f3n, por la que se modifican el Reglamento (UE) n.o<\/span>\u00a0910\/2014 y la Directiva (UE)\u00a02018\/1972 y por la que se deroga la Directiva (UE)\u00a02016\/1148 (DO\u00a0L\u00a0333 de 27.12.2022, p.\u00a080<\/a>).<\/p>\n

(4<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02021\/1119 del Parlamento Europeo y del Consejo, de 30\u00a0de\u00a0junio de\u00a02021, por el que se establece el marco para lograr la neutralidad clim\u00e1tica y se modifican los Reglamentos (CE) n.o<\/span>\u00a0401\/2009 y (UE)\u00a02018\/1999 (DO\u00a0L\u00a0243 de 9.7.2021, p.\u00a01<\/a>), en particular en lo que se refiere al art\u00edculo\u00a05, sobre la adaptaci\u00f3n al cambio clim\u00e1tico.<\/p>\n

(5<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02019\/941 del Parlamento Europeo y del Consejo, de 5\u00a0de\u00a0junio de\u00a02019, sobre la preparaci\u00f3n frente a los riesgos en el sector de la electricidad y por el que se deroga la Directiva\u00a02005\/89\/CE (DO\u00a0L\u00a0158 de 14.6.2019, p.\u00a01<\/a>), en particular en lo que se refiere a las medidas mencionadas en los art\u00edculos 10 y\u00a011.<\/p>\n

(6<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02017\/1938 del Parlamento Europeo y del Consejo, de 25\u00a0de\u00a0octubre de\u00a02017, sobre medidas para garantizar la seguridad del suministro de gas y por el que se deroga el Reglamento (UE) n.o<\/span>\u00a0994\/2010 (DO\u00a0L\u00a0280 de 28.10.2017, p.\u00a01<\/a>), en particular en lo que se refiere a las medidas mencionadas en el art\u00edculo\u00a08.<\/p>\n

(7<\/span>)<\/a>\u00a0\u00a0Directiva\u00a02013\/30\/UE del Parlamento Europeo y del Consejo, de 12\u00a0de\u00a0junio de\u00a02013, sobre la seguridad de las operaciones relativas al petr\u00f3leo y al gas mar adentro, y que modifica la Directiva\u00a02004\/35\/CE (DO\u00a0L\u00a0178 de 28.6.2013, p.\u00a066<\/a>), en particular en lo que se refiere a las medidas mencionadas en el art\u00edculo\u00a03.<\/p>\n

(8<\/span>)<\/a>\u00a0\u00a0Por ejemplo, la Directiva\u00a02005\/65\/CE sobre mejora de la protecci\u00f3n portuaria y la Directiva\u00a02002\/59\/CE relativa a los sistemas de seguimiento y de informaci\u00f3n sobre el tr\u00e1fico mar\u00edtimo.<\/p>\n

(9<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02016\/679 del Parlamento Europeo y del Consejo, de 27\u00a0de\u00a0abril de\u00a02016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos y por el que se deroga la Directiva\u00a095\/46\/CE (DO\u00a0L\u00a0119 de 4.5.2016, p.\u00a01<\/a>).<\/p>\n

(10<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02024\/2803 del Parlamento Europeo y del Consejo, de 23\u00a0de\u00a0octubre de\u00a02024, relativo a la realizaci\u00f3n del Cielo \u00danico Europeo (DO L, 2024\/2803, 11.11.2024, ELI: http:\/\/data.europa.eu\/eli\/reg\/2024\/2803\/oj<\/a>), en particular el art\u00edculo\u00a022, apartado 2, letra b).<\/p>\n

(11<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02018\/1139 del Parlamento Europeo y del Consejo, de 4\u00a0de\u00a0julio de\u00a02018, sobre normas comunes en el \u00e1mbito de la aviaci\u00f3n civil y por el que se crea una Agencia de la Uni\u00f3n Europea para la Seguridad A\u00e9rea (DO\u00a0L\u00a0212 de 22.8.2018, p.\u00a01<\/a>).<\/p>\n

(12<\/span>)<\/a>\u00a0\u00a0Reglamento de Ejecuci\u00f3n (UE)\u00a02019\/123 de la Comisi\u00f3n, de 24\u00a0de\u00a0enero de\u00a02019, por el que se establecen disposiciones de aplicaci\u00f3n de las funciones de la red de gesti\u00f3n del tr\u00e1nsito a\u00e9reo (ATM) (DO\u00a0L\u00a028 de 31.1.2019, p.\u00a01<\/a>).<\/p>\n

(13<\/span>)<\/a>\u00a0\u00a0Reglamento (UE)\u00a02024\/1689 del Parlamento Europeo y del Consejo, de 13\u00a0de\u00a0junio de\u00a02024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o<\/span>\u00a0300\/2008, (UE) n.o<\/span>\u00a0167\/2013, (UE) n.o<\/span>\u00a0168\/2013, (UE)\u00a02018\/858, (UE)\u00a02018\/1139 y (UE)\u00a02019\/2144 y las Directivas\u00a02014\/90\/UE, (UE)\u00a02016\/797 y (UE)\u00a02020\/1828 (Reglamento de Inteligencia Artificial) (DO L, 2024\/1689, 12.7.2024, ELI: http:\/\/data.europa.eu\/eli\/reg\/2024\/1689\/oj<\/a>).<\/p>\n

(14<\/span>)<\/a>\u00a0\u00a0Los componentes de seguridad de las infraestructuras cr\u00edticas son sistemas utilizados para proteger directamente la integridad f\u00edsica de las infraestructuras cr\u00edticas o la salud y la seguridad de las personas y los bienes, pero no son necesarios para que el sistema funcione (art\u00edculo\u00a03, apartado 14, y considerando 55 del Reglamento de Inteligencia Artificial).<\/p>\n

(15<\/span>)<\/a>\u00a0\u00a0Anexo III, punto 2, del Reglamento de Inteligencia Artificial.<\/p>\n

(16<\/span>)<\/a>\u00a0\u00a0En el sector de la aviaci\u00f3n, las bases de datos pertinentes de la UE sobre incidentes incluyen el sistema de notificaci\u00f3n de incidentes de la Agencia de la Uni\u00f3n Europea para la Seguridad A\u00e9rea, los registros de incidentes del gestor de la red y el sistema de notificaci\u00f3n de sucesos relativos a la seguridad a\u00e9rea.<\/p>\n

(17<\/span>)<\/a>\u00a0\u00a0Reglamento de Ejecuci\u00f3n (UE)\u00a02024\/2690 de la Comisi\u00f3n, de 17\u00a0de\u00a0octubre de\u00a02024, por el que se establecen las disposiciones de aplicaci\u00f3n de la Directiva (UE)\u00a02022\/2555 en lo que respecta a los requisitos t\u00e9cnicos y metodol\u00f3gicos de las medidas para la gesti\u00f3n de riesgos de ciberseguridad y en el que se detallan los casos en que un incidente se considera significativo con respecto a los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computaci\u00f3n en nube, los proveedores de servicios de centro de datos, los proveedores de redes de distribuci\u00f3n de contenidos, los proveedores de servicios gestionados, los proveedores de servicios de seguridad gestionados, los proveedores de mercados en l\u00ednea, motores de b\u00fasqueda en l\u00ednea y plataformas de servicios de redes sociales, y los proveedores de servicios de confianza (DO L, 2024\/2690, 18.10.2024, ELI: http:\/\/data.europa.eu\/eli\/reg_impl\/2024\/2690\/oj<\/a>).<\/p>\n

(18<\/span>)<\/a>\u00a0\u00a0De conformidad con el art\u00edculo\u00a08 de la Directiva REC, los Estados miembros velar\u00e1n por que determinadas disposiciones de la Directiva, incluido el art\u00edculo\u00a013, no se apliquen a las entidades cr\u00edticas que hayan identificado en determinados sectores, incluida la infraestructura digital. Los Estados miembros podr\u00e1n adoptar o mantener disposiciones de Derecho nacional a fin de alcanzar un mayor nivel de resiliencia de dichas entidades cr\u00edticas, a condici\u00f3n de que tales disposiciones sean coherentes con el Derecho de la Uni\u00f3n aplicable. La gesti\u00f3n de servicios de TIC (empresa a empresa) y los proveedores digitales no figuran entre los sectores definidos en el anexo de la Directiva REC.<\/p>\n

(19<\/span>)<\/a>\u00a0\u00a0 https:\/\/www.enisa.europa.eu\/publications\/nis2-technical-implementation-guidance<\/a>.<\/p>\n

(20<\/span>)<\/a>\u00a0\u00a0Art\u00edculo\u00a021.<\/p>\n

(21<\/span>)<\/a>\u00a0\u00a0Comunicaci\u00f3n (COM)2026\u00a081, de 11\u00a0de\u00a0febrero de\u00a02026, titulada \u00abPlan de acci\u00f3n sobre seguridad de drones y defensa antidrones\u00bb.<\/p>\n

(22<\/span>)<\/a>\u00a0\u00a0Directiva (UE)\u00a02020\/2184 del Parlamento Europeo y del Consejo, de 16\u00a0de\u00a0diciembre de\u00a02020, relativa a la calidad de las aguas destinadas al consumo humano (versi\u00f3n refundida) (DO\u00a0L\u00a0435 de 23.12.2020, p.\u00a01<\/a>).<\/p>\n

(23<\/span>)<\/a>\u00a0\u00a0En particular, el art\u00edculo\u00a021, apartado\u00a02, letra\u00a0c), de la Directiva SRI 2.<\/p>\n

(24<\/span>)<\/a>\u00a0\u00a0Esto podr\u00eda implicar definir funciones espec\u00edficas como \u00abguardia de seguridad f\u00edsica\u00bb, asignar un conjunto predefinido de derechos de acceso y asignar personal a las funciones pertinentes.<\/p>\n

(25<\/span>)<\/a>\u00a0\u00a0Esto podr\u00eda significar autenticaci\u00f3n multifactor e identificadores \u00fanicos.<\/p>\n

(26<\/span>)<\/a>\u00a0\u00a0Esto podr\u00eda significar dise\u00f1ar controles de acceso para garantizar que ninguna persona tenga acceso suficiente para completar por s\u00ed sola un proceso cr\u00edtico y de alto riesgo. Por ejemplo, la persona que aprueba un cambio del sistema no debe ser la misma que la persona que aplica el cambio.<\/p>\n

(27<\/span>)<\/a>\u00a0\u00a0El personal solo debe tener acceso temporal cuando lo necesite activamente para tareas espec\u00edficas. En ese caso, el acceso debe revocarse inmediatamente. Debe existir una pol\u00edtica que restrinja los derechos de acceso fuera de horas de trabajo espec\u00edficas, cuando proceda.<\/p>\n

(28<\/span>)<\/a>\u00a0\u00a0Punto 10.2 del anexo.<\/p>\n

(29<\/span>)<\/a>\u00a0\u00a0Art\u00edculo\u00a021, apartado\u00a02, letra g), de la Directiva SRI 2.<\/p>\n

(30<\/span>)<\/a>\u00a0\u00a0Por ejemplo, intranet, m\u00f3dulos obligatorios de aprendizaje electr\u00f3nico con cuestionarios, v\u00eddeos breves, salvapantallas con recordatorios de seguridad clave.<\/p>\n

(31<\/span>)<\/a>\u00a0\u00a0Por ejemplo, carteles, folletos o fichas de referencia r\u00e1pida.<\/p>\n

(32<\/span>)<\/a>\u00a0\u00a0Por ejemplo, preguntas frecuentes.<\/p>\n

(33<\/span>)<\/a>\u00a0\u00a0Poner a prueba los procesos de coordinaci\u00f3n, de toma de decisiones y de comunicaci\u00f3n durante un incidente simulado (por ejemplo, fallo grave de la infraestructura, interrupci\u00f3n prolongada del suministro el\u00e9ctrico, violaci\u00f3n de la seguridad interior).<\/p>\n

(34<\/span>)<\/a>\u00a0\u00a0Poner a prueba un procedimiento espec\u00edfico y urgente, como la activaci\u00f3n del generador de emergencia, la evacuaci\u00f3n de una zona cr\u00edtica o el aislamiento de un panel de control comprometido.<\/p>\n<\/div>\n

source<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

I.\u00a0\u00a0\u00a0INTRODUCCI\u00d3N \u00a0 1. La Directiva (UE)\u00a02022\/2557, relativa a la resiliencia de las entidades cr\u00edticas (en lo sucesivo, \u00abla<\/p>\n","protected":false},"author":1,"featured_media":37872,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"_joinchat":[],"footnotes":""},"categories":[1],"tags":[],"class_list":["post-37871","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias"],"featured_image_urls":{"full":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",0,0,false],"thumbnail":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"medium":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"medium_large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"1536x1536":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"2048x2048":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"morenews-large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false],"morenews-medium":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/07\/wp-header-logo-397.png",1,1,false]},"author_info":{"info":["admin"]},"category_info":"Noticias<\/a>","tag_info":"Noticias","comment_count":0,"_links":{"self":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/37871","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/comments?post=37871"}],"version-history":[{"count":0,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/37871\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media\/37872"}],"wp:attachment":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media?parent=37871"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/categories?post=37871"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/tags?post=37871"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}