NIS2 en Lituania
Guía de implementación y cumplimiento de NIS2 en Lituania.
Lituania está reforzando su régimen nacional de ciberseguridad para alinearlo con las obligaciones reforzadas introducidas por la NIS2 Directive. El marco actualizado amplía la cobertura sectorial, refuerza la responsabilidad de la alta dirección y mejora los mecanismos de supervisión y de ejecución. Esta guía ofrece una visión estructurada de los requisitos de cumplimiento de NIS2 en Lituania para PYMES que operan en sectores regulados.
1. Resumen rápido de la aplicabilidad de las PYMES en Lituania
¿Se aplica NIS2 a las pymes en 1. Resumen rápido de la aplicabilidad de las PYMES en Lituania?
Sí — dependiendo del sector y del tamaño.
- Aplicabilidad automática a entidades medianas (≥50 empleados y ≥€10 million de volumen de negocios o total del balance) que operen en los sectores cubiertos.
- Las entidades pequeñas o micro solo se incluyen si han sido designadas formalmente o si operan en sectores de alta criticidad.
- Se aplica a las entidades establecidas en Lituania y, en determinados casos, a los proveedores digitales extranjeros que prestan servicios al mercado lituano.
Las PYMES deben evaluar si califican con arreglo al marco nacional de ciberseguridad de Lituania en función de la clasificación sectorial y de los umbrales establecidos por ley.
2. Panorama general de la aplicación de NIS2 en Lituania
Lituania está aplicando la Directiva mediante modificaciones a la Law on Cybersecurity, que constituye la base del régimen nacional de ciberseguridad.
La legislación revisada alinea el marco de Lituania con la Directive (EU) 2022/2555 y refuerza las obligaciones relativas a la gobernanza, la gestión de riesgos, la notificación de incidentes y las facultades de las autoridades de supervisión.
La ley actualizada integra las normas de la Directiva en la estructura existente de supervisión de la ciberseguridad de Lituania.
3. Ámbito de aplicación en Lithuania
Entidades esenciales
Entidades que operan en sectores altamente críticos:
Entidades importantes
Entidades que operan en otros sectores enumerados:
El alcance de Lithuania refleja las categorías sectoriales mínimas de la Directive sin expansión estructural confirmada.
4. Umbrales de tamaño y aplicabilidad de las PYME en Lithuania
Se aplican los umbrales básicos:
- ≥50 empleados y
- ≥€10 million de volumen de negocios anual o total del balance.
Las entidades que cumplan ambos criterios dentro de los sectores cubiertos quedan automáticamente dentro del ámbito de aplicación.
Las pequeñas y microempresas podrán ser designadas si se consideran críticas para la seguridad nacional, la estabilidad económica o la continuidad de los servicios esenciales.
Las autoridades de Lithuania conservan las facultades formales de designación cuando el riesgo sistémico justifique la inclusión.
5. Marco de clasificación de entidades en Lithuania
Las entidades se clasifican como:
- Entidades Esenciales — Están sujetas a supervisión proactiva, incluidas inspecciones y seguimiento estructurado del cumplimiento.
- Entidades Importantes — Principalmente sujetas a supervisión reactiva, desencadenada por incidentes significativos o preocupaciones en materia de cumplimiento.
La clasificación se determina por sector y tamaño. Las autoridades pueden reclasificar entidades cuando el impacto operativo o la exposición al riesgo justifiquen una supervisión reforzada.
Lithuania sigue la estructura de supervisión de dos niveles de la Directive.
6. Requisitos de gestión de riesgos de ciberseguridad en Lithuania
El régimen nacional de Lithuania se alinea con el nivel de referencia de la Directive para la gestión de riesgos de ciberseguridad. Las entidades incluidas en el ámbito de aplicación deben implementar medidas técnicas y organizativas proporcionadas que aborden:
- Análisis de riesgos y protección de sistemas
- Detección y respuesta a incidentes
- Continuidad del negocio y gestión de crisis
- Controles de riesgo de la cadena de suministro NIS2 en Lithuania
- Adquisición y desarrollo seguros de sistemas TIC
- Control de acceso y gestión de identidades
- Cifrado y salvaguardas criptográficas
- Procedimientos de gestión de vulnerabilidades
- Formación del personal en ciberseguridad
Las medidas deben reflejar los estándares de estado del arte y la exposición al riesgo de la organización. Se fomenta la alineación con ISO/IEC 27001 y la orientación de Lithuania en materia de ciberseguridad.
La supervisión de la cadena de suministro incluye la debida diligencia de proveedores y salvaguardias contractuales de ciberseguridad.
7. Responsabilidad de los órganos de administración y gobernanza en Lithuania
Los órganos de administración deben aprobar formalmente las medidas de gestión de riesgos de ciberseguridad y supervisar su aplicación.
Con arreglo al marco de Lithuania:
- Los consejos de administración son responsables de la supervisión del cumplimiento.
- La alta dirección debe garantizar un nivel de competencia suficiente en ciberseguridad.
- Las sanciones administrativas pueden imponerse por fallos de gobernanza.
- La suspensión temporal de funciones directivas puede estar disponible en el marco de los mecanismos de ejecución alineados con la Directive.
Las expectativas de responsabilidad de la administración en NIS2 en Lithuania elevan la gobernanza de la ciberseguridad a una responsabilidad a nivel ejecutivo.
8. Obligaciones de notificación de incidentes en Lithuania
Definición de un incidente significativo
Un incidente se considera significativo si causa:
- Interrupción operativa grave
- Pérdidas financieras significativas
- Impacto social sustancial
- Efectos transfronterizos
Cronograma de notificación
| Fase de notificación | Plazo | Autoridad |
|---|---|---|
| Alerta temprana | 24 horas | National Cyber Security Centre (NCSC Lithuania) |
| Notificación de incidente | 72 horas | National Cyber Security Centre (NCSC Lithuania) |
| Informe final | 1 mes | National Cyber Security Centre (NCSC Lithuania) |
9. Autoridades de supervisión y modelo de ejecución en Lituania
Autoridad principal: National Cyber Security Centre (NCSC Lithuania).
Lituania aplica un modelo de supervisión centralizado, coordinado por el NCSC, con autoridades reguladoras sectoriales intervinientes cuando proceda.
Las facultades de supervisión incluyen:
- Requerimientos de documentación e información
- Auditorías de seguridad
- Inspecciones in situ
- Instrucciones de cumplimiento vinculantes
- Participación en los mecanismos de coordinación de ciberseguridad de la UE
La estructura de ejecución se alinea con los requisitos de cooperación a nivel de la Directiva.
10. Multas y sanciones NIS2 en Lituania
Lituania aplica sanciones administrativas alineadas con la Directiva.
Entidades esenciales
Hasta €10 million o 2% del volumen de negocios anual mundial total (lo que sea mayor)
Entidades importantes
Hasta €7 million o 1.4% del volumen de negocios anual mundial total (lo que sea mayor)
La ejecución de las multas de NIS2 en Lithuania también puede incluir:
- Órdenes vinculantes de subsanación
- Identificación pública de entidades incumplidoras
- Suspensión de autorizaciones o certificaciones
- Facultades para suspender a directivos
La responsabilidad penal se aplica únicamente cuando esté expresamente prevista en la legislación de Lithuania.
11. Seguridad de la cadena de suministro y de los proveedores en el marco de NIS2 en Lithuania
Las entidades deben gestionar la exposición a riesgos de ciberseguridad de terceros mediante:
- Evaluaciones de riesgo de proveedores
- Disposiciones contractuales de seguridad en cascada
- Supervisión continua de proveedores de TIC
- Análisis del riesgo de concentración
- Mitigación de la propagación de incidentes
El enfoque de Lithuania se alinea con las expectativas básicas de la Directiva en materia de gestión del riesgo de proveedores.
12. Obligaciones de registro y autoidentificación en Lithuania
Las entidades dentro del ámbito de aplicación deben:
- Registrarse ante las autoridades competentes
- Facilitar datos de identificación corporativa
- Comunicar la clasificación sectorial
- Mantener actualizados los contactos de notificación
Los plazos procedimentales se rigen por el marco de aplicación de Lithuania. En el estado actual de transposición, Lithuania sigue el marco básico de la NIS2 Directive. Los detalles nacionales de implementación pueden precisar obligaciones específicas.
La autoidentificación es obligatoria cuando las entidades cumplen los umbrales legales.
13. Interacción con el GDPR y otras leyes en Lithuania
The General Data Protection Regulation sigue siendo aplicable de forma concurrente.
Las consideraciones de solapamiento incluyen:
- Notificación de violación de datos personales en un plazo de 72 horas
- Coordinación con la autoridad de control
14. Aplicabilidad transfronteriza
Las entidades con su establecimiento principal en Lithuania están supervisadas por las autoridades de Lithuania para los servicios transfronterizos.
Los proveedores digitales extranjeros que ofrecen servicios en Lithuania pueden estar sujetos a obligaciones nacionales dependiendo de la estructura de establecimiento.
Los requisitos de representación siguen las normas de la Directive para los proveedores no pertenecientes a la EU que prestan servicios al mercado de Lithuania.
15. Calendario de implementación en Lithuania
- Adopción de la Directiva: 2022
- Enmiendas legislativas nacionales: 2024–2025
- Entrada en vigor: Tras la publicación nacional
- Notificación a la Commission: De conformidad con los procedimientos de la EU
- Hito de cumplimiento: Plazos alineados con la Directive
El calendario de transposición de Lithuania se alinea con los requisitos de implementación de la EU.
16. Aspectos clave para las PYME en Lithuania
- Las entidades medianas en los sectores cubiertos están automáticamente dentro del ámbito de aplicación.
- Las entidades pequeñas pueden ser designadas si son críticas para la estabilidad nacional o económica.
- La supervisión del gobierno corporativo a nivel del órgano de administración es obligatoria.
- La notificación de incidentes sigue plazos de 24h / 72h / 1 mes.
- Las sanciones económicas pueden alcanzar €10 millones o el 2% del volumen de negocio mundial.
- Se exige la gestión del riesgo de proveedores.
- La planificación temprana del cumplimiento reduce la exposición a medidas de supervisión y sanción.
Preguntas frecuentes: Guía para PYMES de NIS2 Lithuania
¿Se aplica NIS2 a las pequeñas empresas en Lithuania?
Las pequeñas empresas, por regla general, están excluidas salvo que sean designadas o operen en sectores de alta criticidad. Las entidades medianas que cumplen los umbrales de tamaño quedan automáticamente cubiertas.
¿Cuáles son las sanciones de NIS2 en Lithuania?
Las Entidades Esenciales se enfrentan a sanciones de hasta €10 millones o el 2% del volumen de negocio anual mundial. Las Entidades Importantes se enfrentan a hasta €7 millones o el 1,4% del volumen de negocio anual mundial.
¿Cuándo entra en vigor NIS2 en Lithuania?
Lithuania está modificando su Law on Cybersecurity para alinearse con la Directive. La entrada en vigor se produce tras la publicación legislativa nacional.
¿Quién hace cumplir NIS2 en Lithuania?
El National Cyber Security Centre (NCSC Lithuania) actúa como autoridad supervisora principal, coordinando con los reguladores sectoriales cuando proceda.
¿Pueden los administradores ser personalmente responsables en virtud de NIS2 en Lithuania?
Los órganos de administración deben aprobar y supervisar las medidas de ciberseguridad. Las herramientas administrativas de ejecución pueden incluir facultades de suspensión de directivos en casos graves.
¿En qué se diferencia NIS2 del GDPR en Lithuania?
NIS2 regula la resiliencia de ciberseguridad y la gestión del riesgo operativo, mientras que el GDPR regula la protección de datos personales. Ambos marcos pueden aplicarse tras un incidente cibernético.
¿Qué califica como un incidente significativo en el marco de NIS2 en Lithuania?
Un incidente que cause una interrupción grave, una pérdida financiera significativa, un impacto social o consecuencias transfronterizas suele cumplir el umbral de notificación.