Cumplimiento de NIS2 para el sector de Infraestructuras del Mercado Financiero
Una guía completa sobre las obligaciones de NIS2 para las infraestructuras del mercado financiero en toda la EU.
1. ¿Qué es NIS2 y por qué se aplica a las Infraestructuras del Mercado Financiero
Las infraestructuras del mercado financiero (FMIs) permiten la compensación, la liquidación, la negociación y el registro de transacciones financieras en toda la European Union. Debido a que están en el núcleo de los mercados de capitales y los ecosistemas de pagos, los incidentes cibernéticos que afecten a estas entidades pueden tener consecuencias sistémicas.
La Directiva NIS2 establece obligaciones de ciberseguridad a nivel EU para las entidades Esenciales y Importantes, ampliando el alcance y la fuerza de cumplimiento del marco NIS original. El cumplimiento de NIS2 para las infraestructuras del mercado financiero refuerza los requisitos de resiliencia operativa para las entidades cuya interrupción podría desestabilizar los mercados.
La Directiva se aplica a organizaciones medianas y grandes que operan en sectores designados, incluidas las infraestructuras del mercado financiero. Dado su papel sistémico, la mayoría de las FMIs cumplirán los umbrales relevantes y entrarán en el ámbito.
Si su organización opera como una infraestructura del mercado financiero, puede estar sujeta a NIS2 como entidad Esencial.
2. ¿El sector de Infraestructuras del Mercado Financiero está clasificado como Esencial o Importante en virtud de NIS2?
El sector de Infraestructuras del Mercado Financiero se clasifica como:
Anexo relevante: Annex I (Entidades Esenciales)
Estas entidades desempeñan un papel fundamental en la estabilidad financiera al facilitar las funciones de negociación de valores, compensación y liquidación. Las entidades que cumplan los umbrales de tamaño aplicables son tratadas como entidades Esenciales bajo NIS2.
- Entidad Esencial según Annex I
- Operadores de plataformas de negociación
- Contrapartes centrales (CCPs)
- Depósitos centrales de valores (CSDs)
Cobertura del subsector (Annex I – Infraestructuras del Mercado Financiero):
3. ¿Qué organizaciones de infraestructuras del mercado financiero están en el ámbito?
El cumplimiento de NIS2 para las infraestructuras del mercado financiero se aplica a:
Dada la escala e importancia sistémica de las plataformas de negociación, las CCPs y las CSDs, la mayoría de las entidades de este sector entrarán automáticamente en el ámbito como entidades Esenciales.
Aunque la aplicabilidad de NIS2 a las pymes es menos frecuente en este sector debido a los requisitos de licencia regulatoria y a la escala operativa, cualquier entidad que cumpla los umbrales de tamaño está cubierta. Las FMIs transfronterizas que operan en varios Estados miembros siguen estando sujetas a las obligaciones de NIS2 dentro del marco de la EU, con sujeción a la coordinación supervisora.
- Empresas de tamaño medio (≥50 empleados y/o €10 millones de facturación anual o total del balance)
- Grandes empresas que superen esos umbrales
4. Requisitos básicos de ciberseguridad de NIS2 para las infraestructuras del mercado financiero
En virtud del Article 21 de la Directiva NIS2, las infraestructuras del mercado financiero deben implementar medidas técnicas y organizativas apropiadas y proporcionadas para gestionar los riesgos de ciberseguridad.
Las medidas obligatorias incluyen:
Para las FMIs, estas medidas de seguridad de NIS2 deben proteger los sistemas de transacciones de alto volumen, los motores de compensación, las plataformas de liquidación y la infraestructura de datos de mercado en tiempo real. Controles de resiliencia sólidos, planificación de redundancia y salvaguardias de integridad son esenciales para evitar la perturbación sistémica del mercado.
El cumplimiento de NIS2 para las infraestructuras del mercado financiero requiere la alineación entre la gobernanza de ciberseguridad y los marcos de riesgo del mercado financiero existentes. Las entidades deben garantizar que las medidas de resiliencia ICT apoyen la continuidad del mercado y los objetivos de estabilidad financiera.
- Marco de gestión de riesgos
- Procedimientos de gestión de incidentes
- Continuidad del negocio y recuperación ante desastres
- Seguridad de la cadena de suministro
- Desarrollo y mantenimiento seguros
- Políticas sobre cifrado y criptografía
- Control de acceso y MFA
- Gestión de vulnerabilidades y de parches
- Formación en higiene cibernética
- Uso de comunicaciones seguras
5. Obligaciones de notificación de incidentes para las infraestructuras del mercado financiero
Las infraestructuras del mercado financiero deben cumplir con los plazos de notificación de incidentes de NIS2 cuando se produzcan incidentes significativos.
Las obligaciones de notificación incluyen:
Los informes deben enviarse al CSIRT nacional pertinente o a la autoridad competente designada en virtud de NIS2.
Dada la importancia sistémica de los sistemas de compensación y liquidación, los incidentes que afecten a la continuidad de la negociación, la integridad de las transacciones o el acceso al mercado a menudo calificarán como significativos. La regla de notificación de 24 horas de NIS2 exige procesos de escalado rápidos y una comunicación coordinada con las autoridades supervisoras.
El incumplimiento de los plazos de notificación puede dar lugar a acciones de ejecución regulatoria.
| Notificación | Plazo |
|---|---|
| Alerta temprana | Dentro de las 24 horas desde que se tiene conocimiento de un incidente significativo |
| Notificación del incidente | Dentro de las 72 horas |
| Informe final | Dentro de un mes |
6. Gobernanza y responsabilidad de la dirección
El cumplimiento de NIS2 para las infraestructuras del mercado financiero impone responsabilidad directa al órgano de gestión.
Los requisitos clave de gobernanza incluyen:
El Article 21 de la Directiva NIS2 eleva la ciberseguridad a responsabilidad del órgano de dirección. La alta dirección debe garantizar que las estrategias de resiliencia, los protocolos de gestión de incidentes y las evaluaciones de riesgo estén formalmente documentados e integrados en la gobernanza de la entidad.
Para las FMIs, las fallas de gobernanza pueden no solo exponer a la entidad a sanciones regulatorias, sino también amenazar la estabilidad financiera en general.
- Aprobación de las medidas de gestión del riesgo de ciberseguridad por el órgano de gestión
- Supervisión de la implementación y eficacia
- Formación obligatoria en ciberseguridad para la dirección
- Posible exposición a responsabilidad personal conforme a la legislación nacional
7. Supervisión y sanciones
Como entidades de Annex I, las infraestructuras del mercado financiero están sujetas a supervisión proactiva. Las autoridades competentes pueden realizar auditorías, inspecciones y evaluaciones de seguridad independientemente de si se ha producido un incidente.
Las multas administrativas por incumplimiento son:
Las leyes de transposición nacionales pueden definir además la coordinación supervisora entre los reguladores financieros y las autoridades competentes de NIS2. Sin embargo, la Directiva establece umbrales mínimos de sanción armonizados en los Estados miembros.
Dado el perfil de riesgo sistémico de las FMIs, se espera que la aplicación sea rigurosa y estrechamente alineada con los marcos de supervisión financiera.
- Entidades Esenciales: Hasta €10 millones o 2% del volumen de negocio anual mundial total (la cantidad que resulte mayor)
8. Pasos prácticos de cumplimiento para las PYMEs de infraestructuras del mercado financiero
Las infraestructuras del mercado financiero deberían adoptar un enfoque estructurado de cumplimiento:
La preparación temprana reduce el riesgo de aplicación y protege la continuidad operativa.
- Realizar una evaluación de brechas de NIS2 alineada con los marcos de resiliencia de la infraestructura de mercado existentes
- Mapear los sistemas críticos de compensación, liquidación y negociación
- Formalizar un marco documentado de gestión del riesgo de ciberseguridad
- Actualizar los procedimientos de respuesta a incidentes y coordinación en crisis
- Revisar los contratos con proveedores terceros de tecnología y datos
- Formar a los miembros del consejo y a la alta dirección
- Establecer un flujo de trabajo de notificación 24h/72h/1 mes
9. Riesgos clave para las infraestructuras del mercado financiero bajo NIS2
Las infraestructuras del mercado financiero enfrentan riesgos específicos del sector bajo NIS2:
El cumplimiento de NIS2 para las infraestructuras del mercado financiero es por tanto un componente crítico de la estabilidad sistémica y de la garantía regulatoria.
- Interrupción del mercado: Los incidentes cibernéticos pueden detener los procesos de negociación o liquidación.
- Contagio sistémico: Las fallas pueden propagarse en cascada por los mercados financieros.
- Compromiso de la integridad de los datos: La manipulación de los registros de transacciones puede minar la confianza.
- Multas regulatorias: El incumplimiento expone a las entidades a sanciones financieras considerables.
- Daño reputacional: La confianza del mercado depende de la resiliencia operativa.
10. Preguntas frecuentes
¿Se aplica NIS2 a las pequeñas infraestructuras del mercado financiero?
Sí, si cumplen el umbral de empresa mediana de la EU (≥50 empleados y/o €10 millones de facturación o total del balance), están dentro del alcance. La mayoría de las FMIs autorizadas superan esos umbrales.
¿Cuál es la diferencia entre entidades Esenciales y Entidades Importantes?
Las entidades Esenciales, como las plataformas de negociación, las CCPs y las CSDs incluidas en Annex I, están sujetas a supervisión proactiva y a multas máximas más elevadas. Las entidades Importantes se supervisan de forma reactiva y afrontan sanciones máximas inferiores.
¿En qué se diferencia NIS2 del GDPR?
El GDPR regula la protección de datos personales, mientras que NIS2 aborda la gestión de riesgos de ciberseguridad y la resiliencia operativa. Las infraestructuras del mercado financiero deben asegurar el cumplimiento de ambos marcos cuando proceda.
¿Las infraestructuras del mercado financiero no pertenecientes a la EU que operan en la EU entran en el ámbito de NIS2?
Sí, si prestan servicios dentro de la EU y cumplen los criterios de alcance, pueden verse obligadas a cumplir las obligaciones de NIS2 conforme a las leyes de transposición nacionales.
¿Cómo interactúa NIS2 con la normativa financiera existente?
NIS2 establece obligaciones horizontales de ciberseguridad a nivel EU, mientras que la normativa de mercados financieros se centra en requisitos de prudencia y estabilidad del mercado. Las FMIs deben coordinar el cumplimiento entre ambas capas regulatorias.