Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, por el que se establecen las disposiciones de aplicación de la Directiva (UE) 2022/2555 en lo que respecta a los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad y en el que se detallan los casos en que un incidente se considera significativo con respecto a los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computación en nube, los proveedores de servicios de centro de datos, los proveedores de redes de distribución de contenidos, los proveedores de servicios gestionados, los proveedores de servicios de seguridad gestionados, los proveedores de mercados en línea, motores de búsqueda en línea y plataformas de servicios de redes sociales, y los proveedores de servicios de confianza

En lo que se refiere a los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computación en nube, los proveedores de servicios de centros de datos, los proveedores de redes de distribución de contenidos, los proveedores de servicios gestionados, los proveedores de servicios de seguridad gestionados, así como los proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales, y los prestadores de servicios de confianza (en adelante, las entidades pertinentes), el presente Reglamento establece los requisitos técnicos y metodológicos de las medidas previstas en el artículo 21, apartado 2, de la Directiva (UE) 2022/2555 y detalla en qué casos un incidente se considerará significativo a tenor del artículo 23, apartado 3, de la Directiva (UE) 2022/2555.

1 Con relación a las entidades pertinentes, los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad a que se refiere el artículo 21, apartado 2, letras a) a j), de la Directiva (UE) 2022/2555 se establecen en el anexo del presente Reglamento.

2 Las entidades pertinentes garantizarán un nivel de seguridad de los sistemas de redes y de información adecuado a los riesgos que se planteen al llevar a la práctica y aplicar los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad establecidos en el anexo del presente Reglamento. Para ello, tendrán debidamente en cuenta su grado de exposición a los riesgos, su tamaño y la probabilidad de que se produzcan incidentes y su gravedad, especialmente sus repercusiones sociales y económicas, a la hora de cumplir los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad establecidos en el anexo del presente Reglamento. Cuando el anexo del presente Reglamento establezca que los requisitos técnicos y metodológicos de las medidas de gestión de riesgos de ciberseguridad se aplicarán «según proceda», «cuando proceda» o «en la medida de lo posible», y la entidad pertinente considere que no procede, que no resulta de aplicación o que no es posible aplicar determinados requisitos técnicos y metodológicos, la entidad redactará de manera comprensible su razonamiento a tal efecto.

1 Un incidente se considerará significativo a efectos del artículo 23, apartado 3, de la Directiva (UE) 2022/2555 con respecto a las entidades pertinentes cuando se cumplan uno o varios de los siguientes criterios: a) que el incidente haya causado o pueda causar a la entidad pertinente pérdidas financieras directas superiores a 500000 EUR o al 5 % de su volumen de negocios total anual en el ejercicio financiero anterior, si esta cifra es inferior; b) que el incidente haya causado o pueda causar la exfiltración de secretos comerciales a tenor del artículo 2, apartado 1, de la Directiva (UE) 2016/943, de la entidad pertinente; c) que el incidente haya causado o pueda causar la muerte de una persona física; d) que el incidente haya causado o pueda causar daños considerables a la salud de una persona física; e) que se haya producido efectivamente el acceso presuntamente malicioso y no autorizado a los sistemas de redes y de información, lo que puede causar graves perturbaciones operativas; f) que el incidente cumpla los criterios establecidos en el artículo 4; g) que el incidente cumpla uno o varios de los criterios establecidos en los artículos 5 a 14.

2 Las interrupciones programadas del servicio y las consecuencias previstas de las operaciones de mantenimiento programadas llevadas a cabo por las entidades pertinentes o en su nombre no se considerarán incidentes significativos.

3 Al calcular el número de usuarios afectados por un incidente a efectos del artículo 7 y los artículos 9 a 14, las entidades pertinentes tendrán en cuenta todo lo siguiente: a) el número de clientes que tengan un contrato con la entidad pertinente que les permita acceder a las redes y sistemas de información de dicha entidad o a los servicios ofrecidos por dichas redes y sistemas de información, o que sean accesibles a través de ellos; b) el número de personas físicas y jurídicas asociadas a clientes empresariales que utilicen las redes y los sistemas o servicios de información de las entidades ofrecidos por dichas redes y sistemas de información o que sean accesibles a través de ellos.

Los incidentes que, individualmente, no se consideren incidentes significativos en el sentido del artículo 3, se considerarán conjuntamente un incidente significativo cuando cumplan todos los criterios siguientes: a) que se hayan producido al menos dos veces en un plazo de seis meses; b) que tengan la misma causa fundamental aparente; c) que cumplan colectivamente los criterios establecidos en el artículo 3, apartado 1, letra a).

Por lo que respecta a los proveedores de servicios del sistema de nombres de dominio (DNS, por sus siglas en inglés), un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que un servicio de resolución de nombres de dominio recursivo o autoritativo esté completamente indisponible durante más de treinta minutos; b) que, durante más de una hora, el tiempo medio de respuesta de un servicio de resolución de nombres de dominio recursivo o autoritativo a las solicitudes de DNS sea superior a diez segundos; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación del servicio de resolución autoritativa de nombres de dominio se vean comprometidas, excepto en los casos en que los datos de menos de 1000 nombres de dominio gestionados por el proveedor de servicios DNS, que representen como máximo el 1 % de los nombres de dominio gestionados por el proveedor de servicios DNS, no sean correctos debido a fallos de configuración.

Por lo que respecta a los registros de nombres de dominio de primer nivel, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los criterios siguientes: a) que un servicio autoritativo de resolución de nombres de dominio esté totalmente indisponible; b) que, durante más de una hora, el tiempo medio de respuesta de un servicio autoritativo de resolución de nombres de dominio a las solicitudes de DNS sea superior a diez segundos; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el funcionamiento técnico del dominio de primer nivel se vean comprometidas.

Por lo que respecta a los proveedores de servicios de computación en nube, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que un servicio de computación en nube esté totalmente indisponible durante más de treinta minutos; b) que la disponibilidad del servicio de computación en nube de un proveedor esté limitada en el caso de más del 5 % de los usuarios de servicios de computación en nube de la Unión, o de más de un millón de usuarios de servicios de computación en nube en la Unión, si esta cifra es menor, durante más de una hora; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de un servicio de computación en nube se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación del servicio de computación en la nube se vean comprometidas y ello afecte a más del 5 % de los usuarios de dicho servicio de computación en la nube de la Unión, o a más de un millón de sus usuarios en la Unión, si esta cifra es menor.

Por lo que respecta a los proveedores de servicios de centros de datos, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que el servicio del centro de datos gestionado por el proveedor esté totalmente indisponible; b) que la disponibilidad de un servicio de un centro de datos gestionado por el proveedor esté limitada durante más de una hora; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de un servicio de centro de datos se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que el acceso físico a un centro de datos gestionado por el proveedor esté en riesgo.

Por lo que respecta a los proveedores de redes de distribución de contenidos, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que una red de distribución de contenidos esté totalmente indisponibles durante más de treinta minutos; b) que la disponibilidad de una red de distribución de contenidos esté limitada en el caso de más del 5 % de los usuarios de la red de distribución de contenidos en la Unión, o de más de un millón de usuarios de la red de distribución de contenidos en la Unión, si esta cifra es menor, durante más de una hora; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de la red de distribución de contenidos se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de la red de distribución de contenidos se vean comprometidas y ello afecte a más del 5 % de los usuarios de la red de distribución de contenidos en la Unión, o a más de un millón de usuarios de la red de distribución de contenidos en la Unión, si esta cifra es menor.

Por lo que respecta a los proveedores de servicios gestionados y los proveedores de servicios de seguridad gestionados, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los criterios siguientes: a) que un servicio gestionado o un servicio de seguridad gestionado esté completamente indisponible durante más de treinta minutos; b) que la disponibilidad de un servicio gestionado o de un servicio de seguridad gestionado esté limitada en el caso de más del 5 % de los usuarios de este servicio en la Unión, o de más de un millón de sus usuarios en la Unión, si esta cifra es menor, durante más de una hora; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de un servicio gestionado o de un servicio de seguridad gestionado se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de un servicio gestionado o de un servicio de seguridad gestionado se vean comprometidas y ello afecte a más del 5 % de los usuarios del servicio gestionado o del servicio de seguridad gestionado en la Unión, o a más de un millón de usuarios de estos servicios en la Unión, si esta cifra es menor.

Por lo que respecta a los prestadores de mercados en línea, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que un mercado en línea esté completamente indisponible para más del 5 % de los usuarios de un mercado en línea de la Unión, o para más de un millón de sus usuarios en la Unión, si esta cifra es menor; b) que más del 5 % de los usuarios de un mercado en línea de la Unión, o más de un millón de usuarios, si esta cifra es menor, se vean afectados por la disponibilidad limitada de dicho mercado en línea; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de un mercado en línea se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de un mercado en línea se vean comprometidas y ello afecte a más del 5 % de los usuarios del mercado en línea en la Unión, o a más de un millón de usuarios del mercado en línea en la Unión, si esta cifra es menor.

Por lo que respecta a los proveedores de motores de búsqueda en línea, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que un motor de búsqueda en línea esté completamente indisponible para más del 5 % de los usuarios del motor de búsqueda en línea de la Unión, o para más de un millón de sus usuarios en la Unión, si esta cifra es menor; b) que más del 5 % de los usuarios de los servicios del motor de búsqueda en línea de la Unión, o más de un millón de usuarios, si esta cifra es menor, se vean afectados por la disponibilidad limitada de dicho motor de búsqueda en línea; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de un motor de búsqueda en línea se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con el suministro de un motor de búsqueda en línea se vean comprometidas y ello afecte a más del 5 % de los usuarios del motor de búsqueda en línea en la Unión, o a más de un millón de usuarios de los servicios del motor de búsqueda en línea en la Unión, si esta cifra es menor.

Por lo que respecta a los proveedores de plataformas de servicios de redes sociales, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que una plataforma de servicios de redes sociales esté completamente indisponible para más del 5 % de los usuarios de la plataforma de servicios de redes sociales en la Unión, o para más de un millón de sus usuarios en la Unión, si esta cifra es menor; b) que más del 5 % de los usuarios de una plataforma de servicios de redes sociales de la Unión, o más de 1 millón de usuarios de la plataforma de servicios de redes sociales en la Unión, si esta cifra es menor, se vean afectados por la disponibilidad limitada de dicha plataforma de servicios de redes sociales; c) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de una plataforma de servicios de redes sociales se vean comprometidas como consecuencia de una acción presuntamente malintencionada; d) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados relacionados con la prestación de la plataforma de servicios de redes sociales se vean comprometidas y ello afecte a más del 5 % de los usuarios de la plataforma de servicios de redes sociales en la Unión, o a más de un millón de sus usuarios en la Unión, si esta cifra es menor.

Por lo que respecta a los prestadores de servicios de confianza, un incidente se considerará significativo con arreglo al artículo 3, apartado 1, letra g), cuando cumpla uno o varios de los siguientes criterios: a) que un servicio de confianza esté completamente indisponible durante más de veinte minutos; b) que un servicio de confianza esté indisponible para los usuarios o las partes usuarias durante más de una hora calculada sobre la base de una semana natural; c) que más del 1 % de los usuarios o partes usuarias en la Unión, o más de 200000 usuarios o partes usuarias en la Unión, si esta cifra es menor, se vean afectados por la disponibilidad limitada de un servicio de confianza; d) que el acceso físico a una zona en las que estén situados los sistemas de redes y de información y en la que el acceso esté restringido al personal acreditado del prestador de servicios de confianza o la protección de dicho acceso físico se vea comprometido; e) que la integridad, confidencialidad o autenticidad de los datos almacenados, transmitidos o tratados en relación con la prestación de un servicio de confianza se vean comprometidas y ello afecte a más del 0,1 % de los usuarios o partes usuarias, o a más de cien usuarios o partes usuarias del servicio de confianza en la Unión, si esta cifra es menor.

Queda derogado el Reglamento de Ejecución (UE) 2018/151 de la Comisión.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.