Cobertura del observatorio por sector y jurisdicción
Engloba a todos los sectores de forma transversal: son las normas cuyo ámbito no se decide por la actividad a la que se dedica una organización, sino por lo que hace o por lo que produce: tratar datos personales, poner en el mercado un producto conectado, desarrollar o desplegar un sistema de inteligencia artificial, certificar la ciberseguridad de un servicio. Una empresa de cualquier sector carga además con estas: son el suelo común, y en la mayoría de los casos son las primeras que le llegan, antes que cualquier régimen sectorial.
Banca, pagos, mercados de valores, seguros, gestión de activos y previsión social, más la infraestructura que sostiene las operaciones: depositarios centrales de valores, entidades de contrapartida central, centros de negociación y registros de operaciones. La delimitación no se hace por actividad económica en abstracto, sino por tipo de entidad regulada, y arrastra consigo a un actor que no es financiero: los proveedores terceros de servicios de tecnología de los que esas entidades dependen.
Quien suministra redes públicas de comunicaciones electrónicas y quien presta servicios de comunicaciones disponibles al público: acceso a internet, comunicaciones interpersonales, transporte de señales, servicios entre máquinas y radiodifusión. Son dos puertas independientes y no hace falta cruzar las dos. Alrededor del operador, el régimen de seguridad 5G añade a quien le suministra equipo, programa o servicio auxiliar, y a quien monta su propia red privada con espectro otorgado, aunque su negocio sea otro.
La Administración en todos sus niveles y el resto del sector público institucional, más un conjunto de empresas privadas que entran sin ser sector público: las que prestan servicios o proveen soluciones a una entidad pública en virtud de un contrato. Ese es el punto que más se desconoce de este sector, porque el disparador para la empresa no es su sector ni su tamaño, es tener el contrato. Detrás del contratista, su propia cadena de suministro queda alcanzada de forma modulada.
Quien presta los servicios que sostienen la validez jurídica de lo electrónico: firma y sello electrónicos, sellos de tiempo, certificados de autenticación de sitios web, entrega electrónica certificada, archivo y libros registro electrónicos. Se define por la actividad, no por el sector del cliente. Con la identidad digital europea se le suman dos figuras nuevas, quien provee la cartera y quien se apoya en ella para prestar un servicio, y una tercera al margen: los proveedores de navegadores.
La cadena eléctrica completa, de la generación al suministro, con los gestores de red de transporte y de distribución en el centro, y a su alrededor los actores de mercado que mueven la electricidad: operadores designados para el mercado eléctrico, mercados organizados y sujetos de liquidación responsables del balance. La delimitación es más amplia de lo que sugiere el nombre, porque incluye a los operadores de puntos de recarga y a los proveedores de tecnología críticos para esa cadena, y el sector abarca también el gas y el hidrógeno.
Cualquiera que aloje personas a cambio de precio, sea cual sea el formato del alojamiento, y las empresas de alquiler de vehículos a motor sin conductor. Incluye además a quien solo pone en contacto a las partes: plataformas de intermediación por internet y operadores turísticos, que entran aunque no presten el servicio subyacente. Es un sector intensivo en datos personales: identidad, estancias y pagos de los huéspedes.
La fabricación industrial de medicamentos y de los principios activos que los componen, no la asistencia sanitaria, que se trata aparte, en salud. Entra quien es titular de una autorización de laboratorio fabricante o importador, y con él los fabricantes e importadores de principios activos usados como materia prima. La fabricación funciona por autorización e inspección, y los sistemas informatizados que sostienen la actividad regulada forman parte de lo inspeccionado.
Los cuatro modos, aéreo, ferroviario, por carretera y marítimo, con el transporte público incluido. Cubre a quien explota la red y los vehículos, a quien gestiona la infraestructura, y también a quien construye y certifica el equipo que va dentro: en ferroviario, el régimen europeo de control-mando y señalización obliga por producto y por red, así que alcanza a fabricantes, integradores y organismos de evaluación de la conformidad además de a administradores de infraestructura y empresas ferroviarias.
La asistencia sanitaria y lo que la sostiene: hospitales y centros asistenciales, laboratorios de diagnóstico, distribución de medicamentos y productos sanitarios, y los fabricantes del software clínico con el que todo eso funciona. Queda fuera la fabricación industrial de medicamentos, que se trata aparte.
Dos actividades que las normas europeas tratan por separado: el suministro de agua potable, desde la captación hasta la distribución, y la recogida y depuración de aguas residuales. En España casi siempre las presta la misma organización, una concesionaria del ciclo urbano o una empresa municipal, de modo que una misma entidad puede quedar dentro por dos puertas distintas. Es un entorno de mucha tecnología de operación, con estaciones de bombeo, plantas de tratamiento y telecontrol repartido por el territorio.
La capa sobre la que corre todo lo demás: computación en nube, centros de datos, redes de distribución de contenidos, sistema de nombres de dominio y registro de nombres. Es el sector donde el tamaño deja de ser el filtro habitual: varios de estos actores quedan sujetos sin umbral, sea cual sea su dimensión.
Quien opera tecnología por cuenta de otro: administración de sistemas y redes, puesto de trabajo, soporte, y la variante de seguridad, que va desde la vigilancia continua hasta la respuesta a incidentes. Es un sector peculiar porque su cliente suele ser una entidad de otro sector, y por esa vía recibe obligaciones dos veces: las suyas como entidad sujeta y las que le trasladan por contrato los regímenes de cadena de suministro de sus clientes.
La producción, la transformación y la distribución de alimentos, tratadas como una sola cadena. En la delimitación europea de resiliencia el acento está en la escala: lo que se protege es la distribución a gran escala, no el pequeño comercio. Es un sector que llega tarde a la regulación de ciberseguridad y donde el tamaño de la empresa marca la entrada.
La fabricación de productos químicos y su distribución y almacenamiento, incluida la manipulación y el transporte de mercancías peligrosas. Lo que sitúa al sector en los mapas de resiliencia no es la continuidad del suministro, sino el daño potencial de lo que maneja, y esa es también la razón de que su normativa histórica sea de accidentes graves y no de ciberseguridad.
La fabricación sin sector propio: maquinaria, equipos eléctricos y electrónicos, componentes, bienes de equipo. Aquí las obligaciones llegan por dos caminos distintos que conviene no confundir. Uno mira a la empresa como operador, por su sector y su tamaño. El otro mira al producto que sale de la planta, y ese no depende del sector en absoluto: si lo que se fabrica se conecta, el fabricante carga con requisitos de ciberseguridad de producto.
Los operadores postales y las empresas de mensajería y paquetería, con la red de clasificación, transporte y reparto que sostienen. La actividad depende de sistemas de seguimiento, direcciones y pagos contra reembolso, de modo que el dato personal está en el centro del negocio. Es un sector de regulación reciente, sin norma sectorial que traduzca las obligaciones generales a su operativa.
La recogida, el transporte, el tratamiento, la valorización y la eliminación de residuos, con las plantas y los vertederos donde eso ocurre. Buena parte de la actividad se presta por contrato con una entidad local, y ese vínculo público marca al sector tanto como su propia operativa. Es un sector nuevo en la regulación de ciberseguridad, sin normativa propia previa.
Los servicios digitales que se prestan al público y median entre terceros: mercados en línea, motores de búsqueda y plataformas de redes sociales. No es la capa de infraestructura, que tiene sector propio, sino lo que se construye encima. La delimitación es tasada, se define por el tipo de servicio, y en el régimen español vigente es todavía más estrecha que en el europeo.
Las organizaciones cuya actividad principal es la investigación: centros públicos y privados, instalaciones científicas singulares, y los laboratorios que manejan materiales peligrosos. Lo que se protege aquí no es la continuidad de un suministro sino el conocimiento y el material que la organización custodia, y esa diferencia explica que las normas que la alcanzan sean de resiliencia general y no de ciberseguridad técnica.
Las instalaciones y actividades del ciclo nuclear: centrales en explotación, fabricación y almacenamiento de combustible, gestión de residuos radiactivos y el transporte de material nuclear. Es el sector con el regulador propio más fuerte, y eso cambia la mecánica: donde otros sectores se autoevalúan, aquí la seguridad se somete a aprobación previa de la autoridad competente.
Los operadores de infraestructura terrestre que sostienen servicios espaciales: estaciones de seguimiento, telemetría y control, centros de operaciones de constelaciones y proveedores de servicios de navegación, posicionamiento y observación de la Tierra. Lo regulado es el segmento terreno, en manos de Estados o de empresas privadas, y no las infraestructuras de la propia Unión, que quedan expresamente fuera del régimen de entidades críticas.
Todas las normas conocidas de ese cruce están incorporadas, cada una con su ficha y su fecha de verificación.
Hay normas incorporadas y otras ya identificadas que todavía no tienen ficha.
Se han identificado normas relevantes para ese cruce, pero ninguna está incorporada todavía.
No hay ninguna norma identificada para ese cruce, o esa jurisdicción todavía no se ha empezado a trabajar.