A quién obliga · todo el detalle Obliga a las entidades críticas, y entidad crítica es la que designa el Estado. No hay umbral de tamaño ni de facturación, y no hay autodiagnóstico posible: hasta que la autoridad te identifica y te lo notifica, esta Directiva no te impone nada. Es la misma mecánica de la Ley PIC española y la diferencia de fondo con NIS2, donde cada entidad se clasifica sola. Para identificarte hacen falta tres condiciones a la vez y pertenecer a uno de los once sectores del anexo. Y hay un recorte grande que se lee poco: banca, infraestructuras de los mercados financieros e infraestructura digital se identifican como críticas pero quedan fuera de todas las obligaciones de resiliencia, supervisión y sanción.
Ámbito material
Once sectores del anexo Entidades públicas o privadas identificadas por un Estado miembro como pertenecientes a una de las categorías del anexo, cuando se dan los tres criterios a la vez: prestan uno o más servicios esenciales, operan en su territorio con la infraestructura crítica situada en él, y un incidente tendría efectos perturbadores significativos (art. 2.1 y art. 6.2)
Por identificación
Entidades críticas identificadas Los once sectores del anexo: energía (con hidrógeno como subsector propio), transporte (incluido el transporte público), banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, administración pública, espacio, y producción, transformación y distribución de alimentos (anexo)
Especial importancia europea Entidades críticas de especial importancia europea: las ya identificadas que prestan los mismos o similares servicios esenciales a o en seis o más Estados miembros y a las que la Comisión se lo notifica. El capítulo IV les aplica desde la recepción de esa notificación, sin los diez meses de gracia (art. 17)
Entrada condicionada
Administración pública central Entidades de la administración pública de las administraciones centrales, definidas por cada Estado conforme a su Derecho nacional. La definición del art. 2.10 excluye expresamente al poder judicial, los parlamentos y los bancos centrales (anexo punto 9 y art. 2.10)
Régimen particular
Banca, mercados financieros y digital Banca, infraestructuras de los mercados financieros e infraestructura digital: se identifican como entidades críticas, pero no se les aplican el art. 11 ni los capítulos III, IV y VI. El Estado está obligado a comunicarles esa exención al notificarles (art. 8 y art. 6.3)
Exclusiones
Las materias reguladas por NIS2. El reparto es expreso: lo ciber es de NIS2, lo demás es de esta Directiva. La única costura es el artículo 8, que se salva expresamente.
Art. 1.2 Cuando actos jurídicos sectoriales de la Unión ya obligan a medidas de resiliencia y el Estado las reconoce como al menos equivalentes, no se aplican las disposiciones correspondientes de esta Directiva, incluidas las de supervisión y ejecución.
Art. 1.3 Entidades de la administración pública que actúan en seguridad nacional, seguridad pública, defensa o aplicación de la ley, incluida la investigación y el enjuiciamiento de delitos. Y los Estados pueden extender esa exención, total o parcialmente, a entidades críticas concretas de esos ámbitos o que solo presten servicio a esas administraciones.
Art. 1.6 y 1.7 Ninguna obligación de esta Directiva implica entregar información cuya divulgación fuera contraria a los intereses esenciales de seguridad nacional, seguridad pública o defensa.
Art. 1.8 En el sector espacial, las infraestructuras terrestres cuya propiedad, gestión y explotación no corresponde a Estados miembros ni a entidades privadas: las de la propia Unión.
Anexo, punto 10