Cumplimiento de NIS2 para el sector de Infraestructuras del Mercado Financiero

Las infraestructuras del mercado financiero (FMIs) permiten la compensación, la liquidación, la negociación y el registro de transacciones financieras en toda la European Union. Debido a que están en el núcleo de los mercados de capitales y los ecosistemas de pagos, los incidentes cibernéticos que afecten a estas entidades pueden tener consecuencias sistémicas.

La Directiva NIS2 establece obligaciones de ciberseguridad a nivel EU para las entidades Esenciales y Importantes, ampliando el alcance y la fuerza de cumplimiento del marco NIS original. El cumplimiento de NIS2 para las infraestructuras del mercado financiero refuerza los requisitos de resiliencia operativa para las entidades cuya interrupción podría desestabilizar los mercados.

La Directiva se aplica a organizaciones medianas y grandes que operan en sectores designados, incluidas las infraestructuras del mercado financiero. Dado su papel sistémico, la mayoría de las FMIs cumplirán los umbrales relevantes y entrarán en el ámbito.

Si su organización opera como una infraestructura del mercado financiero, puede estar sujeta a NIS2 como entidad Esencial.

El anexo I identifica sectores de alta criticidad, sin clasificar automáticamente a todas sus entidades como esenciales. Según el artículo 3, la regla general basada en el tamaño es:

• Grandes empresas — entidades esenciales: 250 o más empleados, o tanto un volumen de negocios anual superior a 50 millones € como un balance general anual superior a 43 millones €.
• Medianas empresas — entidades importantes: sin ser grandes, 50 o más empleados, o tanto un volumen de negocios anual como un balance general anual superiores a 10 millones €.

Anexo pertinente: Anexo I (Sectores de alta criticidad)

Cobertura del subsector (Anexo I – Infraestructuras del Mercado Financiero):

• Operadores de plataformas de negociación
• Contrapartes centrales (CCPs)
• Depósitos centrales de valores (CSDs)

Estas entidades desempeñan un papel fundamental en la estabilidad financiera al facilitar las funciones de negociación de valores, compensación y liquidación.

Se aplican las reglas de la UE sobre pymes, incluida la agregación de empresas asociadas y vinculadas cuando corresponda (Recomendación 2003/361/CE). Las pequeñas empresas y microempresas no están automáticamente sujetas a NIS2 por operar en un sector del anexo I. Las excepciones legales, la identificación nacional como entidad esencial o importante y la identificación como entidad crítica conforme a la Directiva CER pueden prevalecer sobre la regla general de tamaño (artículos 2 y 3).

Interacción en el sector financiero: para las entidades financieras cubiertas por DORA, este Reglamento constituye legislación sectorial de la Unión a efectos del artículo 4 de NIS2. Sus requisitos equivalentes sustituyen las disposiciones correspondientes de NIS2; la clasificación en el anexo I no implica por sí sola obligaciones duplicadas.

El cumplimiento de NIS2 para las infraestructuras del mercado financiero se aplica a:

• Empresas de tamaño medio (50 o más empleados, o volumen de negocios anual superior a 10 millones de euros y balance general superior a 10 millones de euros; se computan las empresas asociadas y vinculadas)
• Grandes empresas que superen esos umbrales

Dada la escala e importancia sistémica de las plataformas de negociación, las CCPs y las CSDs, la mayoría de las entidades de este sector entrarán automáticamente en el ámbito como entidades Esenciales.

Las entidades medianas y grandes de este sector generalmente cumplen el criterio de tamaño de NIS2. Las pequeñas empresas y microempresas quedan generalmente fuera del ámbito, salvo disposición legal independiente del tamaño o designación nacional formal. Aplique la definición de pyme de la UE y la agregación de empresas asociadas y vinculadas conforme a la Recomendación 2003/361/CE, y compruebe las normas sectoriales y la transposición nacional.

En virtud del Article 21 de la Directiva NIS2, las infraestructuras del mercado financiero deben implementar medidas técnicas y organizativas apropiadas y proporcionadas para gestionar los riesgos de ciberseguridad.

Las medidas obligatorias incluyen:

• Marco de gestión de riesgos
• Procedimientos de gestión de incidentes
• Continuidad del negocio y recuperación ante desastres
• Seguridad de la cadena de suministro
• Desarrollo y mantenimiento seguros
• Políticas sobre cifrado y criptografía
• Control de acceso y MFA
• Gestión de vulnerabilidades y de parches
• Formación en higiene cibernética
• Uso de comunicaciones seguras

Para las FMIs, estas medidas de seguridad de NIS2 deben proteger los sistemas de transacciones de alto volumen, los motores de compensación, las plataformas de liquidación y la infraestructura de datos de mercado en tiempo real. Controles de resiliencia sólidos, planificación de redundancia y salvaguardias de integridad son esenciales para evitar la perturbación sistémica del mercado.

El cumplimiento de NIS2 para las infraestructuras del mercado financiero requiere la alineación entre la gobernanza de ciberseguridad y los marcos de riesgo del mercado financiero existentes. Las entidades deben garantizar que las medidas de resiliencia ICT apoyen la continuidad del mercado y los objetivos de estabilidad financiera.

Las infraestructuras del mercado financiero deben cumplir con los plazos de notificación de incidentes de NIS2 cuando se produzcan incidentes significativos.

Las obligaciones de notificación incluyen:

Los informes deben enviarse al CSIRT nacional pertinente o a la autoridad competente designada en virtud de NIS2.

Dada la importancia sistémica de los sistemas de compensación y liquidación, los incidentes que afecten a la continuidad de la negociación, la integridad de las transacciones o el acceso al mercado a menudo calificarán como significativos. La regla de notificación de 24 horas de NIS2 exige procesos de escalado rápidos y una comunicación coordinada con las autoridades supervisoras.

El incumplimiento de los plazos de notificación puede dar lugar a acciones de ejecución regulatoria.

El cumplimiento de NIS2 para las infraestructuras del mercado financiero impone responsabilidad directa al órgano de gestión.

Los requisitos clave de gobernanza incluyen:

• Aprobación de las medidas de gestión del riesgo de ciberseguridad por el órgano de gestión
• Supervisión de la implementación y eficacia
• Formación obligatoria en ciberseguridad para la dirección
• Posible exposición a responsabilidad personal conforme a la legislación nacional

El Article 21 de la Directiva NIS2 eleva la ciberseguridad a responsabilidad del órgano de dirección. La alta dirección debe garantizar que las estrategias de resiliencia, los protocolos de gestión de incidentes y las evaluaciones de riesgo estén formalmente documentados e integrados en la gobernanza de la entidad.

Para las FMIs, las fallas de gobernanza pueden no solo exponer a la entidad a sanciones regulatorias, sino también amenazar la estabilidad financiera en general.

Como entidades de Annex I, las infraestructuras del mercado financiero están sujetas a supervisión proactiva. Las autoridades competentes pueden realizar auditorías, inspecciones y evaluaciones de seguridad independientemente de si se ha producido un incidente.

Las multas administrativas por incumplimiento son:

• Entidades Esenciales: Hasta €10 millones o 2% del volumen de negocio anual mundial total (la cantidad que resulte mayor)

Las leyes de transposición nacionales pueden definir además la coordinación supervisora entre los reguladores financieros y las autoridades competentes de NIS2. Sin embargo, la Directiva establece umbrales mínimos de sanción armonizados en los Estados miembros.

Dado el perfil de riesgo sistémico de las FMIs, se espera que la aplicación sea rigurosa y estrechamente alineada con los marcos de supervisión financiera.

Las infraestructuras del mercado financiero deberían adoptar un enfoque estructurado de cumplimiento:

1. Realizar una evaluación de brechas de NIS2 alineada con los marcos de resiliencia de la infraestructura de mercado existentes
2. Mapear los sistemas críticos de compensación, liquidación y negociación
3. Formalizar un marco documentado de gestión del riesgo de ciberseguridad
4. Actualizar los procedimientos de respuesta a incidentes y coordinación en crisis
5. Revisar los contratos con proveedores terceros de tecnología y datos
6. Formar a los miembros del consejo y a la alta dirección
7. Establecer un flujo de trabajo de notificación 24h/72h/1 mes

La preparación temprana reduce el riesgo de aplicación y protege la continuidad operativa.

Las infraestructuras del mercado financiero enfrentan riesgos específicos del sector bajo NIS2:

• Interrupción del mercado: Los incidentes cibernéticos pueden detener los procesos de negociación o liquidación.
• Contagio sistémico: Las fallas pueden propagarse en cascada por los mercados financieros.
• Compromiso de la integridad de los datos: La manipulación de los registros de transacciones puede minar la confianza.
• Multas regulatorias: El incumplimiento expone a las entidades a sanciones financieras considerables.
• Daño reputacional: La confianza del mercado depende de la resiliencia operativa.

El cumplimiento de NIS2 para las infraestructuras del mercado financiero es por tanto un componente crítico de la estabilidad sistémica y de la garantía regulatoria.