Inicio›Cumplimiento normativo›Entidades críticas
Directiva (UE) 2022/2557 · Resiliencia de entidades críticasDirectiva CER: no se certifica, se cumple
La directiva europea de resiliencia de entidades críticas sustituye el viejo modelo de infraestructuras críticas por uno más exigente: evaluación de riesgos, plan de resiliencia y notificación de incidentes en 24 horas. Solo obliga a quien la autoridad designa entidad crítica, pero a quien designa no le deja mucho margen.
No cuenta tu sector: cuenta que te designen
La directiva no obliga a sectores enteros. Obliga a las entidades que cada Estado identifica, y tenía de plazo hasta el 17 de julio de 2026 (art. 6). Tres situaciones posibles:
| Tu situación | Qué significa | Nivel |
|---|---|---|
| Te han notificado como entidad crítica | Obligación directa: evaluación de riesgos, plan de resiliencia, responsable designado y notificación de incidentes. | Directiva en vigor; ley española pendiente |
| Eres proveedor de una entidad crítica | Sin obligación legal propia, pero lo previsible es que te trasladen requisitos de continuidad y seguridad por contrato o por pliego. | Interpretación de mercado |
| Ninguna de las dos | No te obliga. Aun así, cada vez más licitaciones valoran la continuidad de negocio y la resiliencia operativa. | Interpretación de mercado |
Sectores de la directiva: energía, transporte, banca, infraestructuras de los mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, administración pública, espacio y alimentación. Banca, mercados financieros e infraestructura digital quedan fuera de buena parte de las obligaciones porque ya las cubren DORA y NIS2 (art. 8). El proyecto español que decayó en octubre de 2026 añadía sectores, entre ellos la seguridad privada.
Seis medidas y cuatro plazos
Las medidas vienen de la directiva, que ya está en vigor. Los plazos concretos para España venían del proyecto de ley que decayó con la disolución de las Cortes: son la mejor pista de lo que vendrá, no derecho vigente.
| Medida de resiliencia | Qué pide |
|---|---|
| Prevenir | Reducir la probabilidad de que el incidente ocurra. |
| Proteger | Protección física adecuada de instalaciones e infraestructuras. |
| Resistir | Responder al incidente y limitar sus consecuencias. |
| Recuperar | Continuidad de negocio y cadenas de suministro alternativas. |
| Personal | Gestión de la seguridad de quienes ejercen funciones críticas, incluida la comprobación de antecedentes. |
| Concienciar | Formación para que la plantilla conozca las medidas. |
| Plazo (proyecto decaído) | Qué hay que tener | Ante quién, según el proyecto |
|---|---|---|
| 3 meses desde la designación | Responsable de Seguridad y Resiliencia, con habilitación de Director de Seguridad (art. 8.3) | Secretaría de Estado de Seguridad, a través del CNPREC |
| 9 meses desde la notificación | Evaluación de riesgos propia, renovada al menos cada cuatro años (art. 6.1) | Secretaría de Estado de Seguridad, que la valida |
| 6 meses tras la evaluación | Plan de resiliencia o documento equivalente (art. 8.1) | Secretaría de Estado de Seguridad, que lo valida |
| 24 horas desde que se conoce | Notificación de incidentes significativos, con informe detallado en un mes como máximo (art. 10.1) | Secretaría de Estado de Seguridad, a través del CNPREC |
Europa ya legisló. España, todavía no.
Estado verificado a octubre de 2026 — cada afirmación, con su fase.
En vigor desde el 16 de enero de 2023. Los Estados debían transponerla en octubre de 2024 e identificar a sus entidades críticas antes del 17 de julio de 2026. España va con retraso: la Comisión Europea le remitió un dictamen motivado en mayo de 2025.
Aprobado por el Consejo de Ministros en marzo de 2026, decayó con la disolución de las Cortes (Real Decreto 806/2026, BOE de 6 de octubre de 2026): los proyectos en trámite caducan y no se reanudan. El Gobierno que salga de las elecciones del 29 de noviembre tendrá que aprobar un texto nuevo. El decaído creaba el CNPREC, en sustitución del CNPIC, y derogaba la Ley 8/2011.
Mientras no haya ley nueva —y con la disolución, eso va para largo—, los operadores críticos siguen sujetos a ella. Quien ya lo es tiene la mitad del camino hecho, y la otra mitad es la que más cuesta: pasar de proteger instalaciones a demostrar resiliencia.
CER y NIS2 se cumplen juntas o se pagan dos veces
Quien es crítico, es esencial
NIS2 trata como entidad esencial a toda entidad identificada como crítica con CER. La designación arrastra también las obligaciones de ciberseguridad, que en España tampoco tienen todavía ley de transposición.
Dos leyes, una sola evaluación de riesgos
El proyecto español que decayó dejaba la ciberseguridad fuera de su ámbito y la remitía a NIS2. Pero el riesgo de tu instalación no distingue entre físico y digital: una evaluación pensada para los dos marcos evita repetir el trabajo.
La continuidad es el músculo común
Recuperar el servicio es una medida de CER y una obligación de gestión de riesgos de NIS2. Un sistema de continuidad de negocio bien construido sirve a las dos, y a la ISO 27001 y el ENS si ya los tienes.
Del análisis de brechas al plan que valida la autoridad
Análisis de brechas
Dónde estás frente a las seis medidas de la directiva y frente a lo que preveía el proyecto de ley, con lo que ya cubres por la Ley 8/2011, la ISO 27001 o el ENS.
Evaluación de riesgos y plan de resiliencia
Preparados para presentarlos a validación, con un procedimiento de notificación de incidentes que llegue a tiempo a las 24 horas.
Lo que no hacemos: validar tu plan ni ejercer de Responsable de Seguridad y Resiliencia. Según el proyecto, la validación correspondía a la Secretaría de Estado de Seguridad y el responsable debía tener habilitación de Director de Seguridad. Nosotros preparamos lo que esa persona tendrá que defender. Cómo trabajamos, fase a fase, está en el proceso.
Esperar a la ley es la forma más cara de cumplirla
Con el proyecto de ley decaído por la disolución de las Cortes, la tentación es esperar a la próxima legislatura. Pero las seis medidas ya están escritas en una directiva en vigor, y los plazos del proyecto no cambian la naturaleza del trabajo: nueve meses para una evaluación de riesgos seria y seis más para un plan que tiene que aprobar Interior no son mucho tiempo si se empieza el día de la notificación.
Nuestra posición: si eres operador crítico hoy o prestas un servicio esencial, empieza por la evaluación de riesgos y por la continuidad, que sirven pase lo que pase con la ley, y constrúyelas pensando a la vez en CER y en NIS2. Hacerlas por separado es pagar dos veces por el mismo análisis.
Madruga Consulting
CER es una pieza más del mapa regulatorio: el resto —ENS, NIS2, DORA, RGPD— está en cumplimiento normativo.
Entidades críticas, sin rodeos
¿La Directiva CER se certifica?
No. No existe un certificado CER: es una obligación legal que se cumple ante la autoridad. En España, según el proyecto de ley que decayó en octubre de 2026, la evaluación de riesgos y el plan de resiliencia los validaría la Secretaría de Estado de Seguridad. Lo que sí se certifica son las normas que ayudan a demostrarla, como la ISO 22301 de continuidad de negocio o la ISO 27001.
¿Cómo sé si mi empresa es una entidad crítica?
Porque te lo notifican. No basta con pertenecer a un sector: la autoridad identifica a las entidades que prestan un servicio esencial y cuyo incidente tendría efectos perturbadores significativos, y se lo comunica a cada una (art. 6 de la directiva). Si eres operador crítico con la Ley 8/2011, es razonable prepararse para estar en la lista, pero la designación la decide la autoridad.
¿Qué relación tiene con NIS2?
Son dos caras del mismo problema. CER cubre la resiliencia física y operativa; NIS2, la ciberseguridad, y el proyecto español que decayó dejaba fuera de su ámbito lo que regulase la norma que transponga NIS2. Además, NIS2 trata como entidad esencial a toda entidad identificada como crítica con CER: quien entra en una lista, entra en la otra.
¿Cuánto tiempo hay para cumplir una vez designado?
Según el proyecto de ley que decayó con la disolución de las Cortes: tres meses para designar al Responsable de Seguridad y Resiliencia, nueve meses para elevar la evaluación de riesgos y seis meses más para el plan de resiliencia. Hoy no hay plazo legal español: los definitivos serán los del texto que apruebe la próxima legislatura y publique el BOE.
¿Me afecta si solo soy proveedor de una entidad crítica?
La ley no te obliga directamente. Pero una entidad crítica tiene que gestionar sus riesgos y su continuidad, y eso incluye a sus proveedores: lo previsible es que te lo trasladen por contrato o por pliego. Es una interpretación de mercado, no una obligación legal, y conviene tenerla preparada antes de que llegue la cláusula.
¿Podéis ser nuestro Responsable de Seguridad y Resiliencia?
No. El proyecto de ley exigía que esa persona tuviera la habilitación de Director de Seguridad del Ministerio del Interior, y es previsible que el próximo texto mantenga una exigencia parecida. Nosotros preparamos la evaluación, el plan y el sistema que esa persona tendrá que sostener ante la autoridad.
¿Qué pasa con la ley española tras la disolución de las Cortes?
Decayó. Con el Real Decreto 806/2026, BOE de 6 de octubre de 2026, caducan todos los proyectos en trámite y no se reanudan donde quedaron: el Gobierno que salga de las elecciones del 29 de noviembre tendrá que aprobar un texto nuevo y enviarlo a las Cortes. Mientras tanto siguen en vigor la directiva europea y, para los operadores críticos, la Ley 8/2011.
¿Eres entidad crítica o proveedor de una?
Te decimos qué te toca hoy, qué te tocará con la ley y por dónde empezar para no hacer el trabajo dos veces.
Madrid · Sevilla · Marbella · toda España en remoto