Lo m\u00e1s importante en resumen<\/p>\n
- \n
- La protecci\u00f3n f\u00edsica se convierte en obligaci\u00f3n.<\/strong> La Ley Marco KRITIS transpone la Directiva UE-CER y establece por primera vez est\u00e1ndares m\u00ednimos federales uniformes para la resiliencia f\u00edsica de las instalaciones cr\u00edticas.<\/li>\n
- Dos pilares, un solo riesgo.<\/strong> Junto al r\u00e9gimen cibern\u00e9tico de la BSIG y NIS2, se erige ahora el pilar f\u00edsico. Alemania desarrolla ambos niveles de protecci\u00f3n en paralelo.<\/li>\n
- Las competencias siguen siendo difusas.<\/strong> BBK, BSI y el Ministerio del Interior comparten la supervisi\u00f3n, y seg\u00fan el Bundestag, los l\u00edmites a\u00fan no est\u00e1n claramente delimitados.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/span>Ley Marco KRITIS en vigor: lo que los operadores deben implementar ahora<\/a> \/<\/span> Resiliencia frente al ransomware: por qu\u00e9 las empresas alemanas pagan menos<\/a><\/p>\n
Qu\u00e9 regula de nuevo la Ley Marco KRITIS<\/h2>\n
Hasta 2026, la protecci\u00f3n de las infraestructuras cr\u00edticas en Alemania estaba fragmentada. La ciberseguridad se reg\u00eda por la Ley BSI, mientras que la protecci\u00f3n f\u00edsica depend\u00eda de un mosaico de normativas sectoriales y requisitos de los estados federados. La Ley Marco KRITIS unifica por primera vez este nivel f\u00edsico a escala federal.<\/p>\n
\u00bfQu\u00e9 es la Ley Marco KRITIS?<\/strong> La Ley Marco KRITIS es la transposici\u00f3n alemana de la Directiva UE 2022\/2557 sobre la resiliencia de las entidades cr\u00edticas, conocida como CER. Obliga a los operadores de instalaciones cr\u00edticas a reforzar su capacidad de resistencia f\u00edsica frente a todo tipo de amenazas, desde cat\u00e1strofes naturales y fallos t\u00e9cnicos hasta sabotajes y actos terroristas. A ello se suman obligaciones de notificaci\u00f3n y una supervisi\u00f3n estatal.<\/p>\n
El \u00e1mbito de aplicaci\u00f3n se basa en un umbral de 500.000 habitantes abastecidos por instalaci\u00f3n. Con ello, se estima que unos 1.300 operadores quedan sujetos a la ley. El enfoque de amenaza integral supone la verdadera ruptura con el pasado: los operadores ya no tienen que marcar escenarios individuales, sino preparar sus instalaciones frente a todo el espectro de perturbaciones posibles.<\/p>\n
\nalrededor de 1.300<\/div>\nOperadores de instalaciones cr\u00edticas est\u00e1n sujetos a la Ley Marco KRITIS y deben acreditar su resiliencia f\u00edsica.<\/div>\nFuente: Bundestag \/ Ley Marco KRITIS<\/div>\n<\/div>\nLa resiliencia f\u00edsica se convierte en disciplina cibern\u00e9tica<\/h2>\n
El efecto m\u00e1s interesante de la ley no es la nueva obligaci\u00f3n en s\u00ed, sino su proximidad a la ciberseguridad. Quien opere una subestaci\u00f3n el\u00e9ctrica o una planta de tratamiento de agua tendr\u00e1 a partir de ahora dos reg\u00edmenes en paralelo: la ley marco KRITIS para la protecci\u00f3n f\u00edsica y la BSIG con NIS2 para el \u00e1mbito digital. Ambas exigen an\u00e1lisis de riesgos, canales de notificaci\u00f3n y pruebas documentales. En la pr\u00e1ctica, apenas pueden separarse.<\/p>\n
Un ataque a la red el\u00e9ctrica rara vez comienza hoy con un cortacables y termina en el centro de datos, o a la inversa. El sabotaje al hardware y la intrusi\u00f3n en el software de control son dos caminos hacia el mismo objetivo. Por eso la separaci\u00f3n entre resiliencia f\u00edsica y digital es artificial. La ley marco KRITIS obliga a los operadores a integrar ambas perspectivas en un \u00fanico cuadro de situaci\u00f3n, y eso cambia qui\u00e9n es responsable de la seguridad dentro de la empresa.<\/p>\n
Alemania implementa con la ley marco KRITIS y el r\u00e9gimen cibern\u00e9tico de BSIG y NIS2 ambos pilares en paralelo y con legislaci\u00f3n propia. Esto resulta exigente en su aplicaci\u00f3n, pero cierra una brecha que los atacantes hab\u00edan explotado deliberadamente hasta ahora.<\/p>\n
Donde las competencias siguen siendo difusas<\/h2>\n
Por muy sensata que sea la doble protecci\u00f3n, su gesti\u00f3n administrativa resulta poco clara. Con la ley marco KRITIS, la Oficina Federal de Protecci\u00f3n Civil y Asistencia en Cat\u00e1strofes se convierte en autoridad supervisora del pilar f\u00edsico, mientras que la BSI responde del \u00e1mbito cibern\u00e9tico y el Ministerio del Interior coordina a nivel superior. El propio Bundestag ha se\u00f1alado que la distribuci\u00f3n de tareas entre estos organismos no est\u00e1 delimitada con precisi\u00f3n.<\/p>\n
Para los operadores esto es m\u00e1s que un detalle administrativo. Quien notifique un incidente que afecte a ambos niveles debe saber a qui\u00e9n dirigirse. Las notificaciones duplicadas, los requisitos contradictorios o las lagunas entre autoridades son un riesgo real mientras las interfaces no est\u00e9n claramente definidas. La pr\u00e1ctica supervisora de los pr\u00f3ximos meses revelar\u00e1 si el techo aguanta.<\/p>\n
Lo que los operadores deber\u00edan hacer ahora<\/h2>\n
Con independencia de la cuesti\u00f3n abierta sobre competencias, merece la pena empezar ya. Hay tres pasos recomendables antes de que la autoridad supervisora realice su primera consulta.<\/p>\n
En primer lugar, elaborar un cuadro de situaci\u00f3n conjunto: integrar los riesgos f\u00edsicos y cibern\u00e9ticos en un \u00fanico an\u00e1lisis, en lugar de gestionarlos en departamentos separados. En segundo lugar, clarificar la cadena de notificaci\u00f3n: determinar qu\u00e9 incidente corresponde a qu\u00e9 autoridad y ensayar el procedimiento antes de que sea necesario aplicarlo en una situaci\u00f3n real. En tercer lugar, centralizar la responsabilidad: cuando la seguridad f\u00edsica y digital convergen, hace falta una instancia que supervise ambas vertientes, en lugar de dos silos que se transfieran mutuamente la responsabilidad ante un incidente.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfDesde cu\u00e1ndo est\u00e1 vigente la ley marco KRITIS?<\/strong><\/summary>\n
La ley entr\u00f3 en vigor el 16 de marzo de 2026. El Bundestag la aprob\u00f3 el 29 de enero de 2026 y el Bundesrat dio su conformidad el 6 de marzo de 2026. Transpone la Directiva CER de la UE al derecho nacional.<\/p>\n<\/details>\n
\n\u00bfQui\u00e9n est\u00e1 sujeto a la ley marco KRITIS?<\/strong><\/summary>\n
Est\u00e1n afectados los operadores de instalaciones cr\u00edticas a partir de un umbral de 500.000 habitantes abastecidos por instalaci\u00f3n. Las estimaciones apuntan a unos 1.300 operadores afectados, que deber\u00e1n acreditar su resiliencia f\u00edsica.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 diferencia a la ley marco de NIS2?<\/strong><\/summary>\n
La ley marco KRITIS regula la protecci\u00f3n f\u00edsica de las instalaciones cr\u00edticas, mientras que NIS2 y la BSIG se ocupan de la ciberseguridad. Ambas rigen en paralelo, exigen an\u00e1lisis de riesgos y obligaciones de notificaci\u00f3n, y se aplican simult\u00e1neamente a numerosos operadores.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 autoridad es competente para la supervisi\u00f3n?<\/strong><\/summary>\n
Para el pilar f\u00edsico, la Oficina Federal de Protecci\u00f3n Civil y Asistencia en Cat\u00e1strofes se convierte en autoridad supervisora; para el \u00e1mbito cibern\u00e9tico, la BSI. Seg\u00fan el Bundestag, la delimitaci\u00f3n exacta entre los organismos implicados a\u00fan no est\u00e1 trazada con precisi\u00f3n.<\/p>\n<\/details>\n
\n\u00bfPor d\u00f3nde deber\u00edan empezar los operadores?<\/strong><\/summary>\n
Elaborar un cuadro de situaci\u00f3n conjunto que integre los riesgos f\u00edsicos y cibern\u00e9ticos, clarificar y ensayar la cadena de notificaci\u00f3n seg\u00fan el tipo de incidente, y centralizar la responsabilidad de ambos niveles de seguridad en una sola instancia en lugar de gestionarla en silos separados.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/adaptive-mfa-nis2-bsi-zero-trust-mittelstand-fido2-2026-hero-250x167.jpg\")
<\/span>Recomendado<\/span>Cero confianza en el proveedor de energ\u00eda: lo que ahora revelan las auditor\u00edas de NIS2<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/st-20-04-ot-security-iec-62443-cra-2026-250x167.jpg\")
<\/span>Recomendado<\/span>Seguridad OT 2026: Por qu\u00e9 IEC\u202f62443 y el EU Cyber Resilience Act deben leerse juntos<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/ransomware-resilienz-reboot-germany-250x166.jpg\")
<\/span>Recomendado<\/span>Resiliencia ante el ransomware: por qu\u00e9 las empresas alemanas pagan con menos frecuencia<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bsi-kritis-cloud-2026-nis2-dachgesetz-c5-90008061.jpg\")
<\/span>cloudmagazin<\/span>BSI KRITIS y la nube 2026: NIS2, Ley marco y C5<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wie-synaforce-krankenhaeuser-transformie-89285657-250x156.jpg\")
<\/span>MyBusinessFuture<\/span>Digitalizaci\u00f3n hospitalaria: Synaforce conecta la atenci\u00f3n<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-industrie-5-0-als-fuehrungsentscheidung-61355365-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Industria 5.0 como decisi\u00f3n de liderazgo: Lo que los CIOs llevan de la Hannover Messe 2026<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La protecci\u00f3n **KRITIS** se materializa: la ley de techos obliga a unos 1.300 operadores a garantizar resiliencia frente a **todos** los riesgos.","protected":false},"author":50,"featured_media":17790,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Ley Techo Cr\u00edtis","_yoast_wpseo_title":"Ley de Techos Cr\u00edticos: Cuando la resiliencia f\u00edsica se convierte en una disciplina cibern\u00e9tica","_yoast_wpseo_metadesc":"**Protecci\u00f3n KRITIS ahora es f\u00edsica:** La ley obliga a 1.300 empresas a ser resilientes. \u00bfPor qu\u00e9 ciberseguridad y seguridad f\u00edsica deben unirse?","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[3,261,2],"tags":[],"class_list":["post-17904","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aktuelles","category-strategie-governance-es","category-innovation"],"evm_reading_time_minutes":7,"wpml_language":"es","wpml_translation_of":17789,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/17904","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=17904"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/17904\/revisions"}],"predecessor-version":[{"id":21707,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/17904\/revisions\/21707"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/17790"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=17904"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=17904"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=17904"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Dos pilares, un solo riesgo.<\/strong> Junto al r\u00e9gimen cibern\u00e9tico de la BSIG y NIS2, se erige ahora el pilar f\u00edsico. Alemania desarrolla ambos niveles de protecci\u00f3n en paralelo.<\/li>\n