Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Nuevo marco para el aspecto f\u00edsico.<\/strong> La ley KRITIS\u2011Dachgesetz implementa la directiva UE-CER y regula por primera vez la resiliencia de instalaciones cr\u00edticas a nivel federal. Complementa las obligaciones de TI de NIS2, sin reemplazarlas.<\/li>\n
- El proveedor est\u00e1 dentro del \u00e1mbito de aplicaci\u00f3n.<\/strong> Los proveedores y t\u00e9cnicos de servicio con acceso f\u00edsico o digital est\u00e1n sujetos a los mismos requisitos de integridad y fiabilidad que los propios empleados.<\/li>\n
- El plazo comienza en julio.<\/strong> A partir del 17. julio 2026, los operadores se registran en la plataforma conjunta de BBK y BSI, a m\u00e1s tardar tres meses despu\u00e9s de su clasificaci\u00f3n como instalaci\u00f3n cr\u00edtica.<\/li>\n
- Gesti\u00f3n en lugar de una visi\u00f3n puntual.<\/strong> Una auditor\u00eda \u00fanica de proveedores no cierra el vector. El acceso, la entrada, los contratos y la puesta en marcha deben incluir permanentemente la cadena de suministro.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> El Acta de Resiliencia Cibern\u00e9tica tambi\u00e9n afecta a su cartera<\/a> · Cinco m\u00e9tricas que el consejo de administraci\u00f3n realmente entiende<\/a><\/p>\n
C\u00f3mo transforma la ley de techo en la cadena de suministro<\/h2>\n
La ley de techo KRITIS est\u00e1 en vigor desde el 17 de marzo de 2026. El gabinete la aprob\u00f3 el 29 de enero, y el Bundesrat la respald\u00f3. En t\u00e9rminos legales, incorpora la Directiva UE 2022\/2557 sobre la resiliencia de instalaciones cr\u00edticas, conocida como la directiva CER. De este modo, por primera vez se establece un marco unificado a nivel federal y transversal para la protecci\u00f3n f\u00edsica y la capacidad de recuperaci\u00f3n de instalaciones cr\u00edticas.<\/p>\n
Importante para la clasificaci\u00f3n: la ley es la complementaci\u00f3n f\u00edsica de la faceta inform\u00e1tica, que cubre a NIS2 y a la BSI. Aproximadamente 1.300 operadores quedan dentro del \u00e1mbito de aplicaci\u00f3n seg\u00fan la l\u00f3gica de la CER. Tendr\u00e1n que cumplir con obligaciones de notificaci\u00f3n, mantener una gesti\u00f3n de continuidad del negocio, demostrar seguridad f\u00edsica y fiabilidad del personal, y operar una gesti\u00f3n de crisis fiable. La cadena de suministro est\u00e1 incluida en cada uno de estos aspectos, no como un anexo, sino como parte de la instalaci\u00f3n.<\/p>\n
La directiva CER concibe la resiliencia de manera amplia. No se limita a un ciberataque, sino al fallo en s\u00ed mismo: por sabotaje, por un desastre natural, por la p\u00e9rdida de un proveedor previo o por una combinaci\u00f3n de estos factores. En este punto, la esfera f\u00edsica se encuentra con la digital. Un acceso remoto manipulado es un incidente cibern\u00e9tico con repercusi\u00f3n f\u00edsica, y un cable cortado es un incidente f\u00edsico con repercusi\u00f3n digital. El operador debe conocer ambas cadenas. Ambas conducir\u00e1n, eventualmente, a un proveedor.<\/p>\n
\n\n17. julio<\/div>\nInicio del registro en la plataforma de BBK y BSI (2026)<\/p>\n<\/div>\n
\n1.300<\/div>\nOperadores en el \u00e1mbito de aplicaci\u00f3n de la CER<\/p>\n<\/div>\n
\n3 meses<\/div>\nPlazo para el registro despu\u00e9s de la clasificaci\u00f3n como instalaci\u00f3n cr\u00edtica<\/p>\n<\/div>\n<\/div>\n
El proveedor queda de repente bajo alcance<\/h2>\n
La norma que separa la adquisici\u00f3n de la seguridad desaparece con la ley del techo. Proveedores y t\u00e9cnicos de servicio que tengan acceso f\u00edsico o digital a una instalaci\u00f3n cr\u00edtica est\u00e1n sujetos a los mismos requisitos de integridad y fiabilidad que los empleados internos. El acceso de mantenimiento remoto de un fabricante, los t\u00e9cnicos en la sala de control, el servicio en la nube detr\u00e1s del sistema de proceso: los tres est\u00e1n, desde la perspectiva de la instalaci\u00f3n, muy pr\u00f3ximos a los internos, no externos.<\/p>\n
Para los operadores, esto traslada una responsabilidad. Hasta ahora, el proveedor era un tema de compras con un contrato marco. Ahora es un tema de seguridad con control de acceso, derechos de acceso, verificaciones de antecedentes y una visi\u00f3n clara de qui\u00e9n estuvo cu\u00e1ndo en qu\u00e9 sistema. Quien delega esta responsabilidad al proveedor y la deja all\u00ed no la ha cumplido.<\/p>\n
\nDefinici\u00f3n · Instalaci\u00f3n cr\u00edtica<\/p>\n
Una instalaci\u00f3n cuya ca\u00edda interrumpir\u00eda gravemente el suministro a la poblaci\u00f3n, como en energ\u00eda, agua, salud o transporte. La ley del techo convierte su resiliencia en una obligaci\u00f3n del operador y lleva a sus proveedores a asumir la misma obligaci\u00f3n.<\/p>\n<\/div>\n
\u00bfPor qu\u00e9 una lista de auditor\u00eda no cierra el vector?<\/h2>\n
Un proveedor puede haber sido inspeccionado, aprobado y marcado una sola vez y dejar la instalaci\u00f3n abierta de todas formas. El canal de acceso remoto sigue activo, el port\u00e1til del t\u00e9cnico pasa de cliente a cliente, y el subcontratista ni siquiera aparece en el contrato. Una instant\u00e1nea en el proceso de adquisici\u00f3n no captura ninguno de estos estados. Genera una sensaci\u00f3n de tranquilidad y marca una casilla en la tabla.<\/p>\n
La resiliencia solo se logra cuando el acceso se gestiona de forma permanente. Privilegio m\u00ednimo para externos, accesos con duraci\u00f3n limitada, registro de acceso remoto y una cadena de notificaci\u00f3n que tambi\u00e9n se activa si el incidente comienza en el proveedor. Esto no es un proyecto puntual. Es un modo de operaci\u00f3n.<\/p>\n
Y el canal no termina con el proveedor directo. El propio proveedor de nube del proveedor, su plataforma de acceso remoto, sus subcontratistas prolongan la cadena con eslabones que a menudo ni siquiera aparecen en el contrato. Quien solo revisa al contratista principal percibe el riesgo de que la cadena termine prematuramente. Para instalaciones cr\u00edticas, precisamente esta profundidad oculta de la cadena de suministro es el punto en el que la fiabilidad en papel y la fiabilidad operativa divergen.<\/p>\n
La responsabilidad sigue en lo alto<\/h2>\n
La nueva ley se dirige a los operadores, no a sus proveedores. Esta orientaci\u00f3n es intencional. La responsabilidad de la resiliencia de una instalaci\u00f3n cr\u00edtica recae en su gesti\u00f3n y no puede externalizarse mediante contrato. Un operador puede contratar servicios. Pero la responsabilidad por su seguridad no se compra.<\/p>\n
Para la direcci\u00f3n esto implica una obligaci\u00f3n de prueba. Debe poder demostrar que ha identificado, evaluado y controlado los riesgos de los proveedores. Un registro que documente esta auditor\u00eda es, en caso de crisis, la diferencia entre demostrar diligencia y quedar bajo sospecha. La supervisi\u00f3n no preguntar\u00e1 si un proveedor ha fallado. Preguntar\u00e1 si el operador lo ten\u00eda bajo control.<\/p>\n
Qu\u00e9 deben regular los operadores en la cadena de suministro ahora<\/h2>\n
El primer paso es poco llamativo: un registro honesto sobre qui\u00e9n, desde fuera, tiene acceso f\u00edsico o digital a la instalaci\u00f3n. De ello surgen cinco palancas que la ley exige.<\/p>\n
- \n
- Mapear el acceso.<\/strong> Todo tercero con acceso o capacidad de sistema debe incluirse en un registro actual, incluido el subcontratista.<\/li>\n
- Transferir las obligaciones al contrato.<\/strong> La fiabilidad, los canales de reporte y los derechos de inspecci\u00f3n deben quedar pactados en el contrato, no en una declaraci\u00f3n de intenci\u00f3n.<\/li>\n
- Controlar el acceso y la utilizaci\u00f3n.<\/strong> Derechos temporales, verificaciones de antecedentes para puestos de seguridad y mantenimiento remoto registrado.<\/li>\n
- Incluir la puesta en marcha.<\/strong> Los planes de emergencia y de continuidad del negocio deben contemplar la interrupci\u00f3n de un proveedor, no solo la propia.<\/li>\n
- Cerrar las rutas de notificaci\u00f3n.<\/strong> El plazo de 72 horas al BSI tambi\u00e9n se cuenta si un incidente llega a trav\u00e9s de un proveedor.<\/li>\n<\/ul>\n
El plazo no es una formalidad.<\/p>\n
\n\n17. marzo 2026<\/div>\nEntra en vigor la ley de infraestructuras cr\u00edticas (KRITIS-Dachgesetz)<\/div>\n<\/div>\n\n17. julio 2026<\/div>\nSe inicia el registro en la plataforma del Oficina Federal de Protecci\u00f3n Civil y Gesti\u00f3n de Desastres (BBK) y la Agencia Federal de Seguridad de la Informaci\u00f3n (BSI)<\/div>\n<\/div>\n\n+3 meses<\/div>\nObligaci\u00f3n de registro tras la clasificaci\u00f3n como instalaci\u00f3n cr\u00edtica<\/div>\n<\/div>\n<\/div>\nLos tres meses parecen un margen. En la pr\u00e1ctica, el tiempo se consume con lo que falta: una visi\u00f3n completa de los propios proveedores. Quien no tenga esta carta hoy, deber\u00eda dibujarla antes de la fecha, no despu\u00e9s.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfQu\u00e9 regula el KRITIS-Dachgesetz?<\/strong><\/summary>\n
Implementa la directiva UE-CER de la UE y establece un marco a nivel federal para la resiliencia f\u00edsica de instalaciones cr\u00edticas: obligaciones de notificaci\u00f3n, gesti\u00f3n de continuidad del negocio, seguridad f\u00edsica, fiabilidad del personal y gesti\u00f3n de crisis. Las obligaciones de TI de NIS2 no se ven afectadas por ello.<\/p>\n<\/details>\n
\n\u00bfA partir de cu\u00e1ndo deben los operadores registrarse?<\/strong><\/summary>\n
El registro en la plataforma conjunta de BBK y BSI ser\u00e1 posible a partir del 17. Juli 2026. Ser\u00e1 obligatorio a m\u00e1s tardar tres meses despu\u00e9s de la clasificaci\u00f3n como infraestructura cr\u00edtica.<\/p>\n<\/details>\n
\n\u00bfCaen los proveedores bajo los mismos requisitos?<\/strong><\/summary>\n
Los proveedores y t\u00e9cnicos de mantenimiento con acceso f\u00edsico o digital a la instalaci\u00f3n est\u00e1n sujetos a los mismos requisitos de integridad y fiabilidad que los empleados internos. El operador sigue siendo responsable, incluso cuando ha adquirido el servicio.<\/p>\n<\/details>\n
\n\u00bfC\u00f3mo se comporta la Ley del Techo respecto a NIS2?<\/strong><\/summary>\n
NIS2 y el BSIG cubren la seguridad inform\u00e1tica, la ley marco abarca la dimensi\u00f3n f\u00edsica y la resiliencia organizativa. Para muchos operadores, ambos reg\u00edmenes se aplican simult\u00e1neamente. Deben concebirse como un sistema de gobernanza, no como dos proyectos independientes.<\/p>\n<\/details>\n
\n\u00bfCu\u00e1l es el primer paso concreto?<\/strong><\/summary>\n
Un directorio completo de todos los externos con acceso a la instalaci\u00f3n, incluido el subcontratista. Sin este mapa no se pueden aclarar los contratos ni controlar de forma ordenada el acceso y la entrada.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>El riesgo de la cadena de suministro es un programa, no una lista de auditor\u00eda<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/geschaeftsfuehrung-nis2-dokumentationspflicht-bsig-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Lo que la direcci\u00f3n debe documentar seg\u00fan NIS2<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>Qu\u00e9 derechos de decisi\u00f3n del CISO deben estar regulados por escrito<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Geopol?tica y datacenters: lo que los CIO deben asegurar<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Reglamento de IA de la UE a partir de agosto de 2026: lo que las pymes deben etiquetar ahora<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT se encuentra con la nube: El cajero autom\u00e1tico se convierte en plataforma<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La Ley Marco KRITIS convierte la fiabilidad de los proveedores en obligaci\u00f3n del operador. Hoja de ruta de gobernanza hasta el registro.","protected":false},"author":50,"featured_media":22055,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"cadena de suministro cr\u00edtica","_yoast_wpseo_title":"El proveedor m\u00e1s d\u00e9bil abre la instalaci\u00f3n cr\u00edtica","_yoast_wpseo_metadesc":"La Ley Marco KRITIS incluye a proveedores con acceso a instalaciones cr\u00edticas. Qu\u00e9 deben regular los operadores antes del registro en julio de 2026.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261],"tags":[],"class_list":["post-22342","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es"],"evm_reading_time_minutes":9,"wpml_language":"es","wpml_translation_of":22054,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22342","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22342"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22342\/revisions"}],"predecessor-version":[{"id":22345,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22342\/revisions\/22345"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22055"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22342"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22342"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22342"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Transferir las obligaciones al contrato.<\/strong> La fiabilidad, los canales de reporte y los derechos de inspecci\u00f3n deben quedar pactados en el contrato, no en una declaraci\u00f3n de intenci\u00f3n.<\/li>\n
- El proveedor est\u00e1 dentro del \u00e1mbito de aplicaci\u00f3n.<\/strong> Los proveedores y t\u00e9cnicos de servicio con acceso f\u00edsico o digital est\u00e1n sujetos a los mismos requisitos de integridad y fiabilidad que los propios empleados.<\/li>\n