Cybersecurity Act 2: La UE abre la puerta a excluir a proveedores tecnológicos de alto riesgo de infraestructuras críticas
La nueva Cybersecurity Act 2 plantea reforzar el control sobre las cadenas de suministro tecnológicas e introducir restricciones a determinados proveedores. La propuesta podría obligar a sustituir componentes críticos de redes de comunicaciones y transformar la gestión del riesgo de terceros en las organizaciones europeas.
La Unión Europea avanza hacia un modelo de ciberseguridad en el que la evaluación de los proveedores tecnológicos no dependerá exclusivamente de sus garantías técnicas, sino también de factores estratégicos como la dependencia tecnológica, la estructura de control empresarial y los posibles riesgos de injerencia extranjera.
La Comisión Europea presentó el 20 de enero de 2026 una propuesta de revisión del Reglamento de Ciberseguridad, conocida como Cybersecurity Act 2, cuyo objetivo es reforzar la resiliencia de las infraestructuras críticas, mejorar la seguridad de las cadenas de suministro TIC y ampliar las capacidades de la Agencia de la Unión Europea para la Ciberseguridad (ENISA).
La iniciativa continúa su tramitación legislativa. El Parlamento Europeo publicó un proyecto de informe el 18 de septiembre y registró nuevas enmiendas el 13 de octubre de 2026, manteniendo abierto el debate sobre el alcance de las medidas propuestas.
Restricciones a proveedores de alto riesgo: ¿qué contempla la propuesta de Cybersecurity Act 2?
Uno de los elementos más relevantes de la Cybersecurity Act 2 es la creación de un marco europeo para identificar y mitigar riesgos de seguridad asociados a proveedores de tecnologías de la información y las comunicaciones.
La propuesta permitiría a la Comisión Europea, mediante procedimientos y evaluaciones específicos, identificar proveedores considerados de alto riesgo y establecer restricciones sobre la utilización de determinados componentes en activos tecnológicos críticos.
En el ámbito de las redes de comunicaciones electrónicas móviles, fijas y por satélite, el texto contempla la retirada progresiva de componentes suministrados por proveedores incluidos en las correspondientes listas de alto riesgo.
Para las redes móviles, la propuesta establece un plazo máximo de 36 meses desde la publicación de la lista de proveedores de alto riesgo aplicable a dichas redes. Los plazos correspondientes a redes fijas y por satélite se concretarían posteriormente mediante actos de ejecución.
Estas medidas no constituyen una prohibición general e inmediata de proveedores tecnológicos. Su aplicación dependería de la aprobación definitiva del Reglamento, de la identificación de los proveedores afectados y de las decisiones de ejecución previstas en el texto.
El riesgo de terceros adquiere una nueva dimensión
Desde la perspectiva de la gobernanza, la gestión de riesgos y el cumplimiento normativo (GRC), la iniciativa introduce un cambio de enfoque significativo.
Hasta ahora, las organizaciones han concentrado gran parte de sus evaluaciones de proveedores en aspectos como las certificaciones de seguridad, las auditorías, las condiciones contractuales y la protección de la información.
La Cybersecurity Act 2 propone complementar estas evaluaciones con factores no técnicos, entre ellos las dependencias estratégicas, la estructura de propiedad y control de los proveedores y los riesgos asociados a posibles interferencias externas.
En consecuencia, las organizaciones podrían tener que revisar sus modelos de evaluación y contratación tecnológica, especialmente cuando sus operaciones dependan de proveedores que suministran componentes esenciales para la continuidad del negocio.
En consecuencia, las organizaciones podrían tener que revisar sus modelos de evaluación y contratación tecnológica, especialmente cuando sus operaciones dependan de proveedores que suministran componentes esenciales para la continuidad del negocio.
Este planteamiento refuerza la necesidad de integrar los riesgos de la cadena de suministro en los sistemas corporativos de gestión de riesgos, vinculando las decisiones tecnológicas con los procesos de supervisión y gobierno empresarial.
ENISA y la certificación europea también ganan protagonismo
La propuesta no se limita a la gestión de proveedores de alto riesgo. También contempla ampliar las funciones de ENISA y reformar el Marco Europeo de Certificación de la Ciberseguridad.
Entre sus objetivos se encuentra simplificar los procedimientos de certificación, reforzar la cooperación entre Estados miembros y facilitar que las organizaciones puedan utilizar determinadas certificaciones como instrumentos para demostrar su conformidad con requisitos regulatorios europeos.
Asimismo, el paquete legislativo incluye una propuesta separada de modificación de NIS2, orientada a clarificar determinadas obligaciones y reducir cargas administrativas.
¿Cómo deberían prepararse las organizaciones?
Aunque la Cybersecurity Act 2 todavía no ha sido aprobada, su evolución representa una oportunidad para anticipar posibles cambios regulatorios.
Desde el ámbito GRC, las organizaciones pueden comenzar por:
- Identificar proveedores y activos críticos, documentando las dependencias tecnológicas que podrían comprometer la continuidad de sus operaciones.
- Reforzar las evaluaciones de riesgo de terceros, incorporando factores de concentración, dependencia y exposición a riesgos no técnicos.
- Revisar los contratos tecnológicos, prestando especial atención a las garantías de continuidad, sustitución de proveedores y capacidad de auditoría.
- Desarrollar planes de contingencia, que permitan afrontar posibles restricciones o necesidades de sustitución de componentes sin comprometer servicios esenciales.
Estas actuaciones constituyen medidas preventicas recomendables, no nuevas obligaciones exigibles derivadas de una norma que sigue en tramitación.
La gobernanza tecnológica, una cuestión estratégica
La revisión del Reglamento de Ciberseguridad refleja una evolución en la manera en que Europa pretende abordar los riesgos digitales: la seguridad no depende únicamente de la robustez de los sistemas, sino también de quién proporciona la tecnología, bajo qué condiciones y con qué garantías de continuidad.
El Comité Económico y Social Europeo ya ha destacado la importancia de acompañar las posibles restricciones con planes de transición proporcionados, capaces de evitar interrupciones operativas y costes excesivos para las organizaciones.
La principal conclusión para los responsables de GRC es que gestionar el riesgo tecnológico ya no consiste únicamente en comprobar si un proveedor es seguro, sino también en evaluar hasta qué punto la organización puede seguir operando si deja de poder utilizarlo.
La Cybersecurity Act 2 continúa siendo una propuesta legislativa, pero su tramitación sitúa la resiliencia de la cadena de suministro y la gobernanza de terceros entre las cuestiones centrales del futuro marco europeo de ciberseguridad.
La nueva frontera de la ciberseguridad no es solo proteger la tecnología, sino garantizar que las organizaciones puedan operar cuando sus proveedores se conviertan en un riesgo.
Para más información contacta con nuestro equipo de expertos.
