{"id":13892,"date":"2026-10-19T14:31:41","date_gmt":"2026-10-19T12:31:41","guid":{"rendered":"https:\/\/grupotecon.com\/delfos-sistemas-informaticos\/?p=13892"},"modified":"2026-10-19T14:32:15","modified_gmt":"2026-10-19T12:32:15","slug":"cybersecurity-act-2","status":"publish","type":"post","link":"https:\/\/grupotecon.com\/delfos-sistemas-informaticos\/blog-ciberseguridad\/cybersecurity-act-2\/","title":{"rendered":"Cybersecurity Act 2: La UE abre la puerta a excluir a proveedores tecnol\u00f3gicos de alto riesgo de infraestructuras cr\u00edticas"},"content":{"rendered":"\n
\n

La nueva Cybersecurity Act 2 plantea reforzar el control sobre las cadenas de suministro tecnol\u00f3gicas e introducir restricciones a determinados proveedores. La propuesta podr\u00eda obligar a sustituir componentes cr\u00edticos de redes de comunicaciones y transformar la gesti\u00f3n del riesgo de terceros en las organizaciones europeas.<\/p>\n<\/blockquote>\n\n\n\n

La Uni\u00f3n Europea avanza hacia un modelo de ciberseguridad en el que la evaluaci\u00f3n de los proveedores tecnol\u00f3gicos no depender\u00e1 exclusivamente de sus garant\u00edas t\u00e9cnicas, sino tambi\u00e9n de factores estrat\u00e9gicos como la dependencia tecnol\u00f3gica, la estructura de control empresarial y los posibles riesgos de injerencia extranjera.<\/p>\n\n\n\n

La Comisi\u00f3n Europea present\u00f3 el 20 de enero de 2026 una propuesta de revisi\u00f3n del Reglamento de Ciberseguridad, conocida como Cybersecurity Act 2, cuyo objetivo es reforzar la resiliencia de las infraestructuras cr\u00edticas, mejorar la seguridad de las cadenas de suministro TIC y ampliar las capacidades de la Agencia de la Uni\u00f3n Europea para la Ciberseguridad (ENISA).<\/p>\n\n\n\n

La iniciativa contin\u00faa su tramitaci\u00f3n legislativa. El Parlamento Europeo public\u00f3 un proyecto de informe el 18 de septiembre y registr\u00f3 nuevas enmiendas el 13 de octubre de 2026, manteniendo abierto el debate sobre el alcance de las medidas propuestas.<\/p>\n\n\n\n

Restricciones a proveedores de alto riesgo: \u00bfqu\u00e9 contempla la propuesta de Cybersecurity Act 2?<\/h2>\n\n\n\n

Uno de los elementos m\u00e1s relevantes de la Cybersecurity Act 2 es la creaci\u00f3n de un marco europeo para identificar y mitigar riesgos de seguridad asociados a proveedores de tecnolog\u00edas de la informaci\u00f3n y las comunicaciones.<\/p>\n\n\n\n

La propuesta permitir\u00eda a la Comisi\u00f3n Europea, mediante procedimientos y evaluaciones espec\u00edficos, identificar proveedores considerados de alto riesgo y establecer restricciones sobre la utilizaci\u00f3n de determinados componentes en activos tecnol\u00f3gicos cr\u00edticos.<\/p>\n\n\n\n

En el \u00e1mbito de las redes de comunicaciones electr\u00f3nicas m\u00f3viles, fijas y por sat\u00e9lite, el texto contempla la retirada progresiva de componentes suministrados por proveedores incluidos en las correspondientes listas de alto riesgo.<\/p>\n\n\n\n

Para las redes m\u00f3viles, la propuesta establece un plazo m\u00e1ximo de 36 meses desde la publicaci\u00f3n de la lista de proveedores de alto riesgo aplicable a dichas redes. Los plazos correspondientes a redes fijas y por sat\u00e9lite se concretar\u00edan posteriormente mediante actos de ejecuci\u00f3n.<\/p>\n\n\n\n

Estas medidas no constituyen una prohibici\u00f3n general e inmediata de proveedores tecnol\u00f3gicos. Su aplicaci\u00f3n depender\u00eda de la aprobaci\u00f3n definitiva del Reglamento, de la identificaci\u00f3n de los proveedores afectados y de las decisiones de ejecuci\u00f3n previstas en el texto.<\/p>\n\n\n\n

El riesgo de terceros adquiere una nueva dimensi\u00f3n<\/h2>\n\n\n\n

Desde la perspectiva de la gobernanza, la gesti\u00f3n de riesgos y el cumplimiento normativo (GRC), la iniciativa introduce un cambio de enfoque significativo.<\/p>\n\n\n\n

Hasta ahora, las organizaciones han concentrado gran parte de sus evaluaciones de proveedores en aspectos como las certificaciones de seguridad, las auditor\u00edas, las condiciones contractuales y la protecci\u00f3n de la informaci\u00f3n.<\/p>\n\n\n\n

La Cybersecurity Act 2 propone complementar estas evaluaciones con factores no t\u00e9cnicos, entre ellos las dependencias estrat\u00e9gicas, la estructura de propiedad y control de los proveedores y los riesgos asociados a posibles interferencias externas.<\/p>\n\n\n\n

En consecuencia, las organizaciones podr\u00edan tener que revisar sus modelos de evaluaci\u00f3n y contrataci\u00f3n tecnol\u00f3gica, especialmente cuando sus operaciones dependan de proveedores que suministran componentes esenciales para la continuidad del negocio.<\/p>\n\n\n\n

En consecuencia, las organizaciones podr\u00edan tener que revisar sus modelos de evaluaci\u00f3n y contrataci\u00f3n tecnol\u00f3gica, especialmente cuando sus operaciones dependan de proveedores que suministran componentes esenciales para la continuidad del negocio.<\/p>\n\n\n\n

Este planteamiento refuerza la necesidad de integrar los riesgos de la cadena de suministro en los sistemas corporativos de gesti\u00f3n de riesgos, vinculando las decisiones tecnol\u00f3gicas con los procesos de supervisi\u00f3n y gobierno empresarial.<\/p>\n\n\n\n

ENISA y la certificaci\u00f3n europea tambi\u00e9n ganan protagonismo<\/h2>\n\n\n\n

La propuesta no se limita a la gesti\u00f3n de proveedores de alto riesgo. Tambi\u00e9n contempla ampliar las funciones de ENISA y reformar el Marco Europeo de Certificaci\u00f3n de la Ciberseguridad.<\/p>\n\n\n\n

Entre sus objetivos se encuentra simplificar los procedimientos de certificaci\u00f3n, reforzar la cooperaci\u00f3n entre Estados miembros y facilitar que las organizaciones puedan utilizar determinadas certificaciones como instrumentos para demostrar su conformidad con requisitos regulatorios europeos.<\/p>\n\n\n\n

Asimismo, el paquete legislativo incluye una propuesta separada de modificaci\u00f3n de NIS2, orientada a clarificar determinadas obligaciones y reducir cargas administrativas.<\/p>\n\n\n\n

\u00bfC\u00f3mo deber\u00edan prepararse las organizaciones?<\/h3>\n\n\n\n

Aunque la Cybersecurity Act 2 todav\u00eda no ha sido aprobada, su evoluci\u00f3n representa una oportunidad para anticipar posibles cambios regulatorios.<\/p>\n\n\n\n

Desde el \u00e1mbito GRC, las organizaciones pueden comenzar por:<\/p>\n\n\n\n