¿Soy un prestador de servicios de confianza conforme a NIS2?
Los prestadores de servicios de confianza se sitúan en el sector 8 del Anexo I de NIS2. El artículo 2(2)(a)(ii) los incluye con independencia del tamaño, cualificados y no cualificados. El tamaño solo decide la categoría: los prestadores cualificados son siempre entidades esenciales. eIDAS se sitúa en paralelo y rige el propio servicio de confianza.
La versión breve
Un prestador de servicios de confianza es cualquiera que preste uno o más servicios de confianza según se definen en el artículo 3(16) del Reglamento eIDAS (UE) 910/2014: firmas electrónicas, sellos electrónicos, sellos de tiempo electrónicos, entrega electrónica certificada, certificados de autenticación de sitios web, o la conservación de cualquiera de estos. El sector 8 del Anexo I de NIS2 nombra explícitamente a los prestadores de servicios de confianza como parte de la Infraestructura Digital.
El artículo 2(2)(a)(ii) NIS2 acciona entonces una palanca que no se aplica a la mayoría de los demás sectores: los prestadores de servicios de confianza están dentro del ámbito de aplicación con independencia del tamaño. Los prestadores cualificados de servicios de confianza, según se definen en el artículo 3(20) de eIDAS, son además siempre entidades esenciales (artículo 3(1)(b) NIS2). Un TSP cualificado de dos personas que emite certificados cualificados para firmas electrónicas está vinculado del mismo modo que una AC de 500 personas. El umbral de mediana empresa del artículo 2(1) no los condiciona.
Los TSP no cualificados también están dentro del ámbito de aplicación, sea cual sea su tamaño. Un prestador no cualificado grande es una entidad esencial, uno más pequeño una entidad importante (artículo 3(1)(a) y 3(2) NIS2). En Alemania, el §28 BSIG convierte a los TSP cualificados en besonders wichtige Einrichtungen y a los demás TSP en wichtige Einrichtungen. Dos regímenes se ejecutan en paralelo en cualquier caso: eIDAS para el propio servicio de confianza, NIS2 para las obligaciones cibernéticas interorganizativas (formación de la dirección del artículo 20, notificación de incidentes significativos del §32 BSIG, medidas de gestión de riesgos del artículo 21).
Directiva NIS2 (2022/2555), Anexo I sector 8 (Infraestructura Digital)
Proveedores de puntos de intercambio de internet; Proveedores de servicios de DNS, excluidos los operadores de servidores raíz; Registros de nombres de dominio de primer nivel; Proveedores de servicios de computación en nube; Proveedores de servicios de centro de datos; Proveedores de redes de distribución de contenidos; Prestadores de servicios de confianza; Proveedores de redes públicas de comunicaciones electrónicas; Proveedores de servicios de comunicaciones electrónicas disponibles para el público
Verbatim del DO L 333/146. El sector 8 es la Infraestructura Digital. Los prestadores de servicios de confianza son uno de los tipos de entidad enumerados. La lista de sectores no separa cualificados de no cualificados; esa separación la hacen el artículo 3 NIS2 y eIDAS.
Artículo 2(2)(a)(ii) y 3(1)(b) NIS2 + Artículo 3(16) y 3(20) de eIDAS
Artículo 2(2) NIS2: Independientemente de su tamaño, la presente Directiva también se aplicará a las entidades de alguno de los tipos mencionados en los anexos I o II cuando: a) los servicios son prestados por: […] ii) prestadores de servicios de confianza; […] Artículo 3(1)(b) NIS2: prestadores cualificados de servicios de confianza y registros de nombres de dominio de primer nivel, así como proveedores de servicios de DNS, independientemente de su tamaño; Artículo 3(20) eIDAS: «prestador cualificado de servicios de confianza», un prestador de servicios de confianza que presta uno o varios servicios de confianza cualificados y al que el organismo de supervisión ha concedido la cualificación; Artículo 3(16) eIDAS (modificado por el Reglamento (UE) 2024/1183): «servicio de confianza», servicio electrónico prestado habitualmente a cambio de una remuneración, consistente en cualquiera de las actividades siguientes: a) la expedición de certificados de firma electrónica, certificados de sello electrónico, certificados de autenticación de sitios web o certificados para la prestación de otros servicios de confianza; […] n) la actividad de registro de datos electrónicos en un libro mayor electrónico.
Dos definiciones apiladas. El artículo 3(16) de eIDAS le indica qué cuenta como servicio de confianza. El artículo 3(20) le indica quién es un prestador cualificado: aquel al que el organismo de supervisión ha concedido la cualificación. NIS2 dice entonces: todo prestador de servicios de confianza está dentro con independencia de la plantilla o del volumen de negocios (artículo 2(2)(a)(ii)), y uno cualificado es siempre una entidad esencial (artículo 3(1)(b)).
§28 BSIG + Vertrauensdienstegesetz (Alemania)
El §28 BSIG transpone el ámbito de aplicación del Anexo I al derecho alemán y convierte a los prestadores cualificados de servicios de confianza en «besonders wichtige Einrichtungen» (§28(1) n.º 2) y a los demás prestadores de servicios de confianza en «wichtige Einrichtungen» (§28(2) n.º 1), con independencia del tamaño. La Vertrauensdienstegesetz (VDG) es la ley nacional de acompañamiento del Reglamento eIDAS; designa a la Bundesnetzagentur como órgano de supervisión de los servicios de confianza y opera la lista de confianza alemana.
El Reglamento eIDAS se aplica directamente sin transposición alemana. La VDG solo añade la maquinaria de supervisión. NIS2 se sitúa por separado por encima de ambos: el §28 BSIG sitúa a los TSP cualificados en el nivel más alto (besonders wichtige Einrichtung) y a los demás TSP en el nivel wichtige Einrichtung, con independencia del tamaño, con el BSI como regulador cibernético.
¿Presta un servicio de confianza?
Contraste su oferta con el artículo 3(16) de eIDAS. La lista cerrada es: firmas electrónicas, sellos electrónicos, sellos de tiempo electrónicos, servicios de entrega electrónica certificada, certificados de autenticación de sitios web, y la conservación de cualquiera de estos. El servicio se presta habitualmente a cambio de una remuneración. Si su oferta no encaja en ninguna de estas categorías, no es un TSP conforme a eIDAS, por mucha criptografía que despliegue.
¿Es el prestador o solo un usuario?
Un TSP emite u opera el servicio de confianza para otros. Una empresa que firma sus propias facturas con un servicio externo de firma cualificada es un usuario de ese servicio, no un TSP. Una consultoría que ayuda a un cliente a desplegar flujos de firma es también un usuario. La condición de prestador depende de si usted crea, valida, entrega o conserva el propio servicio de confianza, para otra persona, a cambio de dinero.
¿Cualificado o no cualificado?
Compruebe la lista de confianza nacional (en Alemania: la lista de confianza de la Bundesnetzagentur conforme a la VDG). Si figura en ella como prestador cualificado, es una entidad esencial con independencia del tamaño (artículo 3(1)(b) NIS2). Si no figura en ella, es no cualificado: sigue dentro del ámbito de aplicación con independencia del tamaño (artículo 2(2)(a)(ii)), como entidad esencial si es grande y como entidad importante en los demás casos. Los TSP de dos y tres personas son comunes en este sector, y todos están dentro del ámbito de aplicación.
El tamaño no decide el ámbito
El artículo 2(2) NIS2 enumera los casos en los que no se aplica la prueba del tamaño, y los prestadores de servicios de confianza están entre ellos (letra a), inciso ii)). Los servicios de confianza entraron en la lista porque el daño de un certificado cualificado comprometido es estructural: toda firma, sello o sello de tiempo emitido al amparo de él pierde su efecto jurídico. El tamaño del prestador no guarda relación con la magnitud del daño aguas abajo. Una AC de dos personas puede romper toda la cadena de firma de un Estado miembro. Por eso la prueba del tamaño se desactiva.
Los TSP cualificados ejecutan dos regímenes paralelos
El artículo 19 de eIDAS, que antes fijaba las obligaciones de seguridad de los servicios de confianza, fue suprimido por el artículo 42 NIS2 con efectos a partir del 18 de octubre de 2024. Las medidas de seguridad y la notificación de incidentes proceden ahora de NIS2. eIDAS sigue rigiendo el propio servicio: los TSP cualificados son auditados al menos cada 24 meses por un organismo de evaluación de la conformidad, y esa auditoría confirma también el cumplimiento del artículo 21 NIS2 (artículo 20(1) de eIDAS). NIS2 añade las obligaciones cibernéticas interorganizativas: formación de la dirección del artículo 20, medidas de gestión de riesgos del artículo 21, notificación de incidentes significativos del artículo 23. El artículo 4 NIS2 no desactiva NIS2 aquí. Ambos regímenes se aplican en su totalidad. El órgano de supervisión de eIDAS y la autoridad competente de NIS2 pueden ser distintos (en Alemania: la Bundesnetzagentur para eIDAS, el BSI para NIS2).
BSI / §28 BSIG (lado NIS2)
El BSI es la autoridad competente de NIS2. Opera el portal de registro del §33 BSIG, recibe las notificaciones de incidentes significativos del §32 BSIG y supervisa las medidas de gestión de riesgos del §30 BSIG. Los TSP cualificados aterrizan en el nivel «besonders wichtige Einrichtung» mediante el §28(1) BSIG, los demás TSP en el nivel «wichtige Einrichtung» mediante el §28(2), lo que significa una supervisión más estricta y los mismos plazos de notificación de incidentes que los operadores KRITIS.
Bundesnetzagentur (lado eIDAS)
La Bundesnetzagentur es el órgano de supervisión de los servicios de confianza conforme a la Vertrauensdienstegesetz. Opera la lista de confianza alemana, acredita la condición de cualificado, recibe los informes de evaluación de la conformidad de la auditoría de 24 meses conforme al artículo 20(1) de eIDAS. Cuando un incidente es a la vez un incidente significativo del §32 BSIG y una violación que los TSP cualificados deben notificar conforme al artículo 24(2), letra f ter), de eIDAS, notifica ambos, a ambas autoridades.
ENISA Technical Implementation Guidance + trabajo de la EUDI Wallet
ENISA publica la guía técnica de implementación del CIR, que también cubre a los prestadores de servicios de confianza, y redacta la base de ciberseguridad que alimenta las expectativas de los supervisores nacionales. El mismo organismo está redactando ahora el paquete de trabajo sobre servicios de confianza para la Cartera Europea de Identidad Digital, que amplía el perímetro de los TSP cualificados a partir de 2026.
Leyes nacionales de transposición
eIDAS es un Reglamento, por lo que las reglas de los servicios de confianza son uniformes en toda la UE. NIS2 es una Directiva, por lo que cada Estado miembro la transpone: NL mediante la Cyberbeveiligingswet, AT mediante el NISG, mientras que en FR la transposición sigue siendo un proyecto de ley ante el parlamento. El sector 8 del Anexo I y la regla del artículo 2(2)(a)(ii) con independencia del tamaño son idénticos en todos ellos. La autoridad competente para el lado NIS2 difiere de un país a otro.
Los servicios de confianza no cualificados están fuera de NIS2.
Falso. Los TSP no cualificados siguen estando en el sector 8 del Anexo I, y el artículo 2(2)(a)(ii) NIS2 los incluye con independencia del tamaño. La condición de cualificado solo decide la categoría. Un proveedor de sellos de tiempo no cualificado con 60 empleados está dentro de NIS2 como entidad importante; un prestador no cualificado grande es una entidad esencial.
eIDAS ya cubre la ciberseguridad, así que NIS2 no añade nada.
El artículo 19 de eIDAS, que antes fijaba la base de seguridad, fue suprimido por el artículo 42 NIS2 con efectos a partir del 18 de octubre de 2024. La base de seguridad procede ahora de NIS2. Los artículos 20, 21 y 23 de NIS2 añaden obligaciones interorganizativas: formación del órgano de dirección, el catálogo completo de gestión de riesgos desde la criptografía hasta la cadena de suministro, y la notificación de incidentes significativos conforme al §32 BSIG con una alerta temprana de 24 horas. La lex specialis del artículo 4 NIS2 no desactiva NIS2 para los servicios de confianza. Dos regímenes paralelos, ninguno sustituye al otro.
Somos demasiado pequeños para NIS2.
Para un prestador de servicios de confianza, el tamaño es la pregunta equivocada. El artículo 2(2)(a)(ii) le incluye con independencia de la plantilla, el volumen de negocios o el balance, sea cualificado o no. Una autoridad de certificación cualificada de dos personas está en el mismo nivel de NIS2 que una AC multinacional. La razón está aguas abajo: toda firma emitida al amparo de un certificado cualificado comprometido pierde su efecto jurídico, con independencia de quién la emitiera.
Caso típico: un TSP cualificado de 12 personas que emite certificados cualificados para firmas electrónicas, con un ciclo de evaluación de la conformidad eIDAS de 24 meses y una entrada en la lista de confianza nacional a través de la Bundesnetzagentur. El ámbito de aplicación de NIS2 es automático mediante el artículo 2(2)(a)(ii). El §28 BSIG sitúa a la empresa en el nivel «besonders wichtige Einrichtung». Dos reguladores, dos canales de notificación, una empresa.
Lo que hacen realmente los profesionales: tomar la evidencia de la auditoría del artículo 20(1) de eIDAS, que ya comprueba el artículo 21 NIS2, y reutilizarla para los controles pertinentes del artículo 21 NIS2 (criptografía, control de acceso, gestión de incidentes, continuidad de negocio). Ejecutar el registro del §33 BSIG ante el BSI. Añadir los elementos que eIDAS no cubre: formación de la dirección del artículo 20, riesgo de proveedores del artículo 21(2)(d), el canal de incidentes significativos del §32 BSIG. Los dos regímenes se solapan en criptografía y respuesta a incidentes; todo lo demás es adicional.
- Directiva (UE) 2022/2555 (NIS2), Anexo I sector 8, Artículo 2(2)(a)(ii), Artículo 3(1)(b) y Artículo 42: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Reglamento (UE) 910/2014 (eIDAS) modificado por el Reglamento (UE) 2024/1183, Artículo 3(16), 3(19), 3(20), Artículo 20(1) y Artículo 24: eur-lex.europa.eu/eli/reg/2014/910/oj
- Ley del BSI (BSIG), §28 (Anwendungsbereich), §32 (Meldepflichten) y §33 (Registrierung) en su versión modificada por la Ley de Implementación de NIS2 y de Refuerzo de la Ciberseguridad
- Vertrauensdienstegesetz (VDG): gesetze-im-internet.de/vdg
- Lista de confianza alemana de la Bundesnetzagentur conforme al artículo 22 de eIDAS
- ENISA Technical Implementation Guidance para el Reglamento de Ejecución (UE) 2024/2690, que cubre a los prestadores de servicios de confianza: enisa.europa.eu
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
