Estado de NIS 2 en Chipre
Lo que exige la directiva, cómo la está transponiendo Chipre y dónde encaja la DSA.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluido Chipre, con un nivel mínimo uniforme para las entidades esenciales e importantes. Chipre debe elevar ese mínimo a la legislación chipriota y supervisarlo a su amparo.
Chipre no transpuso NIS 2 en el plazo del 17 de octubre de 2024. La Comisión Europea envió a Chipre un dictamen motivado el 7 de mayo de 2025 por no notificar la transposición completa. La información chipriota apunta a la Ley modificadora 60(I)/2025, que actualiza la preexistente Ley sobre la Seguridad de las Redes y Sistemas de Información 89(I)/2020. Los lectores deberían verificar la referencia exacta del boletín frente al Boletín Oficial de Chipre antes de basarse en ella para una presentación.
La Autoridad de Seguridad Digital (DSA, Αρχή Ψηφιακής Ασφάλειας) es la autoridad competente. El CSIRT nacional CSIRT-CY opera junto a ella. La mecánica del registro y la orientación sectorial aún se están publicando, y los detalles sobre el registro de entidades no estaban finalizados en los materiales públicos de la DSA que revisamos.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluido el criterio de tamaño y sector para las entidades esenciales e importantes.
Acto de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Chipre, sin necesidad de transposición chipriota.
Transposición chipriota
Ley 89(I)/2020 sobre la Seguridad de las Redes y Sistemas de Información, modificada por la Ley 60(I)/2025
El marco chipriota de NIS 2. La ley de 2020 transpuso originalmente NIS 1. Las fuentes públicas indican que fue modificada en 2025 para incorporar las obligaciones de NIS 2 a la legislación chipriota. La Comisión aún consideraba la transposición incompleta a fecha de 7 de mayo de 2025, por lo que se esperan medidas secundarias y orientación de la DSA.
Ley 89(I)/2020 modificada
La Ley chipriota de 2020 sobre la Seguridad de las Redes y Sistemas de Información es la norma portadora. Las referencias públicas indican que se está utilizando una ley modificadora de 2025 (60(I)/2025) para incorporar las obligaciones de NIS 2 a la legislación chipriota. El texto exacto, las definiciones de entidades esenciales e importantes, las potestades de supervisión de la DSA, los plazos de notificación y las sanciones deberían comprobarse frente al Boletín Oficial de Chipre antes de cualquier presentación.
DSA como autoridad competente
La Autoridad de Seguridad Digital (DSA) actúa como autoridad competente chipriota en materia de ciberseguridad y figura nombrada en la página de país de NIS 2 de la Comisión Europea. CSIRT-CY opera como el CSIRT nacional y comparte ubicación con la DSA. Los reguladores sectoriales conservan su papel donde se aplica la lex specialis, en particular para el sector financiero en virtud de DORA.
Los plazos de la UE siguen aplicándose
Chipre incumplió el plazo de transposición del 17 de octubre de 2024. Una vez que la legislación chipriota se ponga al día, el calendario de la directiva se traslada: identificación de las entidades conforme al artículo 27 de NIS 2, alerta temprana en un plazo de 24 horas, notificación del incidente en un plazo de 72 horas e informe final en un plazo de un mes. Hasta que las normas chipriotas estén plenamente en vigor, las obligaciones de nivel de la directiva siguen siendo la referencia.
En Chipre se aplica la legislación chipriota
Las actividades en territorio chipriota se rigen por la transposición chipriota. Una matriz alemana con una filial chipriota lee la Ley 89(I)/2020 (modificada) para esa filial, no el BSIG. Las obligaciones de nivel de la directiva son las mismas. El procedimiento, el canal de registro y las sanciones residen en la legislación chipriota.
Chipre no puede situarse por debajo del mínimo de la UE
La directiva es una armonización mínima. Chipre puede ir más allá. Chipre no puede situarse por debajo de la directiva, ni en las obligaciones para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección. Un dictamen motivado de la Comisión solo agudiza ese punto.
DSA
La Autoridad de Seguridad Digital es la autoridad competente chipriota para NIS 2 y el contacto nombrado en la página de país de la Comisión Europea. Se sitúa administrativamente cerca de la Oficina del Comisionado de Regulación de las Comunicaciones Electrónicas y Postales. Los detalles operativos sobre el registro de inscripción no estaban finalizados en los materiales que revisamos.
CSIRT-CY
El CSIRT nacional chipriota. Comparte ubicación con la DSA en Nicosia. Actúa como punto de contacto técnico para la notificación de incidentes y la coordinación transfronteriza.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y coordina a nivel transfronterizo. No es supervisor de las entidades chipriotas. Eso corresponde a la DSA.
Chipre está en la UE, así que podemos aplicar sin más las reglas del BSIG alemán a nuestras operaciones chipriotas.
Las obligaciones de nivel de la directiva son idénticas, pero la norma portadora, la autoridad competente, el canal de registro y el régimen sancionador son chipriotas. Una filial chipriota notifica a la DSA y a CSIRT-CY, no al BSI. La política interna de grupo puede ser común, las presentaciones no.
Chipre no ha transpuesto NIS 2, así que no tenemos nada que hacer hasta que la ley se finalice.
La directiva es el mínimo, y el calendario de incidentes de 24 horas, 72 horas y un mes se aplica como obligación de la UE con independencia de en qué punto del ciclo de transposición se encuentre Chipre. El dictamen motivado de la Comisión del 7 de mayo de 2025 aumenta la presión sobre los operadores chipriotas, no el margen. Construya ya el registro de obligaciones frente a la directiva e incorpore las especificidades chipriotas a medida que se publiquen.
No somos un operador de infraestructuras críticas chipriotas, así que NIS 2 no se nos aplica en Chipre.
El ámbito de NIS 2 en Chipre lo fijan los Anexos I y II de la directiva más el criterio de tamaño, no la antigua lista chipriota de infraestructuras críticas. Muchos proveedores medianos de servicios digitales, servicios gestionados, fabricación y gestión de residuos acaban en el ámbito aunque nunca figuraran en un registro chipriota de infraestructuras críticas. Compruebe la aplicabilidad frente a la directiva.
La mayoría de los operadores chipriotas que vemos siguen tratando NIS 2 como un futuro problema de legislación chipriota. Eso es medio cierto. La norma portadora avanza despacio. Las obligaciones de la directiva no. Los órganos de dirección en Chipre responden de la aprobación de la gestión de riesgos y de su propia formación en el momento en que la legislación chipriota entra plenamente en vigor, y posiblemente ya hoy a través de la directiva que respalda una transposición retrasada.
El paso práctico es el mismo que en toda la UE: comprobar la aplicabilidad frente a la directiva, prepararse para registrarse una vez que se publique el mecanismo chipriota, establecer las cuatro obligaciones continuas (mantener actualizados los datos de registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión por el órgano de dirección) y documentar el mínimo. La DSA y CSIRT-CY son los puntos de contacto ya establecidos.
Construimos el registro de obligaciones de NIS 2 a nivel de la UE, no sobre una única transposición nacional. La misma lista de comprobación encaja con una filial chipriota en virtud de la Ley 89(I)/2020 modificada, una matriz alemana en virtud del BSIG y una hermana neerlandesa en virtud de la Cyberbeveiligingswet. Las referencias a los artículos cambian por país, las obligaciones sustantivas no.
Para el ámbito chipriota, empiece con la aplicabilidad, luego el calendario de incidentes, las cláusulas de cadena de suministro y la firma del órgano de dirección. Donde la DSA publique orientación sectorial, la enlazaremos. No la copiaremos.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Comisión Europea, página de país de la Directiva NIS 2 Chipre, digital-strategy.ec.europa.eu
- Ley 89(I)/2020 sobre la Seguridad de las Redes y Sistemas de Información, modificada (según se informa, por la Ley 60(I)/2025), Boletín Oficial de Chipre
- Autoridad de Seguridad Digital (DSA), Αρχή Ψηφιακής Ασφάλειας, dsa.gov.cy
- CSIRT-CY, csirt.cy
- Dictamen motivado de la Comisión de 7 de mayo de 2025 sobre la no notificación de la transposición de NIS 2 por parte de Chipre