NextSupport
Desde el 1 de noviembre de 2025 está en vigor en la República Checa la nueva ley de ciberseguridad, la Ley n.º 264/2025 Sb. Es la versión checa de la directiva europea NIS2 y, en lugar de un centenar de instituciones, afecta a miles de empresas y organizaciones. Sin embargo, en torno a la ley circula mucha incertidumbre. Directores de colegio y médicos nos preguntan si tienen que notificar algo y si les amenazan multas millonarias. Aquí tiene una respuesta breve para quienes no tienen tiempo de leer la ley y sus decretos de desarrollo.
A quién afecta la ley
La ley no se dirige a los «ordenadores», sino a los servicios regulados. Los enumera el Decreto n.º 408/2025 Sb. sobre servicios regulados, en quince sectores, entre ellos energía, transporte, industria, sanidad, infraestructura digital, residuos y administración pública. La ley funciona según el principio de autoidentificación: nadie le va a escribir, tiene que valorar usted mismo si le afecta.
En la mayoría de los servicios, además del sector, decide el tamaño. En general, la ley afecta a medianas y grandes empresas, es decir, a las que tienen:
- 50 o más empleados, o
- un volumen de negocio anual y un balance total superiores a 10 millones de euros.
Algunos servicios están regulados con independencia del tamaño, por ejemplo los proveedores de determinados servicios de comunicaciones electrónicas o las entidades de infraestructura crítica. Además, el NÚKIB (Agencia Nacional Checa de Seguridad Cibernética y de la Información) puede incluir también a una entidad más pequeña si su servicio es fundamental para el Estado.
Consultas médicas y farmacias
La sanidad figura en la lista, con el servicio «prestación de asistencia sanitaria». Sin embargo, una consulta independiente o una farmacia con unos pocos empleados normalmente no cumple la condición de tamaño y, por tanto, la ley no le afecta.
Cuidado con una trampa: en el tamaño se cuentan también las empresas vinculadas y asociadas. Si la consulta o la farmacia pertenece a un grupo de empresas con un propietario común, se suman los empleados y el volumen de negocio de todo el grupo. Así, una «pequeña farmacia» puede convertirse en una mediana empresa. Por eso, las policlínicas, los centros sanitarios más grandes y las cadenas de farmacias deben revisarlo con atención.
Colegios
El NÚKIB lo dice con claridad: la educación por sí sola no es un servicio regulado. Un colegio de primaria o una escuela infantil normal no está, por tanto, sujeto a la ley. La excepción sería un colegio que preste además alguno de los servicios regulados, algo muy improbable en un colegio normal de titularidad municipal.
Eso no significa que la ciberseguridad no afecte a los colegios. Los colegios tratan datos personales de niños y padres conforme al RGPD, y los ataques de ransomware contra colegios son habituales.
Pequeñas empresas
Una empresa de menos de 50 empleados y con un volumen de negocio inferior a 10 millones de euros normalmente no está sujeta a la ley, salvo que preste alguno de los servicios excepcionales. Pero puede afectarle de forma indirecta. Los clientes regulados deben vigilar también la seguridad de sus proveedores, de modo que en los contratos y licitaciones aparecen requisitos sobre copias de seguridad, gestión de accesos o notificación de incidentes. Si suministra a un hospital, al sector energético o a una gran empresa industrial, cuente con ello.
Cómo comprobarlo
- Haga nuestro test sencillo. En un minuto le dirá si debe prestar atención.
- Para una valoración vinculante, utilice la calculadora y la guía de autoidentificación del Portal del NÚKIB. Es la herramienta oficial de la agencia.
- Si no está seguro, pregunte a un abogado o directamente al NÚKIB. Conviene tener la valoración por escrito.
Qué pasa si la ley le afecta
- Notificación en el Portal del NÚKIB en un plazo de 60 días desde el momento en que cumpla las condiciones. Quien ya las cumplía cuando la ley entró en vigor debía hacerlo antes de finales de 2025. Si no lo hizo, no lo aplace más.
- Régimen de obligaciones inferiores o superiores. La mayoría de las empresas recién reguladas entrarán en el régimen inferior, que exige medidas básicas, pero realmente aplicadas.
- Un año para implantar las medidas desde la notificación de la resolución de registro: control de accesos, copias de seguridad, actualizaciones, protección contra código malicioso, inventario de activos, formación del personal y un procedimiento para gestionar incidentes.
- Notificación de incidentes. Un incidente significativo debe notificarse en un plazo de 24 horas desde su detección y, en 72 horas, hay que enviar una notificación más detallada.
- Responsabilidad de la dirección. De la ciberseguridad responde el órgano de administración; no se puede «delegar en el informático».
Las multas son elevadas: en el régimen inferior, hasta 175 millones de coronas checas o el 1,4 % del volumen de negocio. Pero el objetivo de la agencia no es castigar a quienes se esfuerzan. La peor estrategia es no hacer nada y esperar que nadie se entere.
Las medidas compensan incluso sin la ley
La mayor parte de lo que exige la ley es simplemente buena práctica: una copia de seguridad que funcione, verificada y fuera del edificio, sistemas actualizados (véase el fin de Windows 10), contraseñas seguras con verificación en dos pasos, una red separada para invitados y una visión clara de quién tiene acceso a qué. Una consulta o un colegio que tenga todo esto está mejor preparado que muchas empresas reguladas.
¿La ley le afecta o no está seguro? Revisamos con usted la autoidentificación y preparamos la parte técnica de las medidas, desde las copias de seguridad hasta la notificación de incidentes. Póngase en contacto con nosotros.
Aviso: este artículo es un resumen general, no asesoramiento jurídico. La valoración vinculante de su caso corresponde al NÚKIB o a un abogado.