La Directiva NIS2 (UE 2022/2555) amplía considerablemente el ámbito de la regulación de ciberseguridad en la UE. Para Malta, esto supone un aumento sustancial del número de organizaciones sujetas a requisitos obligatorios de ciberseguridad, obligaciones de notificación de incidentes y normas de responsabilidad de la dirección. Tanto si opera en servicios financieros, iGaming, infraestructura digital, sanidad o cualquier otro sector, es probable que NIS2 se aplique a su organización.
Malta y la transposición de NIS2
Los Estados miembros de la UE debían transponer la Directiva NIS2 al derecho nacional antes del 17 de octubre de 2024. Malta ha transpuesto la directiva mediante legislación nacional que designa a la Malta Information Technology Agency (MITA) como autoridad competente central para la ciberseguridad. MITA, dependiente de la Oficina del Primer Ministro, es responsable de implementar los requisitos de NIS2, operar MaltaCERT (el CSIRT nacional) y coordinar la respuesta nacional a incidentes.
Qué organizaciones en Malta están afectadas
Entidades Esenciales (EE)
Las entidades esenciales están sujetas a supervisión ex-ante proactiva con las sanciones más elevadas (hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial). Los sectores clasificados como esenciales en Malta incluyen:
- Energía (electricidad, petróleo, gas, calefacción y refrigeración urbana, hidrógeno)
- Transporte (aéreo, ferroviario, marítimo, por carretera)
- Banca e infraestructura del mercado financiero
- Sector sanitario (hospitales, laboratorios, fabricantes farmacéuticos)
- Agua potable y aguas residuales
- Infraestructura digital (proveedores DNS, computación en la nube, centros de datos, CDN)
- Gestión de servicios TIC (MSP y MSSP)
- Administración pública (gobierno central)
- Espacio
Entidades Importantes (EI)
Las entidades importantes están sujetas a supervisión ex-post reactiva con límites de sanciones inferiores (hasta 7 millones de euros o el 1,4 % del volumen de negocio anual mundial). Los sectores incluyen servicios postales y de mensajería, gestión de residuos, producción de alimentos, fabricación y proveedores digitales.
Por qué NIS2 es especialmente relevante para Malta
Malta alberga una de las mayores concentraciones de empresas de iGaming y juego en línea de Europa, reguladas por la Malta Gaming Authority (MGA). Muchos de estos operadores dependen de infraestructura digital compleja, entornos en la nube y proveedores de tecnología externos, lo que los incluye en el ámbito de NIS2 como proveedores de servicios digitales o entidades de gestión de servicios TIC.
El sector de servicios financieros de Malta —que comprende empresas de inversión, bancos, aseguradoras e instituciones de pago reguladas por la MFSA— se enfrenta a obligaciones simultáneas bajo NIS2 y DORA.
Obligaciones fundamentales de NIS2
El artículo 21 de NIS2 establece las medidas mínimas de gestión de riesgos de ciberseguridad:
- Análisis de riesgos y políticas de seguridad de los sistemas de información
- Gestión de incidentes — detección, análisis, contención y recuperación
- Continuidad del negocio — gestión de copias de seguridad, recuperación ante desastres y gestión de crisis
- Seguridad de la cadena de suministro — seguridad en las relaciones con proveedores y prestadores de servicios directos
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas de información
- Prácticas básicas de ciberhigiene y formación en ciberseguridad
- Políticas y procedimientos sobre el uso de criptografía y cifrado
- Uso de autenticación multifactor
Obligaciones de notificación de incidentes
- Alerta temprana — en un plazo de 24 horas desde que se tenga conocimiento de un incidente significativo
- Notificación del incidente — en un plazo de 72 horas con una valoración inicial de la gravedad e impacto
- Informe final — en el plazo de un mes tras la notificación del incidente
Responsabilidad de la dirección según NIS2
Según el artículo 20, los miembros del órgano de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación y completar formación en ciberseguridad. Los directivos individuales pueden ser considerados personalmente responsables en caso de incumplimiento.
Alcanzar la preparación para NIS2 en Malta
- Determinar la clasificación: Confirmar si su organización se clasifica como entidad esencial o importante
- Registrarse ante MITA: Una vez establecidos los mecanismos de registro
- Realizar una evaluación de brechas: Medir su postura actual de ciberseguridad frente a los requisitos del artículo 21 de NIS2
- Actualizar los procedimientos de respuesta a incidentes: Integrar los plazos de notificación de 24h/72h/1 mes y establecer contacto con MaltaCERT
- Involucrar al consejo: Garantizar la aprobación de la dirección y las formaciones pertinentes
- Reforzar la seguridad de la cadena de suministro: Evaluar las prácticas de seguridad de los principales proveedores
- Implementar MFA y cifrado: Requisitos explícitos del artículo 21(2)(j)
Conclusión
NIS2 representa un cambio fundamental en la regulación de ciberseguridad para Malta. Las organizaciones en los sectores de iGaming, servicios financieros, infraestructura digital y tecnología —que forman la columna vertebral de la economía de Malta— deben demostrar programas de ciberseguridad estructurados y aprobados por el consejo.