La Ley 22/2022, de 9 de junio, obliga a las entidades esenciales e importantes de los sectores de sus anexos (energía, banca, salud, infraestructuras digitales y otros) de 50 personas o diez millones de euros, y a algunas sin mínimo de tamaño. Exige gestionar riesgos, designar un delegado de seguridad y notificar incidentes. Hay una reforma en proyecto.
Qué ley es y desde cuándo se aplica
El nombre oficial es Ley 22/2022, de 9 de junio, de medidas para la seguridad de las redes y de los sistemas de información. El Consell General la aprobó el 9 de junio de 2022 y se publicó en el BOPA n.º 76, de 22 de junio de 2022. Entró en vigor al día siguiente, el 23 de junio de 2022, pero el capítulo de supervisión y el régimen sancionador lo hacen a los dos años de esa entrada en vigor, es decir, el 23 de junio de 2024 (disposición final cuarta). La exposición de motivos explica que se basa en la Directiva (UE) 2016/1148, la primera directiva europea de seguridad de redes, adaptada a Andorra.
Intervienen tres organismos. La Agencia Nacional de Ciberseguridad (ANC-AD) supervisa la mayoría de los sectores y es el punto de contacto nacional. La Autoridad Financiera Andorrana (AFA) supervisa las entidades financieras y los mercados financieros. El CSIRT-AD es el equipo de respuesta a incidentes que recibe las notificaciones (artículos 6 y 8).
A quién obliga
La ley distingue entre entidades esenciales (anexo I) e importantes (anexo II).
- Esenciales: energía, transporte, entidades financieras, mercados financieros, sanidad (incluye hospitales, clínicas privadas y centros de atención primaria), agua, administración pública e infraestructuras digitales: proveedores de DNS, de computación en la nube, de centros de datos, de redes de distribución de contenidos, de servicios de confianza y de comunicaciones electrónicas.
- Importantes: gestión de residuos, correos y mensajería, productos químicos, alimentos, fabricación de determinados productos (sanitarios, informáticos, eléctricos, maquinaria, vehículos) y proveedores de servicios digitales (mercados en línea, motores de búsqueda, redes sociales).
El tamaño también cuenta. Con carácter general, la ley se aplica a las entidades de 50 personas o más, o con más de diez millones de euros de volumen de negocios o de balance (artículo 2.1). No hay mínimo de tamaño para las redes y servicios de comunicaciones electrónicas, los servicios de confianza, los registros de dominio de primer nivel y los proveedores de DNS, ni para la administración pública (artículo 2.2).
Turismo, comercio y servicios profesionales no aparecen como sector en los anexos. Eso no significa que queden al margen: una entidad esencial o importante debe gestionar la seguridad de sus proveedores y garantizar que cumplen las medidas necesarias (artículos 12.1, 13.3.e y 14.1.a). Un hotel, un despacho o una tienda que trabaje para un banco o una clínica puede recibir peticiones de documentación, aunque la ley no le obligue directamente.
La ANC-AD debe establecer la lista de servicios esenciales e importantes (artículo 6.4.b) y mantener un registro de entidades (artículo 25.4.b). No hemos localizado el aviso con esa lista en una fuente oficial; hay que consultarlo directamente con la ANC-AD.
Qué exige la ley a una entidad esencial o importante
- Identificarse ante la autoridad competente y mantener los datos al día (artículo 10).
- Gestionar los riesgos con medidas técnicas y organizativas proporcionadas: política de seguridad, gestión de incidentes, continuidad, seguridad de la cadena de suministro, pruebas y auditoría, criptografía (artículos 12 y 13). Las medidas se formalizan en una declaración de aplicabilidad que se revisa cada tres años, referida al Esquema Nacional de Seguridad; no hemos localizado el texto de ese esquema publicado.
- Designar un delegado de la seguridad de la información (DSI) y un suplente, y comunicar su contacto en un mes (artículo 18). Puede ser de plantilla o ejercer por contrato de servicios (artículo 18.7).
- Notificar los incidentes significativos al CSIRT-AD: una notificación inicial en 24 horas desde que se tenga constancia, notificaciones intermedias si se piden, y un informe final en un mes (artículo 15.4). El artículo 15.1 fija también un límite de 72 horas. Las indicaciones del CSIRT-AD para resolver el incidente son de aplicación vinculante (artículo 14.1.b).
- Implicar a la dirección. El órgano de dirección aprueba las medidas de riesgo, supervisa su aplicación, responde de ellas y recibe formación periódica (artículo 17).
Un incidente es significativo si ha causado o puede causar perturbaciones operativas o perjuicios económicos sustanciales, o si afecta a otras personas físicas o jurídicas con perjuicios considerables (artículo 15.3). Notificar no sustituye a la denuncia penal (artículo 15.7) ni a las comunicaciones que hagan falta a otros organismos (artículo 15.11), como la notificación a la Agencia Andorrana de Protección de Datos de una violación de datos personales (artículo 36 de la Ley 29/2021).
Supervisión y sanciones
Las entidades esenciales pueden ser inspeccionadas y auditadas de forma periódica; las importantes, a posteriori si hay indicios de incumplimiento (artículos 23 y 24). Si una entidad esencial no ejecuta las medidas que se le exigen, la autoridad puede suspender la certificación y prohibir temporalmente que las personas responsables ejerzan funciones de dirección.
Las multas son (artículo 36):
| Gravedad | Importe |
|---|---|
| Muy grave | de 30.001 a 100.000 euros |
| Grave | de 15.001 a 30.000 euros |
| Leve | amonestación o de 500 a 15.000 euros |
Son infracciones muy graves, entre otras, no remitir la información de identificación, no corregir las deficiencias tras un requerimiento, incumplir de forma reiterada (a partir de la segunda vez) la notificación de incidentes con efectos perturbadores significativos, y no resolver incidentes con ese efecto (artículo 34.2). Para graduarlas se tiene en cuenta, entre otros factores, la intencionalidad, los daños, el número de usuarios afectados y el volumen de facturación (artículo 37).
Comparación con la NIS2 para empresas que operan también en la UE
Andorra no está en la UE, de modo que la Directiva (UE) 2022/2555 (NIS2) no es derecho andorrano. Sustituyó a la directiva de 2016, debía transponerse antes del 17 de octubre de 2024 y se aplica desde el 18 de octubre de 2024 (artículo 41), con una ley en cada Estado miembro.
| Ley 22/2022 (Andorra) | NIS2 (UE) | |
|---|---|---|
| Quién | Entidades esenciales e importantes de los anexos, con 50 personas o diez millones de euros; sin mínimo en telecomunicaciones, servicios de confianza, DNS y registros de dominio | Entidades de los anexos I y II que sean medianas o grandes empresas; sin mínimo en los mismos casos y en algunos más (artículo 2) |
| Notificación | 24 horas inicial, informe final en un mes (y límite de 72 horas en el artículo 15.1) | Alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes (artículo 23) |
| Dirección | Aprueba, supervisa y responde; formación (artículo 17) | Igual (artículo 20) |
| Multas | De 500 a 100.000 euros | Máximo de al menos 10 millones de euros o el 2 % del volumen de negocios para las esenciales; 7 millones o el 1,4 % para las importantes (artículo 34) |
| Supervisión | ANC-AD y AFA | Autoridades designadas en cada Estado miembro |
Para una empresa andorrana hay dos vías de entrada. La primera es tener un establecimiento en la UE: la jurisdicción depende del Estado donde se establece la entidad (artículo 26.1), y una filial en España o Francia de un sector de los anexos puede quedar bajo la ley nacional correspondiente. La segunda es ser proveedor de una entidad afectada: la NIS2 exige tratar la seguridad de la cadena de suministro (artículo 21.2.d), y los clientes pedirán evidencias. A los proveedores de DNS, nube, centros de datos, servicios gestionados y de seguridad gestionada que no están en la UE pero ofrecen servicios en ella, la directiva les exige designar un representante en la Unión (artículo 26.3). El estado de la transposición en cada país debe consultarse en la ley nacional.
Una reforma en proyecto
El 23 de junio de 2026, el Consejo de Ministros aprobó un proyecto de ley de modificación de la Ley 22/2022 (nota del Govern d’Andorra de la misma fecha). Según la nota, las entidades críticas deberán disponer de un centro de operaciones de seguridad (SOC), la obligación de notificar incidencias se extiende a todas las entidades, la radio y la televisión públicas pasan a ser un sector esencial, el régimen sancionador se ajusta para favorecer la notificación y se refuerza la cooperación entre el CSIRT-AD y la policía.
Es un proyecto, no una ley en vigor. A 25 de octubre de 2026 no hemos localizado ninguna ley de modificación publicada en el BOPA, de manera que lo que describimos más arriba es el texto de 2022. Conviene volver a mirarlo antes de tomar decisiones que dependan de él.
Dónde tenemos interés
TutumSec, el vertical de ciberseguridad de BDR Group, ofrece consultoría vCISO, auditorías, pentesting, SOC/MDR, respuesta a incidentes y una oficina técnica de seguridad de la información que apoya el cumplimiento de la NIS2. Tenemos, pues, interés en el tema. No decidimos si una entidad es esencial o importante: eso lo hace la ANC-AD.
Qué hacer ahora
- Comprueba en los anexos si tu servicio aparece y, si es así, confirma con la ANC-AD que consta en su lista.
- Designa un DSI y un suplente y comunica su contacto.
- Redacta la política de seguridad y el análisis de riesgos, y prepara la declaración de aplicabilidad.
- Define quién detecta un incidente, quién decide si es significativo y quién avisa al CSIRT-AD dentro de las 24 horas.
- Si no estás obligado, revisa qué te pueden pedir los clientes que sí lo están.
Preguntas frecuentes
¿Una pyme andorrana de comercio o turismo está obligada?
Solo si su servicio es de uno de los tipos de los anexos y alcanza el umbral de tamaño. Comercio, turismo y servicios profesionales no figuran como sector, pero puede recibir exigencias de clientes que sí lo están.
¿Cuánto tiempo hay para notificar un incidente?
La notificación inicial es en 24 horas desde que se tiene constancia; el informe final, en un mes. El artículo 15.1 menciona también 72 horas.
¿Se aplica la NIS2 a una empresa andorrana?
No directamente por ser andorrana. Depende de si tiene establecimiento en la UE, del sector y del tamaño, y de si es proveedora de una entidad afectada.
¿La reforma ya está en vigor?
No. Es un proyecto de ley aprobado por el Gobierno el 23 de junio de 2026; el texto vigente es el de 2022.
Fuentes
- Consell General de Andorra. Ley 22/2022, de 9 de junio, de medidas para la seguridad de las redes y de los sistemas de información, artículos 2, 6, 10, 12 a 15, 17, 18, 23, 24, 34 a 37, disposición final cuarta y anexos I y II. BOPA n.º 76, de 22/6/2022. Consulta: 25/10/2026. https://www.consellgeneral.ad/fitxers/documents/lleis-2022/llei-22-2022-del-9-de-juny-de-mesures-per-a-la-seguretat-de-les-xarxes-i-dels-sistemes-d2019informacio
- Govern d’Andorra. El Govern reforça el marc de ciberseguretat per adaptar-lo a l’evolució de l’entorn digital, de 23/6/2026. Consulta: 25/10/2026. https://www.govern.ad/ca/w/el-govern-reforca-el-marc-de-ciberseguretat-per-adaptar-lo-a-l-evolucio-de-l-entorn-digital
- Parlamento Europeo y Consejo. Directiva (UE) 2022/2555, de 14 de diciembre de 2022 (NIS2), artículos 2, 20, 21, 23, 26, 34 y 41. DOUE L 333, de 27/12/2022. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2022-81963
¿Quieres saber cómo te afecta?
Si quieres revisar cómo te afecta y por dónde empezar, consulta la ficha: Ciberseguridad para empresas. Los servicios en detalle están en TutumSec.