La Llei 22/2022, del 9 de juny, obliga les entitats essencials i importants dels sectors dels seus annexos (energia, banca, salut, infraestructures digitals i d’altres) de 50 persones o deu milions d’euros, i algunes sense mínim de mida. Demana gestionar riscos, designar un delegat de seguretat i notificar incidents. Hi ha una reforma en projecte.
Quina llei és i des de quan s’aplica
El nom oficial és Llei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació. El Consell General la va aprovar el 9 de juny de 2022 i es va publicar al BOPA núm. 76, del 22 de juny de 2022. Va entrar en vigor l’endemà, el 23 de juny de 2022, però el capítol de supervisió i el règim sancionador ho fan als dos anys d’aquesta entrada en vigor, o sigui el 23 de juny de 2024 (disposició final quarta). L’exposició de motius explica que es basa en la Directiva (UE) 2016/1148, la primera directiva europea de seguretat de xarxes, adaptada a Andorra.
Hi intervenen tres organismes. L’Agència Nacional de Ciberseguretat (ANC-AD) supervisa la majoria de sectors i és el punt de contacte nacional. L’Autoritat Financera Andorrana (AFA) supervisa les entitats financeres i els mercats financers. El CSIRT-AD és l’equip de resposta a incidents que rep les notificacions (articles 6 i 8).
A qui obliga
La llei distingeix entre entitats essencials (annex I) i importants (annex II).
- Essencials: energia, transport, entitats financeres, mercats financers, sanitat (inclou hospitals, clíniques privades i centres d’atenció primària), aigua, administració pública i infraestructures digitals: proveïdors de DNS, de computació en núvol, de centres de dades, de xarxes de distribució de continguts, de serveis de confiança i de comunicacions electròniques.
- Importants: gestió de residus, correus i missatgeria, productes químics, aliments, fabricació de determinats productes (sanitaris, informàtics, elèctrics, maquinària, vehicles) i proveïdors de serveis digitals (mercats en línia, motors de cerca, xarxes socials).
La mida també compta. Amb caràcter general, la llei s’aplica a les entitats de 50 persones o més, o amb més de deu milions d’euros de volum de negocis o de balanç (article 2.1). No hi ha mínim de mida per a les xarxes i serveis de comunicacions electròniques, els serveis de confiança, els registres de domini de primer nivell i els proveïdors de DNS, ni per a l’administració pública (article 2.2).
Turisme, comerç i serveis professionals no apareixen com a sector als annexos. Això no vol dir que quedin al marge: una entitat essencial o important ha de gestionar la seguretat dels seus proveïdors i garantir que compleixen les mesures necessàries (articles 12.1, 13.3.e i 14.1.a). Un hotel, un despatx o una botiga que treballi per a un banc o una clínica pot rebre peticions de documentació, encara que la llei no l’obligui directament.
L’ANC-AD ha d’establir la llista de serveis essencials i importants (article 6.4.b) i mantenir un registre d’entitats (article 25.4.b). No hem localitzat l’avís amb aquesta llista en una font oficial; cal consultar-ho directament amb l’ANC-AD.
Què demana la llei a una entitat essencial o important
- Identificar-se davant l’autoritat competent i mantenir les dades al dia (article 10).
- Gestionar els riscos amb mesures tècniques i organitzatives proporcionades: política de seguretat, gestió d’incidents, continuïtat, seguretat de la cadena de subministrament, proves i auditoria, criptografia (articles 12 i 13). Les mesures es formalitzen en una declaració d’aplicabilitat que es revisa cada tres anys, referida a l’Esquema Nacional de Seguretat; no hem localitzat el text d’aquest esquema publicat.
- Designar un delegat de la seguretat de la informació (DSI) i un substitut, i comunicar-ne el contacte en un mes (article 18). Pot ser de plantilla o exercir per contracte de serveis (article 18.7).
- Notificar els incidents significatius al CSIRT-AD: una notificació inicial en 24 hores des que se’n tingui constància, notificacions intermèdies si es demanen, i un informe final en un mes (article 15.4). L’article 15.1 fixa també un límit de 72 hores. Les indicacions del CSIRT-AD per resoldre l’incident són d’aplicació vinculant (article 14.1.b).
- Implicar la direcció. L’òrgan de direcció aprova les mesures de risc, en supervisa l’aplicació, en respon i fa formació periòdica (article 17).
Un incident és significatiu si ha causat o pot causar pertorbacions operatives o perjudicis econòmics substancials, o si afecta altres persones físiques o jurídiques amb perjudicis considerables (article 15.3). Notificar no substitueix la denúncia penal (article 15.7) ni les comunicacions que calguin a altres organismes (article 15.11), com la notificació a l’Agència Andorrana de Protecció de Dades d’una violació de dades personals (article 36 de la Llei 29/2021).
Supervisió i sancions
Les entitats essencials es poden inspeccionar i auditar de manera periòdica; les importants, a posteriori si hi ha indicis d’incompliment (articles 23 i 24). Si una entitat essencial no executa les mesures que se li exigeixen, l’autoritat pot suspendre la certificació i prohibir temporalment que les persones responsables exerceixin funcions de direcció.
Les multes són (article 36):
| Gravetat | Import |
|---|---|
| Molt greu | de 30.001 a 100.000 euros |
| Greu | de 15.001 a 30.000 euros |
| Lleu | amonestació o de 500 a 15.000 euros |
Són infraccions molt greus, entre d’altres, no remetre la informació d’identificació, no corregir les deficiències després d’un requeriment, incomplir de manera reiterada (a partir del segon cop) la notificació d’incidents amb efectes pertorbadors significatius, i no resoldre incidents amb aquest efecte (article 34.2). Per graduar-les es té en compte, entre altres factors, la intencionalitat, els danys, el nombre d’usuaris afectats i el volum de facturació (article 37).
Comparació amb la NIS2 per a empreses que operen també a la UE
Andorra no és a la UE, de manera que la Directiva (UE) 2022/2555 (NIS2) no és dret andorrà. Va substituir la directiva de 2016, s’havia de transposar abans del 17 d’octubre de 2024 i s’aplica des del 18 d’octubre de 2024 (article 41), amb una llei a cada Estat membre.
| Llei 22/2022 (Andorra) | NIS2 (UE) | |
|---|---|---|
| Qui | Entitats essencials i importants dels annexos, amb 50 persones o deu milions d’euros; sense mínim en telecomunicacions, serveis de confiança, DNS i registres de domini | Entitats dels annexos I i II que siguin mitjanes o grans empreses; sense mínim en els mateixos casos i en alguns més (article 2) |
| Notificació | 24 hores inicial, informe final en un mes (i límit de 72 hores a l’article 15.1) | Alerta primerenca en 24 hores, notificació en 72 hores, informe final en un mes (article 23) |
| Direcció | Aprova, supervisa i respon; formació (article 17) | Igual (article 20) |
| Multes | De 500 a 100.000 euros | Màxim d’almenys 10 milions d’euros o el 2 % del volum de negocis per a les essencials; 7 milions o l’1,4 % per a les importants (article 34) |
| Supervisió | ANC-AD i AFA | Autoritats designades a cada Estat membre |
Per a una empresa andorrana, hi ha dues vies d’entrada. La primera és tenir un establiment a la UE: la jurisdicció depèn de l’Estat on s’estableix l’entitat (article 26.1), i una filial a Espanya o França d’un sector dels annexos pot quedar sota la llei nacional corresponent. La segona és ser proveïdor d’una entitat afectada: la NIS2 exigeix tractar la seguretat de la cadena de subministrament (article 21.2.d), i els clients demanaran evidències. Als proveïdors de DNS, núvol, centres de dades, serveis gestionats i de seguretat gestionada que no són a la UE però hi ofereixen serveis, la directiva els exigeix designar-hi un representant (article 26.3). L’estat de la transposició a cada país s’ha de consultar a la llei nacional.
Una reforma en projecte
El 23 de juny de 2026, el Consell de Ministres va aprovar un projecte de llei de modificació de la Llei 22/2022 (nota del Govern d’Andorra de la mateixa data). Segons la nota, les entitats crítiques hauran de disposar d’un centre d’operacions de seguretat (SOC), l’obligació de notificar incidències s’estén a totes les entitats, la ràdio i la televisió públiques passen a ser un sector essencial, el règim sancionador s’ajusta per afavorir la notificació i es reforça la cooperació entre el CSIRT-AD i la policia.
És un projecte, no una llei en vigor. A 25 d’octubre de 2026 no hem localitzat cap llei de modificació publicada al BOPA, de manera que el que descrivim més amunt és el text de 2022. Convé tornar-hi a mirar abans de prendre decisions que en depenguin.
On tenim interès
TutumSec, el vertical de ciberseguretat de BDR Group, ofereix consultoria vCISO, auditories, pentesting, SOC/MDR, resposta a incidents i una oficina tècnica de seguretat de la informació que dona suport al compliment de la NIS2. Tenim, doncs, interès en el tema. No decidim si una entitat és essencial o important: això ho fa l’ANC-AD.
Què fer ara
- Comprova als annexos si el teu servei hi apareix i, si és així, confirma amb l’ANC-AD que consta a la seva llista.
- Designa un DSI i un substitut i comunica’n el contacte.
- Escriu la política de seguretat i l’anàlisi de riscos, i prepara la declaració d’aplicabilitat.
- Defineix qui detecta un incident, qui decideix si és significatiu i qui avisa el CSIRT-AD dins les 24 hores.
- Si no hi ets obligat, revisa què et poden demanar els clients que sí que hi són.
Preguntes freqüents
Una pime andorrana de comerç o turisme està obligada?
Només si el seu servei és d’un dels tipus dels annexos i arriba al llindar de mida. Comerç, turisme i serveis professionals no hi figuren com a sector, però pot rebre exigències de clients que sí que hi són.
Quant temps hi ha per notificar un incident?
La notificació inicial és en 24 hores des que se’n té constància; l’informe final, en un mes. L’article 15.1 també esmenta 72 hores.
La NIS2 s’aplica a una empresa andorrana?
No directament pel fet de ser andorrana. Depèn de si té establiment a la UE, del sector i de la mida, i de si és proveïdora d’una entitat afectada.
La reforma ja és vigent?
No. És un projecte de llei aprovat pel Govern el 23 de juny de 2026; el text vigent és el de 2022.
Fonts
- Consell General d’Andorra. Llei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació, articles 2, 6, 10, 12 a 15, 17, 18, 23, 24, 34 a 37, disposició final quarta i annexos I i II. BOPA núm. 76, del 22/6/2022. Consulta: 25/10/2026. https://www.consellgeneral.ad/fitxers/documents/lleis-2022/llei-22-2022-del-9-de-juny-de-mesures-per-a-la-seguretat-de-les-xarxes-i-dels-sistemes-d2019informacio
- Govern d’Andorra. El Govern reforça el marc de ciberseguretat per adaptar-lo a l’evolució de l’entorn digital, del 23/6/2026. Consulta: 25/10/2026. https://www.govern.ad/ca/w/el-govern-reforca-el-marc-de-ciberseguretat-per-adaptar-lo-a-l-evolucio-de-l-entorn-digital
- Parlament Europeu i Consell. Directiva (UE) 2022/2555, del 14 de desembre de 2022 (NIS2), articles 2, 20, 21, 23, 26, 34 i 41. DOUE L 333, del 27/12/2022. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2022-81963
Vols saber com t’afecta?
Si vols revisar com t’afecta i per on començar, consulta la fitxa: Ciberseguretat per a empreses. Els serveis en detall són a TutumSec.