KRITIS y NIS2 en Alemania: por qué también afecta a los proveedores de cámaras ANPR
En resumen: El marco de ciberseguridad para las infraestructuras críticas en Alemania ha sido redefinido. Los proveedores de operadores del sector transporte (aparcamientos, sistemas de peaje, aeropuertos, transporte público) serán interrogados cada vez con más frecuencia sobre la seguridad real de su hardware y software. Explicamos qué ha cambiado y qué significa esto para la adquisición de sistemas de reconocimiento automático de matrículas (ANPR o LPR).
Dos nuevas leyes, una misma exigencia
Alemania ha aprobado dos textos centrales que redefinen el nivel de seguridad exigido a las infraestructuras críticas:
- La Ley de Transposición de NIS2 (NIS2UmsuCG), publicada en el Boletín Oficial Federal (BGBl. 2025 I n.º 301) el 5 de diciembre de 2025 y en vigor desde el 6 de diciembre de 2025. Traspone la Directiva europea NIS2 al derecho alemán y reforma en profundidad la Ley del BSI, sin período transitorio.
- La KRITIS-Dachgesetz, en vigor desde el 17 de marzo de 2026, que regula la resiliencia física de las instalaciones críticas (transposición de la Directiva europea REC).
En conjunto, ambas leyes afectan a unas 29.500 empresas en Alemania, repartidas en 18 sectores. Un punto clave para entender el sistema: los operadores KRITIS son un subconjunto de las "entidades importantes", que a su vez son un subconjunto de todas las entidades NIS2. Ser clasificado como operador KRITIS implica automáticamente las obligaciones NIS2 más estrictas, además de la KRITIS-Dachgesetz.
¿Afecta también a los fabricantes de hardware como Survision?
La respuesta es clara: no directamente, pero sí de forma indirecta, y ahí está la clave.
KRITIS y la NIS2UmsuCG se dirigen a los operadores de infraestructuras críticas: gestores aeroportuarios, empresas de autopistas y peajes, operadores de transporte público, proveedores de energía. Un fabricante de cámaras como Survision no está sujeto directamente a las obligaciones de registro, notificación o responsabilidad de estas leyes.
Pero esos operadores son precisamente nuestros clientes, o los clientes de nuestros clientes. Y uno de los pilares centrales de NIS2 es la seguridad de la cadena de suministro (artículo 21 de la Directiva NIS2). Los operadores deberán demostrar que evalúan y gestionan activamente los riesgos cibernéticos de sus proveedores, incluidos los sistemas de cámaras, el firmware y el software. En la práctica, esto se traduce en:
KRITIS y la NIS2UmsuCG se dirigen a los operadores de infraestructuras críticas: gestores aeroportuarios, empresas de autopistas y peajes, operadores de transporte público, proveedores de energía. Un fabricante de cámaras como Survision no está sujeto directamente a las obligaciones de registro, notificación o responsabilidad de estas leyes.
Pero esos operadores son precisamente nuestros clientes, o los clientes de nuestros clientes. Y uno de los pilares centrales de NIS2 es la seguridad de la cadena de suministro (artículo 21 de la Directiva NIS2). Los operadores deberán demostrar que evalúan y gestionan activamente los riesgos cibernéticos de sus proveedores, incluidos los sistemas de cámaras, el firmware y el software. En la práctica, esto se traduce en:
- Cuestionarios de seguridad, cada vez más presentes en las licitaciones alemanas del sector transporte.
- Evidencias sobre los procesos de actualización de firmware, gestión de vulnerabilidades y tratamiento de datos, que se convierten en requisito para la adjudicación de contratos.
- Cláusulas contractuales de notificación de incidentes, trasladadas por los operadores a sus proveedores de hardware.
- La KRITIS-Dachgesetz añade exigencias sobre la robustez física de las instalaciones, relevantes por ejemplo para las carcasas de las cámaras en peajes o aparcamientos.
Por qué el sector del transporte está especialmente en el punto de mira
La carretera, el transporte público y los aeropuertos figuran entre los sectores NIS2 altamente críticos. Precisamente ahí es donde Survision está presente con sus sistemas de reconocimiento de matrículas: instalaciones de peaje, aparcamientos aeroportuarios, gestión del estacionamiento urbano, control de acceso al transporte público. Es muy probable que los operadores alemanes de estos ámbitos formen parte de las cerca de 29.500 entidades reguladas, y deberán asegurar su base de proveedores en consecuencia.
Qué significa esto en la práctica para la adquisición de sistemas ANPR
Para los responsables de compras y seguridad TI de los operadores de infraestructuras alemanes, conviene prestar especial atención a:
- Origen y fabricación del hardware: la transparencia sobre la cadena de suministro reduce riesgos y facilita la documentación NIS2 del propio operador.
- Gestión de actualizaciones y parches: ¿cómo se detecta, notifica y corrige una vulnerabilidad en el firmware de la cámara?
- Soberanía de los datos: ¿dónde se procesan y almacenan los datos de matrículas capturados? Un alojamiento europeo facilita el cumplimiento simultáneo del RGPD y de los requisitos de seguridad nacionales.
- Capacidad de cooperación ante incidentes: ¿puede el proveedor colaborar de forma rápida y estructurada con el operador y el BSI en caso de problema?
Por qué elegir Survision es una garantía de seguridad desde el punto de vista de KRITIS
Es precisamente en este punto donde el propio proveedor se convierte en un factor de riesgo, o en una ventaja. Cuatro características de Survision responden directamente a las exigencias que NIS2 y KRITIS imponen a los operadores respecto a su cadena de suministro:
- Fabricación europea, totalmente trazable.
- Nuestro hardware se diseña y fabrica en Europa, con sedes propias en Francia (París, Angers, Burdeos, Lyon), y varios de nuestros subcontratistas están ubicados en Alemania (Regensburg, fabricación de LED, por ejemplo). Para un operador que deba documentar su cadena de suministro y evaluar riesgos en el marco de NIS2, esto supone una cadena corta, transparente y auditable, frente a una red global de subcontratistas opaca.
- Ya conforme con la NDAA Section 889.
- Survision ya ha implementado plenamente los requisitos de la NDAA Section 889 estadounidense (uno de los regímenes de compra más estrictos del mundo para hardware sensible), con fabricación parcial propia en Estados Unidos y la ausencia total de componentes procedentes de empresas explícitamente señaladas por la NDAA estadounidense (Hikvision, Dahua, Huawei, ZTE, Hytera). Un proveedor que ya cumple un régimen de compra extraeuropeo tan exigente aporta un nivel de confianza inmediato frente a las exigencias europeas de tipo KRITIS.
- Infraestructura cloud soberana.
- Nuestros sistemas se apoyan en infraestructura cloud europea (OVHcloud) en lugar de en los grandes proveedores estadounidenses. Esto reduce la exposición a regímenes de acceso extraterritoriales como la CLOUD Act estadounidense, y facilita a los operadores el cumplimiento simultáneo del RGPD y de los requisitos de seguridad nacionales. Es un aspecto directamente relevante en la evaluación del tratamiento de datos bajo NIS2.
- Todo desarrollado internamente: hardware, software e IA.
- A diferencia de muchos competidores que ensamblan cámaras, software de reconocimiento y modelos de IA procedentes de proveedores distintos, a veces extraeuropeos, Survision desarrolla íntegramente en interno el hardware, el firmware, el software de reconocimiento y los algoritmos de IA. En la práctica: ningún componente de terceros desconocido, ninguna dependencia oculta, ninguna ambigüedad sobre la responsabilidad en la gestión de vulnerabilidades. Si hay que notificar un fallo, existe un único interlocutor, directamente responsable, y no una cadena de subcontratistas.
- En definitiva, trabajar con Survision es trabajar con un proveedor que no necesita preparar sus respuestas a un cuestionario de seguridad NIS2 (origen, control de la cadena de suministro, soberanía de los datos, capacidad de reacción ante incidentes), porque su organización está estructurada desde el origen para que esas respuestas ya sean las correctas.
- Seguimos este tema de cerca desde la adopción de la Directiva NIS2 a nivel europeo, en la misma línea que nuestras publicaciones anteriores sobre soberanía digital y exigencias regulatorias como la NDAA Section 889 en Estados Unidos.
Preguntas frecuentes
¿Es Survision una entidad KRITIS?
No. Survision es fabricante, no operador de infraestructura crítica. Las obligaciones directas de la NIS2UmsuCG y de la KRITIS-Dachgesetz afectan a nuestros clientes, no a nosotros.
¿En qué medida está afectado el sector del estacionamiento y los parkings?
De forma muy directa, ya que muchos espacios de estacionamiento forman parte de instalaciones críticas, o dan acceso a ellas. Los aparcamientos aeroportuarios pertenecen al sector transporte, uno de los ámbitos altamente críticos de NIS2. Los aparcamientos y controles de acceso de centrales eléctricas, subestaciones u otras instalaciones de producción de energía pertenecen al sector energético. Lo mismo ocurre con los aparcamientos de hospitales, plantas de tratamiento de agua o edificios administrativos con carácter KRITIS. Allí donde una cámara ANPR controla el acceso a un emplazamiento crítico, pasa a formar parte del perímetro de seguridad, y por tanto de la revisión de la cadena de suministro que los operadores deben realizar en el marco de NIS2.
Como operador, ¿debo sustituir mis cámaras ANPR actuales?
Si son cámaras Survision, no: los criterios en los que se centra KRITIS (fabricación trazable, control de la cadena de suministro, ausencia de componentes sensibles, soberanía de los datos) están integrados en Survision desde siempre. Si se trata de otros equipos, conviene evaluar la cadena de suministro y los riesgos asociados al hardware instalado.
¿Desde cuándo se aplican estas obligaciones?
Las obligaciones de la NIS2UmsuCG se aplican desde el 6 de diciembre de 2025, sin período transitorio. La KRITIS-Dachgesetz está en vigor desde el 17 de marzo de 2026.
¿Qué autoridad es competente?
La Oficina Federal de Seguridad de la Información (BSI) es la autoridad competente para la implementación de NIS2 en Alemania.
¿Por qué Survision es una elección segura desde el punto de vista de KRITIS?
Fabricación europea totalmente trazable, conformidad ya demostrada con la estricta NDAA Section 889 estadounidense, infraestructura cloud soberana europea, y desarrollo totalmente interno de hardware, software e IA, sin componentes de terceros desconocidos ni dependencias ocultas..
Este artículo forma parte de nuestra serie sobre soberanía digital y cumplimiento normativo, en línea con nuestras publicaciones anteriores sobre la NDAA Section 889 y la soberanía europea de los datos.
De forma muy directa, ya que muchos espacios de estacionamiento forman parte de instalaciones críticas, o dan acceso a ellas. Los aparcamientos aeroportuarios pertenecen al sector transporte, uno de los ámbitos altamente críticos de NIS2. Los aparcamientos y controles de acceso de centrales eléctricas, subestaciones u otras instalaciones de producción de energía pertenecen al sector energético. Lo mismo ocurre con los aparcamientos de hospitales, plantas de tratamiento de agua o edificios administrativos con carácter KRITIS. Allí donde una cámara ANPR controla el acceso a un emplazamiento crítico, pasa a formar parte del perímetro de seguridad, y por tanto de la revisión de la cadena de suministro que los operadores deben realizar en el marco de NIS2.
Como operador, ¿debo sustituir mis cámaras ANPR actuales?
Si son cámaras Survision, no: los criterios en los que se centra KRITIS (fabricación trazable, control de la cadena de suministro, ausencia de componentes sensibles, soberanía de los datos) están integrados en Survision desde siempre. Si se trata de otros equipos, conviene evaluar la cadena de suministro y los riesgos asociados al hardware instalado.
¿Desde cuándo se aplican estas obligaciones?
Las obligaciones de la NIS2UmsuCG se aplican desde el 6 de diciembre de 2025, sin período transitorio. La KRITIS-Dachgesetz está en vigor desde el 17 de marzo de 2026.
¿Qué autoridad es competente?
La Oficina Federal de Seguridad de la Información (BSI) es la autoridad competente para la implementación de NIS2 en Alemania.
¿Por qué Survision es una elección segura desde el punto de vista de KRITIS?
Fabricación europea totalmente trazable, conformidad ya demostrada con la estricta NDAA Section 889 estadounidense, infraestructura cloud soberana europea, y desarrollo totalmente interno de hardware, software e IA, sin componentes de terceros desconocidos ni dependencias ocultas..
Este artículo forma parte de nuestra serie sobre soberanía digital y cumplimiento normativo, en línea con nuestras publicaciones anteriores sobre la NDAA Section 889 y la soberanía europea de los datos.