Debido al incremento y diversidad de los ciberataques, hace unos años, en 2016, la Unión Europea publicó la Directiva NIS (UE 2016/1148), destinada a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión. En ella se identificaban los sectores que soportan los servicios esenciales para la sociedad y la economía. Esta directiva se traspuso a la normativa española en el Real Decreto-ley 12/2018, desarrollada posteriormente en el Real Decreto 43/2021.
La normativa española que traspuso la NIS extendió los 7 sectores originales para hacerlos coincidir con los de la Ley PIC, de protección de Infraestructuras críticas. En la legislación española, como resultado, son 12 los sectores de los operadores de servicios esenciales (OSE): administración, espacio, industria nuclear, industria química, instalaciones de investigación, agua, energía, salud, TIC (tecnologías de la información y la comunicación), transporte, alimentación y sistema financiero y tributario. Además, están en el ámbito del Real Decreto-ley 12/2018 los proveedores de servicios digitales (marketplaces, motores de búsqueda y proveedores cloud). Los operadores de servicios esenciales y proveedores de servicios digitales están desde entonces obligados a tomar medidas técnicas, operativas y organizacionales para mejorar su ciberseguridad, así como a notificar incidentes siguiendo las directrices de las autoridades competentes en cada sector. Para est...