La CSA2 crearía un marco permanente de "proveedores de alto riesgo" en la UE. El artículo 105 ofrece una vía de exención: esto es lo que constituye una evidencia creíble.
La Ley de Ciberseguridad 2 de la UE (CSA2) está ahora en trílogo, con un acuerdo político previsto para principios de 2027. Para los proveedores de equipos no pertenecientes a la UE — incluidos los fabricantes de BESS — representa un cambio de paradigma: un marco permanente para designar "proveedores de alto riesgo" en todos los sectores NIS2, que permite restricciones totales del mercado y multas de hasta el 7% de la facturación global.
La mayoría de las coberturas se detienen ahí. La historia más útil está enterrada en el borrador: el artículo 105, la vía de exención.
Cómo funciona la exención
Incluso cuando el país de origen de un proveedor recibe una designación general de alto riesgo, un proveedor individual puede solicitar una exención — siempre que presente evidencia clara de que existen medidas de mitigación efectivas, de modo que no exista ninguna posibilidad realista de interferencia indebida de terceros países. La Comisión evalúa entonces dicha evidencia en un plazo de nueve meses.
Tres palabras tienen el peso: evidencia, efectivas y evaluación. Esto no es un formulario de declaración. Es un ejercicio de documentación y arquitectura.
Cómo es una evidencia creíble
Según el lenguaje del borrador, destacan tres temas:
Gobernanza documentada. Quién puede acceder a qué sistemas, bajo la jurisdicción de quién, con qué rastro de auditoría — por escrito, verificable y actualizado. Operaciones europeas aisladas. Prestación de servicios, flujos de datos y acceso a sistemas estructuralmente separados de la organización del país de origen y mantenidos dentro de la UE. Quién pone en servicio sus sistemas, dónde residen los datos de O&M y quién tiene acceso remoto ya no son detalles operativos — son su expediente de defensa regulatoria. Verificable, no declarado. Una evaluación de nueve meses de la Comisión superará cualquier compromiso en papel. Las estructuras sobreviven al escrutinio; las declaraciones no.
La ventana estratégica
Las listas de designación aún no existen. Los proveedores que construyan operaciones europeas aisladas ahora abordarán cualquier designación futura con un expediente de evidencia ya preparado. Quienes esperen reestructurarán sus cadenas de suministro bajo la presión de un acceso al mercado congelado. La diferencia en la posición de negociación es difícil de exagerar.
BessRe opera como una capa de servicios con sede en la UE para fabricantes de BESS en el Benelux — puesta en servicio local, mantenimiento y RMA entregados desde Bélgica. Este artículo resume legislación en borrador aún en negociación y no constituye asesoramiento legal.