EUR-Lex · 08 Oct 2026 · 17 vistas
El Tribunal de la AELC dictamina que Islandia infringió la legislación del EEE sobre la regulación de la ciberseguridad
Por FactBox Admin
El Tribunal de la AELC ha declarado que Islandia no ha cumplido sus obligaciones en virtud del Acuerdo del EEE al no integrar la Ley de Ciberseguridad en su ordenamiento jurídico interno. La sentencia, dictada el 3 de julio de 2026 en el asunto E-21/25, Autoridad de Vigilancia de la AELC contra Islandia, fue publicada en el Diario Oficial de la Unión Europea el 8 de octubre de 2026 bajo la referencia C/2026/5260.
La disputa se refiere al Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a la ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación, que derogó el Reglamento (UE) n.º 526/2013 —la llamada Ley de Ciberseguridad. En virtud del Acuerdo del EEE, la ley figura en el punto 5cp del Anexo XI y en el punto 48 del Protocolo 37, y se aplica a los Estados de la AELC del EEE según lo adaptado por el Protocolo 1. El Artículo 7 del Acuerdo del EEE obliga a las partes contratantes a integrar los actos pertinentes para el EEE en su ordenamiento jurídico interno.
La parte dispositiva de la sentencia
El Tribunal declaró que Islandia no ha cumplido sus obligaciones en virtud del Artículo 7 del Acuerdo del EEE al no integrar en su ordenamiento jurídico interno el acto mencionado en el punto 5cp del Anexo XI y en el punto 48 del Protocolo 37 del Acuerdo del EEE.
La parte dispositiva del fallo contiene dos puntos:
- Una declaración de que Islandia no ha cumplido sus obligaciones en virtud del Artículo 7 del Acuerdo del EEE.
- Una orden de que Islandia sufrague las costas del proceso.
El caso y el tribunal
El procedimiento fue iniciado por la Autoridad de Vigilancia de la AELC en el asunto E-21/25, mediante una solicitud que buscaba la declaración de que Islandia no había adoptado las medidas necesarias para integrar el acto en su ordenamiento jurídico interno.
El caso está clasificado bajo los epígrafes de incumplimiento de las obligaciones por parte de un Estado de la AELC, falta de implementación, Artículo 3 EEE, el principio de cooperación leal, el deber de proporcionar información, ciberseguridad, y comunicaciones electrónicas, servicios audiovisuales y sociedad de la información.
El Tribunal estaba compuesto por:
- Páll Hreinsson, Presidente
- Bernd Hammermann, Juez
- Michael Reiertsen, Juez-Ponente
Qué abarca el reglamento
El Reglamento (UE) 2019/881 se refiere a la ENISA, la Agencia de la Unión Europea para la Ciberseguridad, y al marco europeo para la certificación de la ciberseguridad de las tecnologías de la información y la comunicación. Sustituyó al Reglamento (UE) n.º 526/2013.
Debido a que el acto fue incorporado al Acuerdo del EEE en el punto 5cp del Anexo XI y en el punto 48 del Protocolo 37, pasó a ser vinculante para los Estados de la AELC del EEE una vez adaptado por el Protocolo 1. El incumplimiento de Islandia en su transposición es lo que la Autoridad de Vigilancia de la AELC impugnó ante el Tribunal.
Consecuencias del fallo
La sentencia es una declaración de incumplimiento del Acuerdo del EEE, y carga los costes del procedimiento a Islandia. La publicación del fallo en el Diario Oficial de la Unión Europea le otorga efecto público y general en todo el EEE.
Para los lectores, la decisión confirma que los Estados de la AELC integrantes del EEE están obligados a transponer las normas de ciberseguridad de la UE y que la Autoridad de Vigilancia de la AELC perseguirá la falta de implementación ante el Tribunal de la AELC. También señala que las lagunas en los marcos nacionales de certificación de ciberseguridad conllevan un coste legal y financiero directo para los Estados afectados.
Fuente: Diario Oficial de la Unión Europea, serie C, C/2026/5260, 8 de octubre de 2026, Sección I (referencia oficial: C/2026/5260).