El marco jurídico europeo no se limita al reglamento general sobre la protección de datos. Las empresas activas en el mercado interior enfrentan un apilamiento normativo donde coexisten directivas sectoriales, reglamentos de aplicación directa y transposiciones nacionales, a veces con calendarios desfasados de varios años entre los Estados miembros.
Deber de diligencia CSDDD: un calendario en tres olas que la mayoría de las guías omiten
La directiva (UE) 2024/1760 sobre el deber de diligencia en materia de sostenibilidad (CSDDD, también conocida como CS3D) adoptada el 13 de junio de 2024 estructura sus obligaciones según tres niveles sucesivos. Recomendamos a las direcciones jurídicas que cartografíen desde ahora su posición en este calendario.
- En 2027, las empresas de la UE que superen los 5,000 empleados y 1.5 mil millones de euros de ingresos netos globales entran en el ámbito de aplicación.
- En 2028, el umbral desciende a 3,000 empleados y 900 millones de euros de ingresos.
- En 2029, toda empresa de más de 1,000 empleados y 450 millones de euros está afectada, incluyendo algunas empresas de países terceros que generen esta cantidad en la UE.
El ámbito se ha restringido por modificaciones posteriores a la adopción inicial. Las obligaciones abarcan toda la cadena de valor, lo que implica una auditoría de los proveedores de segundo nivel y más allá. Los Estados miembros deben transponer la directiva entre 2026 y 2027 según las versiones consolidadas.
En la práctica, una empresa por debajo del umbral de 2027 puede pasar a estar en el ámbito en 2028 tras una adquisición. La vigilancia sobre los umbrales debe ser continua, no puntual. Los recursos disponibles en el sitio Europe Entreprises para lo jurídico permiten seguir la evolución de las transposiciones nacionales en curso.
Derecho de sociedades europeo: libertad de establecimiento y formas jurídicas transfronterizas
El artículo 49 y el artículo 54 del tratado sobre el funcionamiento de la Unión Europea (tratado FUE) fundamentan la libertad de establecimiento de las sociedades dentro del mercado interior. Esta base sigue siendo poco explotada por las pymes, que continúan creando filiales nacionales clásicas sin examinar las formas jurídicas unificadas.
La Societas Europaea (SE) permite constituir una sociedad de derecho europeo que opere en varios Estados miembros bajo un estatus único. La directiva sobre fusiones transfronterizas, revisada en los últimos años, facilita las reestructuraciones entre entidades situadas en diferentes países de la UE.
La Comisión Europea continúa la digitalización de los procedimientos de constitución de sociedades. Los registros de comercio interconectados a través del sistema BRIS (Business Registers Interconnection System) ofrecen un acceso centralizado a la información sobre las sociedades registradas en los Estados miembros. Esta interconexión reduce los plazos de verificación durante operaciones transfronterizas.
Directiva sobre los derechos de los accionistas y gobernanza
La directiva derechos de los accionistas (SRD II) impone a las sociedades cotizadas obligaciones de transparencia sobre la política de remuneración de los directivos y sobre las transacciones con partes vinculadas. Los inversores institucionales deben publicar su política de compromiso accionarial.
Observamos que las empresas no cotizadas a menudo descuidan estos estándares de gobernanza, mientras que un adquirente o un fondo llevará a cabo una auditoría de cumplimiento basada en estos mismos requisitos durante una due diligence.
Ciberseguridad regulatoria: NIS 2 y Cyber Resilience Act
El componente de ciberseguridad del derecho europeo de los negocios se ha fortalecido considerablemente. La directiva NIS 2 amplía el ámbito de las entidades sujetas a obligaciones de notificación de incidentes y gestión de riesgos. El Cyber Resilience Act impone requisitos de seguridad desde el diseño para los productos que contengan elementos digitales puestos en el mercado europeo.
Para una empresa que comercializa objetos conectados o software, ignorar el Cyber Resilience Act equivale a asumir el riesgo de una retirada del mercado. Las sanciones previstas por NIS 2 pueden alcanzar un porcentaje significativo de los ingresos globales, según la categoría de la entidad (importante o muy importante).
Articulación entre regulaciones sectoriales y derecho común
La superposición entre RGPD, NIS 2 y Cyber Resilience Act crea zonas de solapamiento. Una filtración de datos personales desencadena simultáneamente una notificación RGPD (72 horas) y, si la entidad está cubierta por NIS 2, una notificación complementaria a la autoridad competente en ciberseguridad.
Centralizar la gestión de incidentes en una única célula evita duplicados y plazos de notificación incoherentes entre los dos regímenes. El registro de tratamientos RGPD y la cartografía de los sistemas de información NIS 2 se benefician de ser construidos sobre un marco común.
Conformidad multijurisdiccional: estructurar la vigilancia jurídica en la empresa
El derecho europeo establece el umbral mínimo. Las transposiciones nacionales añaden capas específicas, a veces contradictorias entre los Estados miembros durante los períodos transitorios. Francia, Alemania y los Países Bajos rara vez transponen al mismo ritmo ni con las mismas opciones regulatorias.
Recomendamos mantener un cuadro de seguimiento por directiva, cruzando el estado de transposición en cada jurisdicción donde opera el grupo. Este cuadro debe actualizarse al menos cada trimestre e integrar los proyectos de ley en curso, no solo los textos adoptados.
- Identificar las directivas de transposición obligatoria que afectan a la actividad (CSDDD, NIS 2, SRD II, directiva sobre fusiones transfronterizas).
- Cartografiar las opciones nacionales elegidas por cada Estado miembro afectado.
- Anticipar las discrepancias de calendario entre países, que pueden crear obligaciones asimétricas dentro de un mismo grupo.
La complejidad regulatoria europea no disminuirá. Las empresas que estructuran su vigilancia jurídica por adelantado absorben las nuevas obligaciones sin interrupciones operativas, mientras que aquellas que reaccionan después de la publicación de los textos enfrentan costos de cumplimiento significativamente más altos.
