Proteger las redes y los sistemas de información.
Y demostrar que lo haces.

NIS2 es la Directiva (UE) 2022/2555 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Es una directiva, no un reglamento: obliga a los Estados miembros, cada uno de los cuales la incorpora a su Derecho nacional. Por tanto, lo que debe hacer una organización lo fija su ley nacional, que sigue la Directiva y puede ir más allá.

Sustituyó a la Directiva (UE) 2016/1148, la primera Directiva NIS, que cubría muchos menos sectores, dejaba que los Estados miembros decidieran a quién se aplicaba y se aplicó de forma muy desigual. NIS2 fija una regla común de tamaño, añade sectores, armoniza las medidas de seguridad y la notificación de incidentes, hace responsable a la dirección y da a los supervisores poderes y multas reales.

La Directiva y el Reglamento de Ejecución

El artículo 21(2) de la Directiva enumera en prosa diez medidas de gestión de riesgos. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión las convierte en un anexo de trece puntos numerados con subrequisitos. Se aplica directamente a una lista de proveedores digitales (DNS, dominios de primer nivel, nube, centros de datos, distribución de contenidos, servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, redes sociales y servicios de confianza). Para cualquier otra entidad es la lectura más precisa del artículo 21 a escala de la UE, y la que citan los evaluadores.

Cambios en debate

En enero de 2026 la Comisión propuso modificaciones específicas de NIS2, junto con una revisión del Reglamento sobre la Ciberseguridad, para simplificar el cumplimiento y aclarar las normas. Hasta que se adopte y transponga alguna modificación, se aplica la Directiva tal como está incorporada al Derecho nacional; la propuesta no cambia las medidas ni los plazos de esta página.

Lo deciden dos cosas: si lo que haces forma parte de uno de los dieciocho sectores del anexo I o del anexo II, y si eres al menos una empresa mediana. Unas pocas entidades están incluidas sea cual sea su tamaño.

La regla de tamaño (artículo 2(1))

La Directiva se aplica a las entidades públicas o privadas de un tipo enumerado en el anexo I o II que tengan la consideración de medianas empresas según la Recomendación 2003/361/CE de la Comisión, o que superen sus límites, y que presten sus servicios o ejerzan sus actividades en la Unión.

Las cifras son las de la Recomendación; las empresas asociadas y vinculadas cuentan para ellas, así que una pequeña filial de un gran grupo normalmente no es pequeña. El artículo 3(4) del anexo de la Recomendación, que puede permitir a una empresa conservar la condición de pyme, no se aplica a efectos de NIS2.

Incluidas sea cual sea su tamaño (artículo 2, apartado 2)

• Proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público.
• Prestadores de servicios de confianza.
• Registros de nombres de dominio de primer nivel y proveedores de servicios de DNS.
• El único proveedor en un Estado miembro de un servicio esencial para actividades sociales o económicas críticas.
• Entidades cuya perturbación podría afectar significativamente a la seguridad pública, la protección pública o la salud pública, o generar un riesgo sistémico significativo.
• Entidades críticas por su importancia específica a escala nacional o regional.
• Entidades de la administración pública de la administración central y, a escala regional, cuando así lo determine una evaluación basada en el riesgo.
• Entidades identificadas como entidades críticas en virtud de la Directiva (UE) 2022/2557 sobre la resiliencia de las entidades críticas, y entidades que prestan servicios de registro de nombres de dominio.

Quién queda excluido

La Directiva no se aplica a las entidades de la administración pública que ejercen sus actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la garantía del cumplimiento del Derecho, ni al poder judicial, los parlamentos y los bancos centrales. Los Estados miembros pueden eximir a entidades concretas en esos ámbitos.

Qué legislación nacional se aplica (artículo 26)

Por regla general, la del Estado miembro en el que está establecida la entidad. Los proveedores de comunicaciones electrónicas públicas dependen de cada Estado miembro en el que prestan servicios. Los proveedores de DNS, de dominios de primer nivel y de registro de dominios, de computación en la nube, de centros de datos y de distribución de contenidos, los proveedores de servicios gestionados y de servicios de seguridad gestionados, los mercados en línea, los motores de búsqueda y las redes sociales dependen del Estado miembro de su establecimiento principal en la Unión; quien esté establecido fuera de la Unión debe designar un representante en un Estado miembro en el que ofrezca servicios.

El anexo I enumera once sectores de alta criticidad; el anexo II enumera siete otros sectores críticos. El anexo en el que estás, junto con tu tamaño, decide si eres una entidad esencial o importante, no qué medidas se aplican.

Anexo I: sectores de alta criticidad

Anexo II: otros sectores críticos

Toda entidad incluida es esencial o importante (artículo 3). La categoría cambia cómo se te supervisa y cuánto puede llegar a ser una multa. No cambia qué medidas de seguridad se aplican: las diez se aplican a ambas.

1. Pregunta 1

   ¿A qué nos dedicamos realmente?

   Describe tu actividad con tus propias palabras y compárala con los sectores y tipos de entidad anteriores. Cuenta todas las actividades, no solo la principal.

2. Pregunta 2

   ¿Qué tamaño tenemos?

   Plantilla, volumen de negocios y balance, incluidas las empresas asociadas y vinculadas. Para empezar basta una respuesta aproximada.

3. Pregunta 3

   ¿Dónde operamos?

   En qué Estados miembros estás establecido o a cuáles prestas servicios. Eso decide qué legislación y qué autoridad.

4. Pregunta 4

   ¿Encaja alguna regla independiente del tamaño?

   Comunicaciones públicas, servicios de confianza, TLD o DNS, único proveedor de un servicio esencial, administración pública, entidad crítica.

Anexo I y por encima de los umbrales de mediana empresa suele significar esencial; anexo I con tamaño mediano, o anexo II, suele significar importante. Después revisa tu legislación nacional y las orientaciones de tu autoridad, que pueden designar entidades o añadir detalles. Si tienes dudas, consulta a tu autoridad nacional: muchas publican una autoevaluación y un formulario de registro.

Los Estados miembros debían elaborar, a más tardar el 17 de abril de 2025, una lista de entidades esenciales e importantes y de entidades que prestan servicios de registro de nombres de dominio, y revisarla al menos cada dos años (artículo 3, apartado 3). Para elaborarla, las entidades comunican como mínimo:

• su nombre;
• su dirección y datos de contacto actualizados, incluidas direcciones de correo electrónico, rangos de IP y números de teléfono;
• el sector y subsector pertinentes del anexo I o II, cuando proceda;
• cuando proceda, los Estados miembros en los que prestan servicios incluidos en el ámbito de aplicación.

Los cambios deben notificarse sin demora y, en cualquier caso, en un plazo de dos semanas. Los proveedores digitales cuya jurisdicción es la de su establecimiento principal (DNS, TLD, registro de dominios, nube, centros de datos, distribución de contenidos, servicios gestionados y servicios de seguridad gestionados, mercados en línea, motores de búsqueda y redes sociales) también comunican sus datos para el registro que mantiene ENISA (artículo 27), incluidos su establecimiento principal y sus demás establecimientos en la Unión.

Cómo y cuándo registrarse lo fija la legislación nacional: busca la plataforma de registro y el plazo de tu autoridad.

Artículo 20, apartado 1: los Estados miembros velarán por que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas para la gestión de riesgos de ciberseguridad adoptadas para cumplir el artículo 21, supervisen su aplicación y puedan ser considerados responsables de las infracciones de dicho artículo.

Artículo 20, apartado 2: los miembros de los órganos de dirección están obligados a seguir formación, y se anima a las entidades a ofrecer periódicamente una formación similar a sus empleados, para que adquieran conocimientos y capacidades suficientes para detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios que presta la entidad.

Ese es el cambio que llevó la ciberseguridad de una partida del presupuesto de TI al orden del día del consejo. En la práctica, un auditor buscará la aprobación de las medidas por parte del consejo, actas que demuestren la supervisión y registros de formación de cada miembro.

El artículo 21, apartado 1, exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos para los sistemas de redes y de información que utilizas en tus operaciones o servicios, y para prevenir o reducir al mínimo el impacto de los incidentes. Las medidas deben garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, las normas europeas e internacionales pertinentes y el coste de aplicación. La proporcionalidad tiene en cuenta tu exposición al riesgo, tu tamaño y la probabilidad y gravedad de los incidentes, incluido su impacto social y económico.

El artículo 21, apartado 2, establece que las medidas siguen un enfoque que abarca todos los riesgos (proteger los sistemas y su entorno físico frente a incidentes) e incluyen como mínimo las diez siguientes. La proporcionalidad se aplica a la profundidad de cada una, nunca a cuáles cubres: las diez son un mínimo, no un menú.

a) Políticas de análisis de riesgos y de seguridad de los sistemas de información

Un método documentado para identificar y evaluar riesgos, un registro de riesgos, decisiones sobre su tratamiento y aceptación, y una política de seguridad de la información aprobada por la dirección. La monitorización puede demostrar que se aplica una línea base técnica en cada máquina; el análisis de riesgos en sí es documental.

Lo que pide un auditor: el método de evaluación de riesgos y el registro vigente; pruebas de que la política se aplica en los sistemas y no solo está escrita.

b) Gestión de incidentes

Detectar, analizar, contener y responder a incidentes, con funciones definidas, un registro de incidentes y revisiones posteriores. El momento de la primera detección es con lo que un evaluador compara tus notificaciones.

Lo que pide un auditor: el registro de incidentes; los tiempos desde la detección hasta la notificación de incidentes pasados; pruebas de que se cumplieron los plazos de 24 horas, 72 horas y un mes.

c) Continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y gestión de crisis

Planes de continuidad y recuperación con objetivos de tiempo y de punto de recuperación, copias de seguridad protegidas y probadas, y una organización de crisis. El control que más se suspende en las auditorías es la restauración probada: una copia de seguridad que se ejecutó no demuestra nada hasta que los datos han vuelto.

Lo que pide un auditor: el plan de continuidad y recuperación con los objetivos declarados; la fecha y el resultado de la última prueba de restauración.

d) Seguridad de la cadena de suministro

Seguridad en tus relaciones con cada proveedor directo y prestador de servicios. El artículo 21, apartado 3, exige tener en cuenta las vulnerabilidades específicas de cada proveedor, la calidad general de sus productos y sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro, y los resultados de las evaluaciones coordinadas de riesgos de la UE sobre cadenas de suministro críticas.

Lo que pide un auditor: un registro de proveedores clasificados por criticidad; sus evaluaciones de riesgos; cláusulas de seguridad en los contratos.

e) Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de vulnerabilidades

Requisitos de seguridad al comprar y construir sistemas, configuración segura, gestión de cambios, aplicación de parches, pruebas de seguridad y una forma de recibir informes de vulnerabilidades y actuar en consecuencia.

Lo que pide un auditor: una política de gestión de vulnerabilidades con plazos de corrección según la gravedad, y pruebas de que se cumplen: el tiempo desde la detección hasta la corrección.

f) Políticas y procedimientos para evaluar la eficacia de las medidas

Medir si las medidas funcionan: indicadores, auditorías internas, revisiones por la dirección y qué cambió como resultado.

Lo que pide un auditor: una tendencia medible a lo largo del tiempo, no una captura de pantalla; pruebas de una revisión periódica y de su resultado.

g) Prácticas básicas de ciberhigiene y formación en ciberseguridad

Parches, bastionado, eliminación de cuentas predeterminadas, puertos sin uso cerrados y formación para todos adecuada a su función.

Lo que pide un auditor: la línea base técnica de higiene y el grado de cumplimiento actual; registros de formación por persona, con fechas.

h) Políticas y procedimientos relativos a la criptografía y, en su caso, al cifrado

Qué algoritmos y longitudes de clave están aprobados, dónde se exige cifrado (en reposo, en tránsito) y cómo se generan, almacenan, rotan y destruyen las claves.

Lo que pide un auditor: la política de criptografía; pruebas del ciclo de vida de las claves, sobre todo de su rotación; el estado de cifrado de sistemas y conexiones.

i) Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos

Verificación de antecedentes cuando proceda, procesos de altas, cambios y bajas, mínimo privilegio, revisiones periódicas de accesos y un inventario de activos con responsables y clasificación.

Lo que pide un auditor: pruebas de que se retiró el acceso de quienes se marcharon, con fechas; la última revisión de accesos y quién la firmó; el inventario de activos.

j) Autenticación multifactor o continua, comunicaciones seguras y comunicaciones de emergencia

Autenticación multifactor o continua, comunicaciones de voz, vídeo y texto seguras, y sistemas de comunicación de emergencia seguros, cuando proceda.

Lo que pide un auditor: la cobertura multifactor por tipo de cuenta, exportada del proveedor de identidad; las excepciones y quién aprobó cada una.

Cuando encuentras una carencia (artículo 21, apartado 4)

Una entidad que constata que no cumple las medidas debe adoptar sin demora indebida todas las medidas correctoras necesarias, adecuadas y proporcionadas. Una carencia que encontraste, registraste y cerraste es prueba de un programa que funciona; una carencia que ocultaste es una infracción.

Adoptado el 17 de octubre de 2024, el Reglamento de Ejecución establece los requisitos técnicos y metodológicos de las medidas del artículo 21, y cuándo un incidente es significativo, para: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de servicios de computación en la nube, proveedores de servicios de centro de datos, proveedores de redes de distribución de contenidos, proveedores de servicios gestionados, proveedores de servicios de seguridad gestionados, proveedores de mercados en línea, motores de búsqueda en línea y plataformas de redes sociales, y prestadores de servicios de confianza.

Al ser un reglamento, se les aplica directamente, sin transposición. Para todos los demás es la mejor lectura técnica disponible del artículo 21, y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) publica orientaciones técnicas de aplicación al respecto.

Los trece puntos del anexo

Una entidad esencial o importante debe notificar sin demora indebida a su CSIRT nacional o autoridad competente cualquier incidente significativo. Cuando proceda, también notifica a los destinatarios de sus servicios los incidentes significativos que puedan afectarles, e informa a los destinatarios potencialmente afectados por una ciberamenaza significativa de lo que pueden hacer al respecto.

Qué hace que un incidente sea significativo

Un incidente es significativo si (artículo 23, apartado 3):

• ha causado o puede causar graves perturbaciones operativas de los servicios o pérdidas económicas para la entidad; o
• ha afectado o puede afectar a otras personas físicas o jurídicas al causar perjuicios materiales o inmateriales considerables.

Para los proveedores digitales a los que se aplica, el Reglamento de Ejecución lo concreta. Un incidente es significativo si, entre otros supuestos, causó o podría causar pérdidas económicas superiores a 500 000 € o el 5 % del volumen de negocios anual, si esta cifra es inferior; la exfiltración de secretos comerciales; la muerte de una persona o daños considerables a la salud de una persona; o un acceso logrado, presuntamente malicioso y no autorizado a sistemas capaz de causar graves perturbaciones operativas. Cada tipo de proveedor tiene además umbrales de servicio; para un servicio en la nube, por ejemplo, estar completamente indisponible durante más de 30 minutos. Los incidentes que se repiten al menos dos veces en seis meses con la misma causa raíz aparente se cuentan juntos.

Las fases y sus plazos

El CSIRT o la autoridad responde a la alerta temprana en 24 horas con una primera respuesta y, si se solicita, orientaciones sobre la mitigación. Notificar no aumenta por sí mismo la responsabilidad de la entidad. Las entidades fuera del ámbito de aplicación, y las incluidas para incidentes, amenazas y cuasiincidentes no significativos, también pueden notificar de forma voluntaria (artículo 30).

Lo que tiene que existir antes del incidente

• Una monitorización que registre la primera detección con su hora.
• Un criterio escrito para decidir si un incidente es significativo, y quién lo decide.
• Los datos de contacto y los formularios de tu CSIRT o autoridad, y quién presenta la notificación.
• Plantillas para la alerta temprana, la notificación y el informe final.
• Un registro de todos los incidentes, significativos o no, con las decisiones y las horas.

La seguridad de la cadena de suministro es la medida d), y el artículo 21, apartado 3, te pide valorar las vulnerabilidades, la calidad de los productos y el desarrollo seguro de cada proveedor directo. El Grupo de Cooperación, junto con la Comisión y ENISA, puede realizar evaluaciones coordinadas de los riesgos de seguridad de las cadenas de suministro de TIC críticas (artículo 22), cuyos resultados debes tener en cuenta.

Los Estados miembros pueden exigir a las entidades que utilicen determinados productos, servicios y procesos de TIC certificados con arreglo a esquemas europeos de certificación de la ciberseguridad (artículo 24) y fomentar el uso de normas europeas e internacionales (artículo 25).

En la práctica: mantén un registro de proveedores y prestadores de servicios con su criticidad, evalúa los críticos, incluye cláusulas de seguridad en los contratos (notificación de incidentes, derecho de auditoría, subencargados, salida) y conoce qué software de proveedores se ejecuta en tus sistemas.

Cada Estado miembro designa una o varias autoridades competentes y un punto de contacto único. Sus facultades dependen de la categoría de la entidad.

Las autoridades deben tener en cuenta las circunstancias de cada caso: la gravedad y la duración de la infracción, las infracciones anteriores, los daños causados, si fue intencionada o negligente, las medidas adoptadas para prevenirla o mitigarla, la adhesión a códigos de conducta o certificaciones, y la cooperación.

Se aplican a las infracciones del artículo 21 (las medidas) o del artículo 23 (notificación). La Directiva fija el mínimo del máximo: la legislación nacional puede fijar topes más altos, añadir multas coercitivas y decidir si se multa a las entidades de la administración pública y cómo.

Las personas físicas responsables de una entidad esencial, o que actúan como su representante legal, pueden ser consideradas responsables del incumplimiento de su deber de garantizar el cumplimiento (artículo 32, apartado 6), y los órganos de dirección pueden ser considerados responsables en virtud del artículo 20.

Cuando una infracción implica además una violación de la seguridad de los datos personales, la autoridad informa a la autoridad de protección de datos; si se impone una multa del RGPD por la misma conducta, no se impone una segunda multa de NIS2 por ella (artículo 35).

NIS2 no es solo un conjunto de obligaciones para las entidades. También crea las estructuras ante las que se rinden cuentas de esas obligaciones, y conviene conocerlas antes de un incidente y no durante.

Como NIS2 es una Directiva, las obligaciones te llegan a través de tu legislación nacional. Los Estados miembros siguen la Directiva, pero difieren en las plataformas y plazos de registro, las autoridades implicadas, el importe de las multas por encima del mínimo, el tratamiento de la administración pública y los sectores adicionales que añaden. Varios la transpusieron tarde, y la Comisión abrió procedimientos de infracción contra los que no habían notificado sus leyes dentro del plazo.

Rumanía transpuso NIS2 mediante la Ordenanza de Urgencia del Gobierno (OUG) n.º 155/2024, aprobada por la Ley n.º 124/2025. La autoridad nacional competente y CSIRT es la Dirección Nacional de Ciberseguridad (DNSC), ante la que las entidades incluidas se registran y notifican incidentes. Consulta las orientaciones vigentes de la DNSC sobre el plazo de registro, los formularios y el canal de notificación.

Para cualquier Estado miembro: localiza la ley nacional, la autoridad competente de tu sector, su plataforma de registro y su canal de notificación de incidentes. Esos cuatro datos son la primera página de cualquier expediente NIS2.

1. Paso 1

   Determina el ámbito y la categoría

   Haz la comprobación de las cuatro preguntas; confírmalo con tu autoridad nacional; regístrate donde sea obligatorio.

2. Paso 2

   Haz que la dirección lo asuma

   Aprobación del programa por el consejo, un responsable con nombre, formación de la dirección y un ritmo de información al consejo.

3. Paso 3

   Conoce lo que tienes

   Inventario de sistemas, datos, cuentas en la nube, proveedores y personas con acceso privilegiado.

4. Paso 4

   Evalúa los riesgos

   Un método, un registro de riesgos y decisiones sobre su tratamiento, contrastados con las diez medidas y los 13 puntos.

5. Paso 5

   Activa la monitorización continua

   Eventos, vulnerabilidades, bastionado e inicios de sesión de todos los sistemas, conservados como prueba. El silencio debe ser visible.

6. Paso 6

   Prepárate para los incidentes

   Detección, criterios de significatividad, el proceso de 24 h / 72 h / un mes, plantillas y contactos, y después un simulacro.

7. Paso 7

   Cierra las carencias técnicas

   Autenticación multifactor, plazos de aplicación de parches, bastionado, segmentación, cifrado, copias de seguridad probadas.

8. Paso 8

   Pon por escrito lo que debe estar escrito

   Políticas, funciones, planes de continuidad, condiciones con proveedores, políticas de criptografía y de acceso: breves, aprobadas y aplicadas.

9. Paso 9

   Forma

   A la dirección y a la plantilla, según su función, con registros.

10. Paso 10

    Mide y revisa

    Indicadores y tendencias, revisión por la dirección, medidas correctoras sin demora indebida, y vuelta a empezar.

Una buena prueba tiene tres propiedades: se registra de forma continua, no se redacta la semana antes de una inspección; está vinculada a los requisitos numerados, para que un inspector pueda seguirla línea por línea; e incluye lo que estaba mal y si se corrigió, no solo las buenas noticias.

Otros proveedores te venden nube y servidores y te dejan la seguridad a ti. El módulo Cyber Security Compliance de TotulDigital vigila de forma continua tus servidores, tu Cloud Office y tus cuentas en la nube, y convierte lo que ve en pruebas vinculadas a NIS2 y al Reglamento de Ejecución, junto con otros once marcos.

Dos principios se mantienen siempre. Un control solo aparece como demostrado cuando la monitorización lo observa; lo que no puede ver aparece como sin datos, nunca como superado. Y el módulo observa e informa, nunca modifica tus sistemas: tu equipo o tu proveedor de TI corrige lo que encuentra, y el siguiente análisis muestra si la corrección funcionó. Te da pruebas para tu auditor y tu regulador; no sustituye al asesoramiento jurídico ni a una auditoría de certificación.

• Directiva (UE) 2022/2555 (NIS2)
• Anexo técnico del CIR (EU) 2024/2690
• Orientaciones de aplicación de ENISA