Directiva sobre seguridad de las redes y la información (NIS2)

La NIS2 exige a las organizaciones medianas y grandes de 18 sectores de la UE que implementen un sistema documentado de gestión de riesgos de ciberseguridad, que los órganos de dirección asuman la responsabilidad personal y que notifiquen los incidentes de seguridad significativos a las autoridades nacionales dentro de plazos estrictos. Las multas pueden alcanzar hasta 10 millones de euros o el 2 % de la facturación anual global.

Solicite una demostración Descubra la solución

Próximo plazo relevante:

30 de junio de 2026: Las entidades esenciales de varios Estados miembros de la UE deben completar su primera auditoría formal de cumplimiento de la NIS2.

Las obligaciones sustantivas de la NIS2, entre las que se incluyen la gestión de riesgos, la gobernanza, la seguridad de la cadena de suministro y la notificación de incidentes, se aplican a partir de la fecha en que entre en vigor la ley nacional de transposición de cada Estado miembro. Para la mayoría de los países de la UE, ese momento ya ha pasado.

El 30 de junio de 2026 es el primer hito de verificación formal para las entidades esenciales de varios Estados miembros: las autoridades competentes evaluarán si las estructuras de gobernanza están documentadas, si las evaluaciones de riesgos están completas y si los procesos de respuesta a incidentes están operativos.

Las entidades esenciales están sujetas a una supervisión proactiva (ex ante) en virtud de la NIS2, lo que significa que las autoridades pueden iniciar solicitudes de auditoría sin esperar a que se produzca un incidente o a que haya pruebas de incumplimiento. Las entidades importantes están sujetas a una supervisión reactiva, pero tienen las mismas obligaciones sustantivas desde el día en que entró en vigor su ley nacional de transposición.

Calendario de la normativa

16. January 2023

Entra en vigor la Directiva (UE) 2022/2555 (NIS2). Sustituye a la Directiva original sobre seguridad de las redes y la información (Directiva (UE) 2016/1148), que estaba en vigor desde 2016 pero que dio lugar a transposiciones nacionales fragmentadas.

18. October 2024

Publicación en el Diario Oficial de la UE del Reglamento de Ejecución (UE) 2024/2690, que entrará en vigor el 7 de noviembre de 2024. Especifica requisitos técnicos y organizativos detallados para las entidades del sector digital, incluidos los servicios de DNS, los proveedores de servicios en la nube, las redes de distribución de contenidos y los proveedores de servicios de seguridad gestionados.

20. January 2026

La Comisión Europea propone modificaciones específicas a la NIS2 para aumentar la claridad jurídica y simplificar el cumplimiento, especialmente para las entidades más pequeñas. Las obligaciones fundamentales no se modifican. El proceso legislativo sigue en curso en junio de 2026.

En curso

El estado de la transposición nacional, los portales de registro y los ciclos de auditoría varían según el Estado miembro. Las organizaciones situadas en jurisdicciones que aún no hayan completado la transposición deben estar al tanto de la legislación nacional aplicable y de las directrices de la autoridad competente.

17. October 2024

Fecha límite para que los Estados miembros de la UE incorporen la NIS2 a su legislación nacional. A partir de esta fecha, las obligaciones sustantivas se aplican a las organizaciones incluidas en el ámbito de aplicación en los Estados miembros que hayan incorporado la directiva. No todos los Estados miembros cumplieron el plazo; a fecha de junio de 2026, la Comisión Europea ha remitido a varios Estados miembros ante el Tribunal de Justicia de la UE por incumplimiento de la obligación de transposición.

6. December 2025

Entra en vigor la ley alemana de transposición de la NIS2 (NIS2UmsuCG, Ley por la que se transpone la Directiva NIS2 y se regulan los aspectos esenciales de la gestión de la seguridad de la información en la Administración Federal), que modifica la Ley de la Oficina Federal de Seguridad de la Información (Bundesamt für Sicherheit in der Informationstechnik, BSIG). Aproximadamente 29 500 entidades entran en el ámbito de aplicación. Las obligaciones se aplican de forma inmediata, sin período de transición. Fecha límite de registro en la BSI: 6 de marzo de 2026.

30. June 2026

Fecha límite para que las entidades esenciales de varios Estados miembros de la UE, entre ellos Hungría y Austria, completen su primera auditoría formal de cumplimiento de la NIS2.

1 / 7

2023

16. January 2023
Entra en vigor la Directiva (UE) 2022/2555 (NIS2). Sustituye a la Directiva original sobre seguridad de las redes y la información (Directiva (UE) 2016/1148), que estaba en vigor desde 2016 pero que dio lugar a transposiciones nacionales fragmentadas.
2024

17. October 2024
Fecha límite para que los Estados miembros de la UE incorporen la NIS2 a su legislación nacional. A partir de esta fecha, las obligaciones sustantivas se aplican a las organizaciones incluidas en el ámbito de aplicación en los Estados miembros que hayan incorporado la directiva. No todos los Estados miembros cumplieron el plazo; a fecha de junio de 2026, la Comisión Europea ha remitido a varios Estados miembros ante el Tribunal de Justicia de la UE por incumplimiento de la obligación de transposición.
18. October 2024
Publicación en el Diario Oficial de la UE del Reglamento de Ejecución (UE) 2024/2690, que entrará en vigor el 7 de noviembre de 2024. Especifica requisitos técnicos y organizativos detallados para las entidades del sector digital, incluidos los servicios de DNS, los proveedores de servicios en la nube, las redes de distribución de contenidos y los proveedores de servicios de seguridad gestionados.
2025

6. December 2025
Entra en vigor la ley alemana de transposición de la NIS2 (NIS2UmsuCG, Ley por la que se transpone la Directiva NIS2 y se regulan los aspectos esenciales de la gestión de la seguridad de la información en la Administración Federal), que modifica la Ley de la Oficina Federal de Seguridad de la Información (Bundesamt für Sicherheit in der Informationstechnik, BSIG). Aproximadamente 29 500 entidades entran en el ámbito de aplicación. Las obligaciones se aplican de forma inmediata, sin período de transición. Fecha límite de registro en la BSI: 6 de marzo de 2026.
2026

20. January 2026
La Comisión Europea propone modificaciones específicas a la NIS2 para aumentar la claridad jurídica y simplificar el cumplimiento, especialmente para las entidades más pequeñas. Las obligaciones fundamentales no se modifican. El proceso legislativo sigue en curso en junio de 2026.
30. June 2026
Fecha límite para que las entidades esenciales de varios Estados miembros de la UE, entre ellos Hungría y Austria, completen su primera auditoría formal de cumplimiento de la NIS2.
En curso
El estado de la transposición nacional, los portales de registro y los ciclos de auditoría varían según el Estado miembro. Las organizaciones situadas en jurisdicciones que aún no hayan completado la transposición deben estar al tanto de la legislación nacional aplicable y de las directrices de la autoridad competente.

Requisitos del reglamento

La NIS2 (Directiva (UE) 2022/2555) entró en vigor el 16 de enero de 2023, con un plazo de transposición por parte de los Estados miembros hasta el 17 de octubre de 2024. La directiva se aplica a las organizaciones medianas y grandes de 18 sectores.

Las entidades esenciales son, por lo general, organizaciones de los sectores del anexo I, entre los que se incluyen la energía, el transporte, la sanidad y las infraestructuras digitales, con al menos 250 empleados o una facturación anual superior a 50 millones de euros, junto con un balance superior a 43 millones de euros.

Las entidades importantes son, por lo general, organizaciones de los sectores del anexo I o del anexo II —entre los que se incluyen la industria manufacturera, la alimentación y los productos químicos— que cuenten con al menos 50 empleados o una facturación anual superior a 10 millones de euros, junto con un balance superior a 10 millones de euros.

Ambas categorías conllevan las mismas obligaciones fundamentales: gestión documentada de riesgos ante todo tipo de amenazas y medidas técnicas de seguridad; un proceso de notificación de incidentes en tres fases (alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes); y responsabilidad personal de los órganos de dirección. Las organizaciones también deben evaluar y gestionar los riesgos de ciberseguridad derivados de proveedores y prestadores de servicios que puedan afectar a su seguridad de la información.

Retos comunes en la aplicación de la NIS2

La determinación del ámbito de aplicación depende de todas las actividades económicas, no solo del sector primario

Una empresa cuyo sector principal se encuentre fuera del ámbito de aplicación de la NIS2 puede seguir estando sujeta a ella si una actividad secundaria (como la gestión de un centro de datos para entidades del grupo) se enmarca en un sector cubierto. En el caso de los grupos internacionales con entidades jurídicas en varios Estados miembros de la UE, cada entidad requiere una evaluación de ámbito de aplicación independiente, y la autoridad de supervisión competente, el procedimiento de registro y el ciclo de auditoría varían según la jurisdicción.

Las obligaciones de gobernanza de la NIS2 van más allá de los marcos de TI existentes

La NIS2 establece la responsabilidad personal de los órganos de dirección en la aprobación y supervisión de las medidas de gestión de riesgos de ciberseguridad. Las organizaciones deben definir funciones y líneas jerárquicas en materia de ciberseguridad, contar con la aprobación formal de la dirección para las decisiones sobre el tratamiento de riesgos y disponer de pruebas documentadas de que el órgano de dirección recibe informes periódicos sobre ciberseguridad.

Varnish cache server