Cumplimiento de NIS2: guía práctica

Por Paul Gillet · Actualizado 2026-10-17

NIS2 es la principal ley de ciberseguridad de la UE: Directiva (UE) 2022/2555. Al tratarse de una directiva, se aplica a través de la legislación nacional de cada Estado miembro, que debía estar en vigor el 17 de octubre de 2024. Las obligaciones básicas son las mismas en todas partes, pero el registro, la supervisión, las sanciones y algunos detalles varían según el país, por lo que siempre debe consultar la legislación nacional del lugar donde opera.

¿Está usted en el ámbito de aplicación?

NIS2 abarca entidades de 18 sectores. El anexo I incluye los sectores de alta criticidad: energía, transporte, banca, infraestructuras del mercado financiero, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio. El anexo II recoge otros sectores críticos: servicios postales y de mensajería, gestión de residuos, industria química, alimentación, fabricación (incluidos productos sanitarios, electrónica, maquinaria y vehículos), proveedores digitales e investigación.

Como regla general, una entidad está en el ámbito de aplicación si opera en alguno de esos sectores en la UE y es al menos de tamaño mediano (50 o más empleados, o un volumen de negocios anual y un balance general superiores a 10 millones de euros). Algunas lo están independientemente de su tamaño, como los proveedores de servicios DNS, los registros de dominios de nivel superior, los prestadores de servicios de confianza y los proveedores de redes públicas de comunicaciones electrónicas. Las entidades se clasifican como esenciales o importantes; ambas deben cumplir las mismas medidas, pero la supervisión y las multas máximas difieren.

Lo que exige NIS2

• Gobernanza (artículo 20): los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisarlas y recibir formación en ciberseguridad. Pueden ser considerados responsables de los incumplimientos.
• Medidas de gestión de riesgos (artículo 21): un enfoque basado en todos los riesgos que abarca (a) análisis de riesgos y políticas de seguridad; (b) gestión de incidentes; (c) continuidad de la actividad, copias de seguridad, recuperación ante desastres y gestión de crisis; (d) seguridad de la cadena de suministro; (e) seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de vulnerabilidades; (f) evaluación de la eficacia de estas medidas; (g) higiene básica de ciberseguridad y formación; (h) criptografía y cifrado; (i) seguridad de los recursos humanos, control de acceso y gestión de activos; y (j) autenticación multifactor o continua y comunicaciones protegidas.
• Notificación de incidentes (artículo 23): ante un incidente significativo, una alerta temprana al CSIRT o a la autoridad competente en un plazo de 24 horas desde que se tiene conocimiento del incidente, una notificación del incidente en un plazo de 72 horas y un informe final en un plazo de un mes.
• Registro: la mayoría de las entidades deben registrarse ante su autoridad nacional.

El Reglamento de Ejecución

Para determinados proveedores digitales, la Comisión detalló las medidas del artículo 21 en el Reglamento de Ejecución (UE) 2024/2690: proveedores de servicios DNS, registros de dominios de nivel superior, servicios de computación en la nube y centros de datos, redes de distribución de contenidos, proveedores de servicios gestionados y de servicios de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y prestadores de servicios de confianza. Su anexo es mucho más específico que el propio artículo 21. Los requisitos NIS2 de ControlMapping son los puntos de ese anexo, con los títulos de ENISA y la correspondencia oficial de ENISA con ISO 27001 y NIST CSF 2.0. Las demás entidades se rigen por su legislación nacional, pero el anexo y la guía de implementación de ENISA son una referencia sólida para cualquiera.

Los pasos

1. Confirme el ámbito de aplicación y la clasificación con arreglo a la legislación nacional de cada país en el que opere, y regístrese cuando sea obligatorio.
2. Informe al órgano de dirección: debe aprobar las medidas y completar la formación, así que empiece por ahí.
3. Realice un análisis de brechas frente al artículo 21 o, si le aplica, frente al anexo del Reglamento de Ejecución. Si tiene ISO 27001, parta de la comparativa ISO 27001 → NIS2.
4. Implante las medidas que faltan; la seguridad de la cadena de suministro y la gestión de vulnerabilidades suelen ser las que más trabajo nuevo requieren.
5. Elabore el procedimiento de notificación: defina quién decide si un incidente es significativo y practique el cumplimiento de los plazos de 24 y 72 horas, incluso fuera del horario laboral.
6. Conserve evidencias de eficacia (artículo 21, apartado 2, letra f): auditorías, pruebas y métricas que demuestren que las medidas funcionan.

¿Hace ISO 27001 que cumpla NIS2?

No por sí sola, pero le lleva en gran medida hasta el objetivo. La correspondencia de ENISA vincula cada punto del Reglamento de Ejecución con cláusulas de ISO 27001 o controles del anexo A, de modo que una organización certificada en ISO tiene la mayor parte de las medidas técnicas y organizativas. Lo que ISO no le proporciona: los plazos de notificación, la formación y responsabilidad de la dirección, el registro y los requisitos técnicos específicos que algunos puntos del anexo detallan más que el anexo A. Es su autoridad nacional, y no su entidad certificadora, quien decide si cumple.

Supervisión y sanciones

Las autoridades nacionales supervisan a las entidades esenciales de forma proactiva (auditorías, inspecciones, análisis de seguridad) y a las entidades importantes a posteriori, normalmente tras un incidente o una denuncia. Las multas máximas son de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y de 7 millones de euros o el 1,4 % para las entidades importantes, prevaleciendo la cantidad más alta.

Cómo le ayuda este sitio

Cada punto de requisito de NIS2 de este sitio enlaza con ISO 27001 y NIST CSF 2.0 a través de la correspondencia de ENISA, y de ahí con los demás marcos. La tabla siguiente muestra qué parte de NIS2 cubre cada marco que ya tiene.

¿Ya tiene otro marco?

Cuántos requisitos de NIS2 corresponden a cada marco que quizá ya cumple. Abra un informe de brechas para ver la lista requisito por requisito.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Los recuentos proceden de los mismos datos que análisis de brechas; una correspondencia significa requisitos relacionados, no prueba de que uno satisfaga al otro.

Preguntas

¿Cuándo empezó a aplicarse NIS2?

Los Estados miembros debían aplicar sus leyes nacionales de NIS2 a partir del 18 de octubre de 2024. Varios se retrasaron, así que consulte la situación en el lugar donde opera.

¿Cuáles son los plazos de notificación de incidentes de NIS2?

Una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento de un incidente significativo, una notificación del incidente en un plazo de 72 horas y un informe final en un plazo de un mes.

¿Se aplica NIS2 a empresas fuera de la UE?

Sí, puede aplicarse. Algunos proveedores digitales que ofrecen servicios en la UE sin tener establecimiento allí deben designar un representante en un Estado miembro.

No es asesoramiento legal ni de cumplimiento. Consulte el texto oficial y a su auditor, evaluador o regulador antes de basarse en él.