Guía práctica
Lo que necesitas para entender y cumplir NIS2.
Un checklist por áreas, una hoja de ruta realista, la comparativa con las normas que ya conoces, las novedades frente a NIS1, un glosario y las fuentes oficiales. Sin registro y sin correo.
Checklist de cumplimiento
Treinta y cinco comprobaciones, ocho áreas.
Marca lo que ya tienes. Cada grupo indica el artículo de la Directiva al que responde. Puedes imprimir la lista o usarla como base del análisis de brechas.
Gobierno y dirección
Análisis de riesgos y eficacia
Medidas técnicas
Gestión y notificación de incidentes
Continuidad y gestión de crisis
Cadena de suministro
Personas y ciberhigiene
Evidencias, registro y supervisión
Las casillas solo se guardan en tu navegador durante la sesión. Para una evaluación guiada con resultado y PDF, usa el diagnóstico.
Hoja de ruta
De cero a cumplimiento demostrable en cuatro trimestres.
Los primeros noventa días deciden el resto del año: ámbito, análisis de brechas, gobierno y las medidas de mayor impacto. Después, implantación, simulacros y evidencias.
- Semanas 1-201
Ámbito y clasificación
Confirmar si NIS2 aplica, en qué categoría y a qué sociedades del grupo. Designar al responsable y abrir el expediente de evidencias.
- Semanas 3-402
Análisis de brechas
Medir cada una de las diez medidas del artículo 21, la notificación del artículo 23 y la gobernanza del artículo 20 frente a la situación real.
- Semanas 5-803
Gobierno y medidas de impacto
Política aprobada por la dirección, MFA generalizado, copias inmutables, procedimiento de incidentes y plantillas 24/72 h.
- Semanas 9-1204
Plan director
Hitos por trimestre, presupuesto, cadena de suministro, continuidad y vigilancia. Presentación al órgano de dirección.
- Trimestres 2-405
Implantación y simulacros
Ejecutar el plan, probar la notificación de extremo a extremo y consolidar las evidencias de cada medida.
- Continuo06
Vigilancia y revisión
Operación 24/7, revisión anual del análisis de riesgos, formación y seguimiento de la ley de transposición y de las guías de la autoridad.
NIS2 frente a las normas que ya conoces
ENS, ISO 27001, DORA y CRA: qué cubre cada una.
Se solapan, pero no son equivalentes. ISO 27001 es una norma certificable; NIS2, ENS, DORA y CRA son obligaciones legales. Lo habitual es construir un único sistema de gestión y evidenciar cada norma desde él.
| NIS2 | ENS | ISO/IEC 27001 | DORA | CRA | |
|---|---|---|---|---|---|
| Qué es | Directiva (UE) 2022/2555 sobre ciberseguridad de entidades esenciales e importantes. | Real Decreto 311/2022: Esquema Nacional de Seguridad. | Norma internacional de sistemas de gestión de la seguridad de la información (SGSI). | Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero. | Reglamento (UE) 2024/2847 de ciberresiliencia de productos con elementos digitales. |
| A quién obliga | Medianas y grandes empresas de 18 sectores, más casos especiales. | Administraciones públicas y entidades que les prestan servicios o soluciones. | Voluntaria: cualquier organización que quiera certificarse o lo exija un cliente. | Entidades financieras y sus proveedores TIC críticos (aplicable desde el 17/01/2025). | Fabricantes, importadores y distribuidores de productos con elementos digitales. |
| Carácter | Legal, con sanciones de hasta 10 M€ o el 2 %. | Legal; certificación de conformidad obligatoria en categorías media y alta. | Voluntaria o contractual; certificación por entidad acreditada. | Legal, de aplicación directa; supervisión por las autoridades financieras. | Legal; marcado CE y obligaciones de notificación de vulnerabilidades. |
| Qué pide | Gobierno, diez medidas mínimas, notificación 24/72 h, cadena de suministro, registro. | Principios básicos, requisitos mínimos y catálogo de medidas por categoría. | Contexto, liderazgo, riesgos, controles del Anexo A, auditoría y mejora continua. | Gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia y terceros TIC. | Seguridad desde el diseño, gestión de vulnerabilidades y soporte durante la vida del producto. |
| Relación con NIS2 | Marco de referencia. | Base de controles muy alineada; el anteproyecto español la toma como referencia para el sector público. | Base de gestión y evidencias; no sustituye a NIS2 en notificación, dirección y cadena de suministro. | Lex specialis: la entidad financiera sujeta a DORA aplica DORA en lo que esta regula (art. 4 NIS2). | Complementaria: CRA protege el producto; NIS2, la entidad que lo usa o lo fabrica. |
Herramientas de correspondencia públicas, como la de BSI entre NIS2 e ISO/IEC 27001:2022 o el catálogo de medidas del ENS, ayudan a reutilizar controles ya implantados y a evitar duplicar evidencias.
Qué cambia
De NIS1 a NIS2: nueve diferencias que explican la nueva exigencia.
| Aspecto | NIS1 · Directiva 2016/1148 | NIS2 · Directiva 2022/2555 |
|---|---|---|
| Ámbito | Siete sectores; cada Estado identificaba a los operadores de servicios esenciales. | Dieciocho sectores y criterio de tamaño uniforme: las medianas y grandes empresas entran automáticamente. |
| Categorías | Operadores de servicios esenciales y proveedores de servicios digitales. | Entidades esenciales e importantes, con las mismas obligaciones y distinto régimen de supervisión y sanciones. |
| Medidas | Medidas «apropiadas y proporcionadas», sin lista cerrada. | Lista mínima de diez medidas técnicas, operativas y organizativas (art. 21). |
| Dirección | Sin obligaciones expresas para los órganos de dirección. | Aprobación, supervisión, formación y responsabilidad personal de la dirección (art. 20). |
| Notificación | «Sin dilación indebida», sin plazos armonizados. | Alerta temprana en 24 h, notificación en 72 h e informe final en un mes (art. 23). |
| Cadena de suministro | Apenas mencionada. | Obligación expresa de gestionar el riesgo de proveedores y evaluaciones coordinadas a escala de la UE. |
| Sanciones | A criterio de cada Estado miembro. | Importes máximos armonizados: 10 M€ o el 2 % (esenciales) y 7 M€ o el 1,4 % (importantes). |
| Supervisión | Desigual entre Estados. | Ex ante y ex post para esenciales, ex post para importantes, con poderes de inspección y ejecución definidos. |
| Cooperación europea | Grupo de cooperación y red de CSIRT. | Se refuerzan: EU-CyCLONe para crisis, revisiones inter pares y base de datos europea de vulnerabilidades (ENISA). |
Glosario
Los términos que aparecen en toda conversación sobre NIS2.
- Entidad esencial
- Categoría de mayor exigencia: grandes empresas de los sectores de alta criticidad (anexo I), ciertos prestadores con independencia de su tamaño y las entidades designadas por el Estado. Supervisión previa y posterior.
- Entidad importante
- Resto de entidades del ámbito de aplicación (medianas del anexo I, medianas y grandes del anexo II). Mismas obligaciones de seguridad; supervisión solo posterior y sanciones máximas inferiores.
- Anexo I · Anexo II
- Listas de sectores de la Directiva: once sectores de alta criticidad (anexo I) y siete «otros sectores críticos» (anexo II).
- Regla del tamaño
- Criterio de la Recomendación 2003/361/CE: medianas (50 a 249 empleados, hasta 50 M€ de facturación o 43 M€ de balance) y grandes empresas entran en el ámbito; las pequeñas solo en supuestos especiales.
- Incidente significativo
- Incidente que causa o puede causar graves perturbaciones operativas o pérdidas económicas a la entidad, o daños considerables a otras personas físicas o jurídicas. Es el que obliga a notificar.
- Alerta temprana
- Primera comunicación al CSIRT o a la autoridad, en 24 horas desde que se conoce el incidente significativo. Indica si se sospecha de un acto malintencionado y si puede tener impacto transfronterizo.
- CSIRT de referencia
- Equipo de respuesta a incidentes designado para cada sector. En España: INCIBE-CERT (sector privado y ciudadanía), CCN-CERT (sector público) y ESPDEF-CERT (defensa).
- Autoridad competente
- Organismo que supervisa el cumplimiento, recibe notificaciones, inspecciona y sanciona. La ley de transposición la designa para cada sector.
- Supervisión ex ante / ex post
- Ex ante: la autoridad puede inspeccionar y auditar sin necesidad de indicios (entidades esenciales). Ex post: actúa cuando tiene indicios de incumplimiento (entidades importantes).
- Órgano de dirección
- Consejo de administración, administradores o equivalente. NIS2 les exige aprobar y supervisar las medidas, formarse y responder de los incumplimientos.
- Ciberhigiene
- Prácticas básicas de seguridad para toda la organización: actualizaciones, contraseñas y MFA, copias, segmentación, concienciación. Es una de las diez medidas del artículo 21.
- Cadena de suministro
- Proveedores directos y prestadores de servicios, en especial los de TIC, cuyos riesgos de seguridad debe gestionar la entidad (evaluación, cláusulas y seguimiento).
- Registro de entidades
- Lista de entidades esenciales e importantes que cada Estado debe elaborar y mantener; las entidades aportan sus datos (autoidentificación) y los actualizan.
- Lex specialis
- Principio por el que una norma sectorial más específica (por ejemplo, DORA para el sector financiero) prevalece sobre NIS2 en lo que esa norma regula con igual o mayor exigencia.
- Transposición
- Ley nacional que incorpora la Directiva al ordenamiento interno. En España, la Ley de Coordinación y Gobernanza de la Ciberseguridad, en tramitación.
- ENS
- Esquema Nacional de Seguridad (Real Decreto 311/2022): marco obligatorio para el sector público español y sus proveedores, muy alineado con las medidas de NIS2.
Fuentes oficiales
Dónde consultar el texto y las orientaciones.
Esta web resume y explica; la referencia es siempre la fuente oficial.
Directiva (UE) 2022/2555 (NIS2)
Texto consolidado en EUR-Lex, en todas las lenguas oficiales.
ENISA · NIS2
Agencia de la UE para la Ciberseguridad: guías técnicas de implantación y actos de ejecución.
INCIBE · NIS2 para pymes
Orientaciones, recursos y servicios de INCIBE-CERT para las entidades afectadas.
INCIBE-CERT · Guías
Guía nacional de notificación y gestión de ciberincidentes y otras guías técnicas.
CCN-CERT y ENS
Centro Criptológico Nacional: guías CCN-STIC y portal del Esquema Nacional de Seguridad.
Reglamento DORA (UE) 2022/2554
Resiliencia operativa digital del sector financiero: lex specialis respecto a NIS2.
Reglamento CRA (UE) 2024/2847
Ciberresiliencia de productos con elementos digitales.
Recomendación 2003/361/CE
Definición de microempresas, pequeñas y medianas empresas: la regla del tamaño de NIS2.
Primer paso
¿Listo para convertir NIS2 en una ventaja competitiva?
Realiza el diagnóstico gratuito o cuéntanos tu situación. Te devolvemos un primer criterio técnico y normativo en horario laboral.