La directiva europea de ciberseguridad NIS2 ya se aplica en toda la Unión Europea. Cada Estado miembro la transpone a su derecho nacional - Alemania desde diciembre de 2025, Polonia a partir de abril de 2026, y en algunos países sin ningún periodo transitorio. Aquí he reunido, en un lenguaje claro, a quién afecta, qué exige, qué multas prevé y por dónde empezar.
Este material tiene carácter informativo y no constituye asesoramiento jurídico. La clasificación definitiva de su empresa conviene confirmarla con un abogado.
NIS2 es la directiva europea de ciberseguridad, formalmente la Directiva (UE) 2022/2555. Sustituyó a la anterior directiva NIS de 2016 y elevó considerablemente el listón: más sectores, más obligaciones y multas con un peso real. Su objetivo es un nivel elevado y común de ciberseguridad en toda la Unión.
Cada Estado miembro transpone la directiva a su propio derecho nacional, y las transposiciones difieren en fechas y detalles. La ley alemana de transposición entró en vigor el 6 de diciembre de 2025, sin periodo transitorio; la ley polaca modificada del sistema nacional de ciberseguridad se aplica desde el 3 de abril de 2026. En cada país, una autoridad nacional supervisa su cumplimiento.
La Directiva NIS2 es la legislación sobre ciberseguridad a escala de la UE. Establece medidas jurídicas para reforzar el nivel general de ciberseguridad en la UE.- Comisión Europea, digital-strategy.ec.europa.eu
Entidades medianas y grandes (a partir de 50 empleados o 10 millones de euros de facturación) en 18 sectores, entre ellos la industria, la energía, el transporte, la sanidad y los servicios digitales. También sus proveedores, a través de requisitos incluidos en los contratos.
Para las entidades esenciales, hasta 10 millones de euros o el 2 % del volumen de negocios mundial; para las entidades importantes, hasta 7 millones de euros o el 1,4 %. A ello se suma la responsabilidad personal de la alta dirección.
El plazo de transposición de la UE venció el 17 de octubre de 2024. Ya se aplican las leyes nacionales - en Alemania desde el 6 de diciembre de 2025 sin periodo transitorio, en Polonia desde el 3 de abril de 2026 - normalmente con un plazo de registro de unos meses.
La directiva divide a las empresas en dos categorías - entidades esenciales e importantes - en función del sector y del tamaño.
Por regla general, empresas a partir de 250 empleados o 50 millones de euros de facturación que operan en los sectores críticos cubiertos por la normativa. Están sujetas a una supervisión más estricta y a multas más elevadas.
Empresas medianas (a partir de 50 empleados o 10 millones de euros de facturación) de los sectores cubiertos que quedan por debajo de los umbrales de las entidades esenciales. Un límite de multa más bajo y las mismas obligaciones básicas.
Anexo I - sectores de alta criticidad
Anexo II - otros sectores críticos
Aunque su empresa quede fuera de NIS2, puede verse afectada de forma indirecta. Si suministra software, infraestructura o servicios críticos a una entidad cubierta, ese cliente está obligado a verificar cómo gestiona usted la ciberseguridad. En la práctica, esto se traduce en cláusulas contractuales que le imponen requisitos similares a los que afronta su gran cliente.
El artículo 21 de la directiva establece un conjunto mínimo de medidas de gestión de riesgos. Fija los resultados exigidos y deja a la empresa la elección de la tecnología.
Un incidente significativo se notifica por fases al CSIRT nacional competente o a la autoridad de supervisión. Los plazos empiezan a contar desde el momento en que se tiene conocimiento del incidente.
Alerta temprana. La primera notificación del incidente a la autoridad, indicando si puede deberse a una acción ilícita o malintencionada.
Notificación del incidente con una evaluación inicial de su gravedad e impacto, junto con los indicadores de compromiso (IoC).
Informe final: una descripción completa del incidente, el análisis de la causa raíz, las medidas adoptadas y el posible impacto transfronterizo.
La directiva introduce multas que pesan en el presupuesto de cualquier empresa. Para las entidades esenciales alcanzan hasta 10 millones de euros o el 2 % del volumen de negocios anual total a escala mundial, optándose por el importe más elevado. Para las entidades importantes, hasta 7 millones de euros o el 1,4 %.
Lo nuevo y decisivo: la alta dirección debe aprobar las medidas de gestión de riesgos y supervisar su aplicación, y responde de los incumplimientos. Esta responsabilidad no puede delegarse por completo ni trasladarse por contrato. Con ello, la ciberseguridad se ha convertido definitivamente en un asunto del consejo de dirección, más allá del departamento de TI.
Los calendarios varían entre los Estados miembros. Alemania aplica su ley desde el primer día, con un registro obligatorio en un plazo de tres meses; Polonia concede un margen más amplio, con obligaciones que entran en vigor de forma escalonada hasta abril de 2027. Opere donde opere, el rumbo es el mismo, y en todo el mercado la mayoría de las empresas afectadas aún tiene trabajo por delante.
Fuente: Directiva (UE) 2022/2555, así como las leyes nacionales de transposición y las autoridades nacionales.
Entró en vigor la Directiva (UE) 2022/2555; los Estados miembros tenían hasta el 17 de octubre de 2024 para transponerla a su derecho nacional.
Las transposiciones van entrando en vigor en toda la UE - en Alemania desde el 6 de diciembre de 2025 sin periodo transitorio, en Polonia desde el 3 de abril de 2026 - con plazos de registro de unos meses tras su entrada en vigor.
Gestión de riesgos, notificación de incidentes (24 / 72 h / un mes), obligaciones de acreditación y documentación, que deben mantenerse sin interrupción.
La autoridad de supervisión puede exigir pruebas de que las medidas están implantadas; las entidades esenciales están sujetas a una supervisión periódica.
Hay tres decisiones de arquitectura que tomo desde el primer día de cada proyecto, porque de todos modos conducen a la conformidad con la directiva.
Los datos se quedan en su empresa. Todo lo que construyo funciona en la infraestructura del cliente (en sus propios servidores o en un servidor que usted mismo controla, alojado donde prefiera). Así el problema de la cadena de suministro queda resuelto a nivel técnico antes de que nadie empiece siquiera a hablar de él.
Registros de auditoría desde el primer día. El servidor los lleva automáticamente: quién, cuándo, qué. Además, añado el registro que usted necesite o que exija la normativa. El control de acceso actúa a nivel de cada registro, más allá de lo que se ve en pantalla.
La documentación se escribe sola. Se genera automáticamente a medida que se construye el sistema. Usted recibe un paquete listo que, en esencia, puede volver a generar desde el sistema en cualquier momento y utilizar como base para cualquier otra documentación que exijan las normas.
Última actualización: julio de 2026. Material informativo; no constituye asesoramiento jurídico.
La primera conversación es tranquila, para conocernos. Compruebo si puedo ayudarle. Sin diapositivas, sin presión comercial. Si veo que no encajamos, se lo digo directamente.
Describa brevemente lo que necesita - respondo en un día laborable. A menudo antes.
Teléfono +48 601 789 966 - puede llamar, contesto yo mismo.
