NIS2 y la Cyberbeveiligingswet: ¿afecta a su empresa?

Desde el 15 de agosto de 2026 está en vigor en los Países Bajos la Cyberbeveiligingswet (Ley de Ciberseguridad). Es posible que ya haya oído el término NIS2 a un cliente, un proveedor o un asesor. En este artículo le explicamos brevemente qué es la ley, a quién se aplica y qué supone para una pequeña empresa que no está sujeta a ella.

Este artículo ofrece una explicación general y no constituye asesoramiento jurídico. Las normas vigentes pueden consultarse en el NCSC y en el texto de la ley.

¿Qué es?

NIS2 es una directiva europea de 2022 (Directiva (UE) 2022/2555) cuyo objetivo es aumentar la resiliencia digital de las organizaciones de sectores importantes. Cada país transpone la directiva a su propia ley. En los Países Bajos se trata de la Cyberbeveiligingswet (Cbw). La ley se aplica desde el 15 de agosto de 2026, sin periodo transitorio, y sustituye a la antigua Wet beveiliging netwerk- en informatiesystemen (Wbni, Ley de seguridad de las redes y sistemas de información). Según el NCSC, más de 8.000 organizaciones están sujetas a ella. El NCSC es el punto de contacto.

¿Está mi empresa sujeta a la ley?

Depende de dos cuestiones: su sector y su tamaño.

1. ¿Trabaja usted en un sector incluido en la ley?

Para algunos sectores se aplican condiciones adicionales. Por tanto, no toda empresa que tenga alguna relación con los alimentos queda automáticamente sujeta a la ley.

2. ¿Es su empresa lo bastante grande? En resumen, la ley se aplica a las organizaciones medianas y grandes. Su empresa cuenta si:

• tiene 50 o más empleados (equivalentes a tiempo completo), o
• tiene menos de 50 empleados, pero su volumen de negocios anual y su balance general superan ambos los 10 millones de euros.

Las empresas asociadas y vinculadas también se tienen en cuenta. Por tanto, una empresa con 20 empleados que pertenece a un grupo de 200 puede quedar igualmente sujeta a la ley.

Excepciones, independientemente del tamaño. Algunos tipos de organizaciones están siempre sujetos a la ley, por pequeños que sean. Por ejemplo, los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel, los proveedores de redes y servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza y las organizaciones de la administración pública. Si su organización ha sido designada en virtud de la Wet weerbaarheid kritieke entiteiten (Ley de resiliencia de las entidades críticas), también está sujeta a la Cyberbeveiligingswet.

Compruébelo usted mismo con la autoevaluación

La Rijksinspectie Digitale Infrastructuur (RDI, Inspección Estatal de Infraestructura Digital) ofrece una autoevaluación NIS2 gratuita. Usted responde a preguntas sobre su sector, tamaño y servicios y obtiene un resultado. Este también indica si su organización es una entidad esencial o una entidad importante. La diferencia reside sobre todo en la supervisión: en las entidades esenciales, el organismo supervisor también puede realizar controles por iniciativa propia; en las entidades importantes, la supervisión es principalmente a posteriori. ¿Su empresa forma parte de un grupo o trabaja en varios países? En ese caso, le será útil la guía sobre modelos de negocio complejos del NCSC.

¿Qué debe hacer si está sujeto a la ley?

• Registrarse. Usted registra su organización a través de MijnNCSC.
• Deber de diligencia. Usted realiza un análisis de riesgos y adopta medidas adecuadas y proporcionadas. El NCSC menciona al menos diez ámbitos, entre ellos la gestión de incidentes, las copias de seguridad y la recuperación, la seguridad de su cadena de suministro, la formación, las actualizaciones, la gestión de accesos, la autenticación multifactor o las passkeys, el cifrado y la comprobación de que sus medidas funcionan. La dirección aprueba las medidas y supervisa su aplicación.
• Obligación de notificación. Un incidente significativo se notifica a través de MijnNCSC: en un plazo de 24 horas, una alerta temprana; en un plazo de 72 horas, una notificación con una primera evaluación de la gravedad y el impacto; y en el plazo de un mes, un informe final.

Esta notificación es independiente de la obligación de notificar violaciones de datos prevista en el RGPD. Esta última se aplica a cualquiera que trate datos personales, también a un autónomo, y se notifica a la Autoriteit Persoonsgegevens (Autoridad neerlandesa de Protección de Datos). Cuándo algo constituye una violación de datos y si debe notificarla, puede leerlo en ¿Es esto una violación de datos y debo notificarla? Por tanto, un ataque en el que también se hayan robado datos de clientes puede tener que notificarse a ambos organismos.

¿No está sujeto a la ley? La cadena de suministro puede afectarle igualmente

La mayoría de las pequeñas empresas no están sujetas a la ley. En ese caso, no tiene obligación de registro, ni obligación de notificación al NCSC, ni supervisión. Sin embargo, las organizaciones que sí están sujetas a ella también deben tener en cuenta los riesgos de sus proveedores y prestadores de servicios directos. Según el NCSC, la ley no impone obligaciones a los propios proveedores, pero los clientes sí pueden exigir requisitos sobre su seguridad digital. Estos se recogen entonces en un contrato o en un cuestionario.

¿Presta servicios a una organización más grande, por ejemplo como desarrollador web, administrador de sistemas informáticos o gestoría? En ese caso, es posible que le hagan preguntas como: ¿utilizan la verificación en dos pasos?, ¿quién tiene acceso a nuestros datos?, ¿dónde se guardan las copias de seguridad? y ¿con qué rapidez notifican un incidente?

• Los requisitos deben ser adecuados al riesgo de su servicio. Un proveedor con acceso a los sistemas tendrá requisitos más estrictos que el panadero que trae el almuerzo.
• Se trata de proveedores directos. Los proveedores de sus proveedores quedan fuera.
• La ley no exige ningún certificado. Puede ayudar en la conversación, pero no es una garantía.
• Empiece con tiempo: haga un inventario de las medidas que ya tiene y deje por escrito los acuerdos con su cliente.

Más información

• NCSC: Ley de Ciberseguridad (NIS2)
• NCSC: ¿Está mi organización sujeta a la Ley de Ciberseguridad?
• NCSC: Deber de diligencia
• NCSC: Obligación de notificación
• NCSC: La Ley de Ciberseguridad y los proveedores
• RDI: Autoevaluación NIS2
• Texto de la Ley de Ciberseguridad

¿Quiere aprender más? Siga el curso gratuito Seguridad en línea para empresarios, lección 9.1 NIS2 y la Ley de Ciberseguridad.