NIS2 y la Ley de Ciberseguridad: ¿su empresa está sujeta a ella?
Desde el 15 de agosto de 2026 está en vigor en los Países Bajos la Ley de Ciberseguridad. Puede que ya haya oído el término NIS2 de boca de un cliente, un proveedor o un asesor. En este artículo le explicamos brevemente qué es esta ley, quién está sujeto a ella y qué significa para una pequeña empresa que no entra directamente dentro de su ámbito.
Este artículo ofrece una explicación general y no constituye asesoramiento jurídico. Las normas actuales se encuentran en el NCSC y en el texto de la ley.
¿Qué es?
NIS2 es una directiva europea de 2022 (Directiva (UE) 2022/2555) cuyo objetivo es reforzar la resiliencia digital de las organizaciones en sectores importantes. Cada país traspone la directiva en su propia legislación nacional. En los Países Bajos, esta ley es la Cyberbeveiligingswet (Ley de Ciberseguridad, Cbw). La ley está en vigor desde el 15 de agosto de 2026, sin periodo transitorio, y sustituye a la antigua Ley de Seguridad de Redes y Sistemas de Información (Wbni). Según el NCSC, más de 8.000 organizaciones están sujetas a ella. El NCSC es el punto de contacto.
¿Está mi empresa sujeta a esta ley?
Esto depende de dos cuestiones: su sector y su tamaño.
1. ¿Trabaja en un sector contemplado en la ley?
| Anexo 1 | Anexo 2 |
|---|---|
| Energía, transporte, banca, infraestructura de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio | Servicios postales y de mensajería, gestión de residuos, sustancias químicas, productos alimentarios, fabricación (industria manufacturera), proveedores digitales, investigación |
Para algunos sectores se aplican condiciones adicionales. Por tanto, no toda empresa relacionada con productos alimentarios entra automáticamente dentro del ámbito de la ley.
2. ¿Es su empresa lo bastante grande? En resumen, están sujetas las organizaciones medianas y grandes. Se considera que cumple el criterio si:
- tiene 50 o más trabajadores (ETC), o
- tiene menos de 50 trabajadores, pero su facturación anual y su balance total superan ambos los 10 millones de euros.
Las empresas asociadas y vinculadas también cuentan. Así, una empresa con 20 trabajadores que forma parte de un grupo de 200 puede estar sujeta a la ley de todos modos.
Excepciones, independientemente del tamaño. Algunos tipos de organizaciones están siempre sujetas a la ley, por pequeñas que sean. Por ejemplo, los proveedores de servicios DNS, los registros de dominios de nivel superior, los proveedores de redes y servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza y las organizaciones gubernamentales. Si su empresa ha sido designada en virtud de la Ley de Resiliencia de Entidades Críticas, también está sujeta a la Ley de Ciberseguridad.
Compruébelo usted mismo con la autoevaluación
La Inspección Nacional de Infraestructura Digital (RDI) dispone de una autoevaluación NIS2 gratuita. Responda a preguntas sobre su sector, tamaño y servicios y obtendrá un resultado. Este también indica si usted es una entidad esencial o una entidad importante. La diferencia radica sobre todo en la supervisión: en el caso de las entidades esenciales, el supervisor también puede realizar controles por propia iniciativa, mientras que en las entidades importantes la supervisión es principalmente a posteriori. ¿Su empresa forma parte de un grupo o trabaja en varios países? Entonces le resultará útil la guía sobre modelos de negocio complejos del NCSC.
¿Qué debe hacer si está sujeto a la ley?
- Registrarse. Debe dar de alta a su organización a través de MijnNCSC.
- Deber de diligencia. Debe realizar un análisis de riesgos y adoptar medidas adecuadas y proporcionadas. El NCSC menciona al menos diez ámbitos, entre ellos la gestión de incidentes, las copias de seguridad y la recuperación, la seguridad de su cadena de suministro, la formación, las actualizaciones, la gestión de accesos, la autenticación multifactor o las passkeys, el cifrado y las pruebas para comprobar si sus medidas funcionan. La dirección de la empresa aprueba las medidas y supervisa su cumplimiento.
- Obligación de notificación. Un incidente significativo se notifica a través de MijnNCSC: una primera alerta en un plazo de 24 horas, una notificación con una primera estimación de la gravedad y el impacto en un plazo de 72 horas, y un informe final en el plazo de un mes.
Esta notificación es independiente de la obligación de notificación de brechas de seguridad que establece el RGPD. Esta última se aplica a todo el que trate datos personales, incluidos los autónomos, y se notifica a la Autoridad de Protección de Datos. Por tanto, un ataque en el que también se hayan sustraído datos de clientes puede requerir la notificación a ambas instancias.
¿No está sujeto a la ley? Aun así, la cadena de suministro puede afectarle
La mayoría de las pequeñas empresas no están sujetas a esta ley. En ese caso, no tiene obligación de registro, ni obligación de notificación ante el NCSC, ni está sujeto a supervisión. Sin embargo, las organizaciones que sí están sujetas a la ley también deben tener en cuenta los riesgos de sus proveedores directos y prestadores de servicios. Según el NCSC, la ley no impone obligaciones directas a los proveedores, pero los clientes sí pueden exigir requisitos relativos a su seguridad digital. Estos requisitos suelen plasmarse en un contrato o un cuestionario.
¿Presta servicios a una organización más grande, por ejemplo como desarrollador web, administrador de sistemas TI o gestoría? Entonces podría recibir preguntas como: ¿utilizan la verificación en dos pasos, quién tiene acceso a nuestros datos, dónde se almacenan las copias de seguridad y con qué rapidez notifican un incidente?
- Los requisitos deben ser proporcionados al riesgo de su servicio. Un proveedor con acceso a los sistemas recibirá requisitos más estrictos que el panadero que entrega el almuerzo.
- Se trata de proveedores directos. Los proveedores de sus proveedores quedan fuera del ámbito.
- La ley no exige un certificado. Puede ayudar en la conversación, pero no constituye ninguna garantía.
- Empiece a tiempo: identifique qué medidas ya tiene implantadas y deje constancia por escrito de los acuerdos con su cliente.