Reglamento de Ejecución (UE) 2024/2690 (CIR): a quién vincula y qué exige
El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, abreviado CIR, establece en detalle cómo ponen en marcha ciertos proveedores digitales las diez medidas de seguridad de NIS2, y cuándo un incidente en ellos es significativo. Se aplica directamente en todos los países de la UE, pero solo a once tipos de proveedores, como la nube, los centros de datos y los servicios gestionados. Para cualquier otra empresa no es la vara de medir, solo una posible referencia.
A quién vincula el reglamento
El artículo 1 nombra once tipos de entidades. El reglamento las llama «entidades pertinentes».
Arts. 1 y 16 Reglamento de Ejecución (UE) 2024/2690
- Proveedores de servicios de DNS
- Registros de nombres de dominio de primer nivel (TLD)
- Proveedores de servicios de computación en nube
- Proveedores de servicios de centro de datos
- Proveedores de redes de distribución de contenidos
- Proveedores de servicios gestionados
- Proveedores de servicios de seguridad gestionados
- Proveedores de mercados en línea
- Proveedores de motores de búsqueda en línea
- Proveedores de plataformas de servicios de redes sociales
- Prestadores de servicios de confianza
Es un reglamento, no una directiva. Por eso se aplica en todos los países de la UE sin una ley nacional. Se publicó en el Diario Oficial el 18 de octubre de 2024 y entró en vigor 20 días después.
Si un proveedor así entra en NIS2 lo deciden la directiva y la ley nacional, en Alemania el § 28 BSIG. El reglamento solo dice cómo exactamente pone en marcha las medidas.
Qué exige el anexo
El anexo tiene 13 secciones. Cada una corresponde a una letra del art. 21(2) NIS 2 y tiene requisitos concretos numerados.
N.º 1
Política de seguridad de las redes y sistemas de información
Un documento de política que la dirección revisa al menos una vez al año, además de funciones y responsabilidades claras.
N.º 2
Política de gestión de riesgos
Identificar, evaluar y tratar los riesgos. Los resultados se revisan al menos una vez al año.
N.º 3
Gestión de incidentes
Detectar, registrar, clasificar, gestionar y revisar los incidentes.
N.º 4
Continuidad de las actividades y gestión de crisis
Planes de contingencia, copias de seguridad y redundancia, gestión de crisis.
N.º 5
Seguridad de la cadena de suministro
Una política para las relaciones con los proveedores directos y un registro de esos proveedores.
N.º 6
Adquisición, desarrollo y mantenimiento
Seguridad al comprar y desarrollar sistemas, cambios, pruebas, actualizaciones y gestión de vulnerabilidades.
N.º 7
Evaluar la eficacia
Decidir cómo se comprueba si las medidas funcionan.
N.º 8
Ciberhigiene y formación
Reglas básicas para todos, concienciación y formación, también para la dirección.
N.º 9
Criptografía
Una política sobre el cifrado, con gestión de claves.
N.º 10
Seguridad de los recursos humanos
Responsabilidades, verificación de antecedentes cuando proceda, y procedimientos para las salidas y los cambios de función.
N.º 11
Control de acceso
Derechos de acceso, cuentas privilegiadas, identificación, autenticación y, cuando proceda, varios factores (n.º 11.7).
N.º 12
Gestión de activos
Un inventario de sistemas y activos, su clasificación y su manejo.
N.º 13
Seguridad física y del entorno
Protección frente a cortes de suministro, incendios y agua, acceso físico controlado.
También aquí se aplica la proporcionalidad: cuentan el riesgo, el tamaño y la probabilidad y gravedad de los incidentes (art. 2(2)). Cuando el anexo dice «cuando proceda» y un proveedor no aplica un requisito, documenta el motivo de forma comprensible.
Cuándo un incidente es significativo
Para las entidades pertinentes, el reglamento fija cuándo un incidente es significativo y, por tanto, debe notificarse. El artículo 3 se aplica a todas ellas: por ejemplo, una pérdida económica directa de más de 500.000 euros o del 5 % de la facturación anual, la cifra que sea menor, la exfiltración de secretos comerciales, o un acceso logrado y presuntamente malintencionado que pueda causar una perturbación grave de la actividad.
Si en seis meses se producen al menos dos incidentes con la misma causa aparente y juntos alcanzan el umbral de pérdida económica, cuentan juntos como significativos (artículo 4).
Los artículos 5 a 14 fijan umbrales por tipo de proveedor. Un ejemplo: un servicio en la nube que está completamente indisponible durante más de 30 minutos (artículo 7). El mantenimiento programado no cuenta.
Arts. 3 a 14 Reglamento de Ejecución (UE) 2024/2690 · Art. 23(3) NIS 2
Cómo se relaciona con el BSIG alemán
Para los once tipos de proveedores, el reglamento prevalece sobre las medidas del § 30 BSIG (§ 30(3) BSIG).
No se aplica a ninguna otra empresa. Sus medidas se miden con el § 30 BSIG. La Comisión aún no ha adoptado un acto de ejecución para todas las entidades (§ 30(4) BSIG).
Según el § 44(2) BSIG, el IT-Grundschutz del BSI solo cuenta como cumplimiento del § 30 para los organismos de la administración federal. Para las empresas puede estructurar el trabajo, pero no es una prueba reconocida por la ley.
§ 30(3) y (4) · § 44(2) BSIG
Qué significa esto para una empresa de 50 a 150 empleados
La mayoría de las empresas de este tamaño, como fabricantes, empresas de alimentación o empresas de residuos, no pertenecen a ninguno de los once tipos. El reglamento no las vincula. Miden sus medidas con el § 30 BSIG.
Puede leer el reglamento como referencia si quiere ver cómo es una medida en detalle. No es un deber.
Pero si su empresa es un proveedor de servicios de TI que opera o gestiona los sistemas de sus clientes, puede ser un proveedor de servicios gestionados. Entonces el reglamento se le aplica directamente.
Un ejemplo
Dos empresas inventadas con 90 empleados cada una.
Un fabricante de máquinas de embalaje: la fabricación de maquinaria figura en el Anexo 2 del BSIG, así que la empresa es entidad importante. El reglamento no la vincula. Revisa su política de seguridad con un intervalo que fija ella misma.
Un proveedor de servicios de TI que opera servidores, redes y puestos de trabajo para 200 clientes: es un proveedor de servicios gestionados. El reglamento se le aplica directamente.
Para el proveedor de servicios de TI esto significa, entre otras cosas: la dirección revisa la política de seguridad al menos una vez al año, la evaluación de riesgos se revisa al menos una vez al año, y el acceso a sus sistemas usa varios factores cuando procede.
Si tiene un incidente, comprueba los umbrales de los artículos 3 y 10 del reglamento antes de decidir si notifica.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu cubre lo que el BSIG pide a toda entidad, y conoce a los proveedores a los que se aplica el reglamento.
Cada uno de los diez ámbitos del § 30(2) BSIG se convierte en al menos un paso que usted rellena.
El paso de la política de seguridad indica que, para los proveedores a los que se aplica el reglamento, la política se revisa al menos una vez al año.
Si su empresa figura en infraestructura digital, gestión de servicios TIC o proveedores digitales, cada requisito sigue abierto para usted con los detalles del reglamento, aunque el recorrido guiado ya haya hecho la parte que debe toda entidad.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Qué es el CIR 2024/2690?
El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024. Para once tipos de proveedores digitales fija los requisitos técnicos y metodológicos de las medidas del art. 21(2) NIS 2 y precisa cuándo un incidente en ellos es significativo.
¿Se aplica el reglamento a mi empresa?
Solo si es uno de los once tipos del artículo 1, como nube, centro de datos o servicios gestionados, y entra en NIS2 según la ley nacional. No se aplica a nadie más.
¿Hay que transponer el reglamento al derecho nacional?
No. Como reglamento, se aplica directamente en todos los países de la UE. En Alemania, el BSIG le da prioridad para los proveedores pertinentes (§ 30(3) BSIG).
¿Cuántas secciones tiene el anexo?
13. Siguen las letras a) a j) del art. 21(2) NIS 2. El control de acceso (n.º 11), por ejemplo, contiene la autenticación multifactor (n.º 11.7).
¿Basta un certificado ISO 27001?
El reglamento se apoya, entre otras, en ISO/IEC 27001 y 27002 (considerandos). Pero un certificado no sustituye sus requisitos. Compruebe cada requisito del anexo por separado.
Fuentes
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, DO L, 2024/2690, 18 de octubre de 2024, EUR-Lex
- Directiva (UE) 2022/2555 (NIS 2), arts. 21 y 23, EUR-Lex
- Ley del BSI (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
