Implantar NIS2: cómo lo aborda una empresa mediana
Usted registra su empresa ante el BSI, aplica medidas de seguridad en diez ámbitos y notifica los incidentes significativos. La dirección lo supervisa. Lo exhaustiva que debe ser cada medida depende del tamaño y del riesgo de su empresa.
Programas y membresías
Los cuatro deberes
NIS 2 es una directiva de la UE. En Alemania la incorpora a la ley la Ley del BSI (BSIG). Allí, una empresa a la que se aplica se llama "entidad". Cada entidad tiene cuatro deberes.
Registrarse
Usted registra su empresa una vez ante el BSI, a través de su portal.
- Norma
- Art. 3(4) NIS 2 · § 33 BSIG
- Quién
- Quien gestiona la cuenta de empresa en ELSTER
Aplicar medidas y dejarlas por escrito
Usted protege su informática en diez ámbitos, desde el plan para incidentes hasta el inicio de sesión con un segundo factor. Lo que decida, lo deja por escrito.
- Norma
- Art. 21 NIS 2 · § 30 BSIG
- Quién
- Quien es responsable de la informática, en la empresa o como proveedor de servicios
Notificar los incidentes significativos
Usted notifica al BSI un incidente de seguridad significativo, la primera notificación en un plazo de 24 horas. Un incidente es significativo, por ejemplo, cuando perturba gravemente su actividad.
- Norma
- Art. 23 NIS 2 · § 32 BSIG
- Quién
- Quien decide en una emergencia
La dirección lidera
La dirección aplica las medidas y las supervisa. Además, participa con regularidad en una formación. Estos deberes recaen en la propia dirección.
- Norma
- Art. 20 NIS 2 · § 38 BSIG
- Quién
- La dirección, en persona
Lo que esto significa con 50 a 150 empleados
No necesita un equipo de seguridad propio. La ley no lo exige.
No necesita un certificado como ISO 27001. La ley no lo exige, aunque puede ayudar como prueba.
Las medidas deben ajustarse a su empresa. La referencia es su exposición al riesgo, su tamaño, el coste y la probabilidad y gravedad de los incidentes (§ 30(1), segunda frase, BSIG).
Usted deja por escrito lo que aplica (§ 30(1), tercera frase, BSIG). Además, las medidas deben ser eficaces.
El trabajo lo hacen personas que ya tiene: la dirección, quien es responsable de la informática y los departamentos que saben lo que necesita el negocio.
En qué orden
Cada paso se apoya en el anterior.
- 1Compruebe si NIS2 se le aplica. Depende de su sector, de su número de empleados y de su facturación (§ 28 BSIG).
- 2Regístrese ante el BSI.
- 3Haga que la dirección reciba formación.
- 4Anote qué informática usa su negocio y quién trabaja para usted. Después, valore los riesgos.
- 5Decida las medidas y déjelas por escrito en documentos: una política de seguridad, planes de emergencia y reglas para accesos, actualizaciones y cifrado.
- 6La dirección lee los documentos y los aprueba.
- 7Después, compruebe con regularidad que todo sigue encajando.
Un ejemplo
Una empresa inventada: un fabricante de sistemas de transporte de materiales con 90 empleados. Un empleado se ocupa de la informática, junto con un proveedor de servicios externo.
La comprobación muestra que la fabricación de maquinaria figura en el Anexo 2 del BSIG. Con 90 empleados, la empresa cuenta como entidad importante.
El gerente solicita un certificado de organización en ELSTER. Cuando llega la carta con el código de activación, registra la empresa en el portal del BSI.
Hace una formación para la dirección.
El empleado de informática anota de qué depende el negocio: ERP, correo electrónico, software de diseño, control de la producción y copias de seguridad. Después, los proveedores, como el proveedor de servicios informáticos y el fabricante del ERP.
Juntos valoran, para cada entrada, lo que podría pasar. Un fallo del control de la producción es lo que más pesa.
De ahí salen los documentos: la política de seguridad, un plan de respuesta a incidentes, un plan de continuidad de negocio y reglas para accesos, actualizaciones y cifrado.
El gerente los lee y los aprueba. El plan de respuesta a incidentes dice quién decide durante un incidente.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu le lleva por la implantación en este orden, paso a paso.
20 pasos. Los operadores de instalaciones críticas tienen uno más.
Junto a cada paso está la norma, explicada con palabras sencillas.
Con sus respuestas se generan seis documentos, entre ellos la política de seguridad y los dos planes de emergencia.
Lo que todavía no puede hacer, lo deja aparte y sigue adelante.
Si decide no aplicar un punto, anota por qué. La dirección firma también esa decisión.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
Errores frecuentes
Esperar a una guía definitiva
El BSIG se aplica desde el 6 de diciembre de 2025. Desde entonces se aplica también el deber de tomar medidas del § 30 BSIG.
Planificar demasiado a lo grande
La ley pide medidas proporcionadas, no las mayores posibles. Los sistemas de detección de ataques, por ejemplo, solo son obligatorios para los operadores de instalaciones críticas (§ 31(2) BSIG).
Dejar NIS2 solo en manos de informática
La dirección debe aplicar las medidas y supervisarlas (§ 38(1) BSIG). Implíquela desde el principio.
Olvidar a los proveedores
La seguridad de la cadena de suministro es uno de los diez ámbitos (§ 30(2) n.º 4 BSIG). Abarca a todos los proveedores y prestadores de servicios directos, no solo a los de informática.
Solo papel
La ley pide medidas eficaces (§ 30(1) BSIG). Un documento que nadie conoce no protege nada.
Fuentes
- Directiva (UE) 2022/2555 (NIS 2), art. 3, 20, 21 y 23 (eur-lex.europa.eu)
- Ley del BSI (BSIG) de 2 de diciembre de 2025, §§ 28, 30, 31, 32, 33 y 38, en vigor desde el 6 de diciembre de 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anexo 2, n.º 5.4 fabricación de maquinaria (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, "Mein Unternehmenskonto" y registro en el portal del BSI (bsi.bund.de/dok/muk)
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.