Requisitos NIS2: lo que su empresa tiene que aplicar
NIS2 pide medidas de seguridad en diez ámbitos, la notificación de los incidentes significativos y el registro ante el BSI. La dirección aplica las medidas y las supervisa. El alcance de cada medida depende del tamaño y del riesgo de su empresa.
Programas y membresías
Los requisitos de un vistazo
NIS 2 es una directiva de la UE. En Alemania la incorpora a la ley la Ley del BSI (BSIG). Allí, las empresas afectadas se llaman "entidades".
Medidas de seguridad en diez ámbitos
La lista mínima está más abajo, cada ámbito con un ejemplo.
Art. 21 NIS 2 · § 30 BSIG
Más sobre estoNotificar los incidentes significativos
En tres fases al BSI, la primera en un plazo de 24 horas.
Art. 23 NIS 2 · § 32 BSIG
Más sobre estoRegistrarse ante el BSI
Una vez, a través del portal del BSI. Si algo cambia, lo comunica en un plazo de dos semanas.
Art. 3(4) NIS 2 · § 33 BSIG
Más sobre estoLa dirección
Aplica las medidas, las supervisa y participa con regularidad en formaciones. La directiva exige además que la dirección apruebe las medidas.
Art. 20 NIS 2 · § 38 BSIG
Más sobre estoLas diez medidas con palabras sencillas
El art. 21(2) NIS 2 nombra diez ámbitos, en Alemania el § 30(2) BSIG. Es la lista mínima. Para cada ámbito necesita medidas que se ajusten a su empresa.
Análisis de riesgos y política de seguridad
Usted anota qué informática necesita su negocio y qué puede salir mal con ella. De ahí sale una política de seguridad: cómo gestiona su empresa la seguridad de la información.
Por ejemplo: Una lista de sus sistemas con una valoración de cada riesgo y una política de pocas páginas.
Art. 21(2)(a) · § 30(2) n.º 1
Gestión de incidentes
Usted decide cómo detecta, contiene y resuelve un incidente, y quién decide.
Por ejemplo: Un plan para incidentes con números de teléfono y responsabilidades claras.
Art. 21(2)(b) · § 30(2) n.º 2
Mantener la actividad
Copias de seguridad, recuperación tras una emergencia y gestión de crisis.
Por ejemplo: Una copia de seguridad cuya restauración ya ha probado.
Art. 21(2)(c) · § 30(2) n.º 3
Seguridad de la cadena de suministro
Usted tiene en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus productos y de sus prácticas de seguridad (art. 21(3) NIS 2). Los contratos son la herramienta habitual.
Por ejemplo: El contrato con su proveedor de servicios informáticos dice que le notifica los incidentes.
Art. 21(2)(d) · § 30(2) n.º 4
Seguridad al comprar, desarrollar y mantener la informática
La seguridad se aplica ya cuando compra informática, cuando desarrolla la suya propia y durante el mantenimiento. Eso incluye corregir las vulnerabilidades y tratarlas con transparencia, por ejemplo con una dirección a la que otros puedan notificar las vulnerabilidades que encuentren.
Por ejemplo: Las actualizaciones de seguridad se instalan automáticamente.
Art. 21(2)(e) · § 30(2) n.º 5
Evaluar la eficacia
Usted decide cómo comprueba si las medidas funcionan. La ley no prescribe pruebas ni auditorías para todas las entidades.
Por ejemplo: Una vez al año, la dirección repasa lo que funcionó y lo que no.
Art. 21(2)(f) · § 30(2) n.º 6
Formación básica y concienciación
Todos los empleados aprenden lo básico: reconocer correos sospechosos, elegir buenas contraseñas y notificar incidentes.
Por ejemplo: Una formación breve al incorporarse y un repaso una vez al año.
Art. 21(2)(g) · § 30(2) n.º 7
Criptografía
Usted decide dónde y cómo cifra.
Por ejemplo: Portátiles con discos cifrados y correo electrónico solo por conexiones cifradas.
Art. 21(2)(h) · § 30(2) n.º 8
Personal, accesos y gestión de la informática
¿Quién puede hacer qué? ¿Cómo reciben sus accesos las personas nuevas y cómo los pierden las que se van? Esto incluye un inventario de su informática.
Por ejemplo: El último día de trabajo se bloquean todos los accesos.
Art. 21(2)(i) · § 30(2) n.º 9
Segundo factor y comunicación segura
Iniciar sesión con un segundo factor además de la contraseña, o con una comprobación continua de que sigue trabajando la misma persona. También voz, vídeo y texto protegidos y, cuando haga falta, un canal protegido para emergencias.
Por ejemplo: Un código de una app al iniciar sesión en el correo y en el acceso remoto.
Art. 21(2)(j) · § 30(2) n.º 10
¿Cuánto es suficiente?
La ley pide medidas adecuadas, proporcionadas y eficaces (§ 30(1) BSIG). Lo que es proporcionado depende de su exposición al riesgo, su tamaño, el coste, la probabilidad y gravedad de los incidentes y sus consecuencias para otros.
Usted deja por escrito lo que aplica (§ 30(1), tercera frase, BSIG). La ley no exige un certificado como ISO 27001. Aun así, puede servir de apoyo a sus pruebas.
Lo que significa exactamente "proporcionado"Un ejemplo
Una empresa inventada: un fabricante de productos de panadería con 120 empleados que suministra al comercio. La producción industrial de alimentos figura en el Anexo 2 del BSIG, así que la empresa es una entidad importante. Esta es su respuesta a tres de los diez ámbitos:
Cadena de suministro: la empresa lleva una lista de sus proveedores de servicios, por ejemplo para la gestión de mercancías, el control de la cadena de frío y la informática. El contrato de informática dice que el proveedor notifica los incidentes.
Segundo factor: para el correo electrónico y el acceso remoto, todo el mundo necesita un código de una app.
Mantener la actividad: las recetas y los planes de producción se copian a diario. Una vez al año, informática prueba la restauración.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu, cada uno de los diez ámbitos se convierte en al menos un paso que usted rellena.
Junto a cada paso está la norma, explicada con palabras sencillas.
Cuando hace falta un documento, sale de sus respuestas: política de seguridad, plan de respuesta a incidentes, plan de continuidad de negocio, política de criptografía, política de personal, accesos y activos, y reglas para compras, mantenimiento y vulnerabilidades.
Cuando basta con una lista, usted lleva una lista: su informática, sus proveedores, sus copias de seguridad, sus formaciones.
Si decide no aplicar un punto, anota por qué. La dirección firma también esa decisión.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
Alerta temprana
Si se sospecha que el incidente se debe a un ataque o a un acto ilícito, y si podría afectar a otros países.
Notificación del incidente
Una primera evaluación de la gravedad y del impacto, con indicios de los atacantes (indicadores de compromiso) si los hay.
Informe final
Un mes después de la notificación: qué pasó, la causa probable y qué hizo usted al respecto.
¿Quién comprueba y cuándo?
Demuestran sus medidas al BSI mediante auditorías, inspecciones o certificaciones. La primera vez en una fecha que fija el BSI, como pronto tres años después de contar como operadores, y después cada tres años (§ 39 BSIG). Además, deben usar sistemas de detección de ataques (§ 31(2) BSIG).
No hay un ciclo de auditoría fijo. Usted deja por escrito lo que aplica (§ 30(1) BSIG). El BSI puede comprobarlo y ordenar auditorías por organismos independientes (§ 61(1) y (5) BSIG). Puede pedir pruebas como pronto a partir del 6 de diciembre de 2028 (§ 61(3) y (4) BSIG).
Usted deja por escrito lo que aplica. El BSI solo comprueba cuando hay hechos que sugieren que usted no cumple el § 30, el § 32 o el § 38(3) BSIG (§ 62 BSIG).
- Informes de auditoría internos o externos
- Certificaciones, como ISO 27001 o BSI IT-Grundschutz
- Su documentación: valoración de riesgos, medidas aplicadas y la comprobación de su eficacia
Un certificado según ISO 27001 o IT-Grundschutz ayuda, pero no cubre automáticamente el BSIG. La ley puede ir más allá del alcance de una certificación.
- Usted tiene en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus productos y de sus prácticas de seguridad, incluido su desarrollo (art. 21(3) NIS 2).
- Acuerda requisitos de seguridad con los proveedores cuando encaje, normalmente en el contrato. La exposición de motivos de la ley cita los contratos como ejemplo.
- Solo para los proveedores digitales que abarca el Reglamento de Ejecución (UE) 2024/2690: supervisan los cambios en las prácticas de seguridad de sus proveedores a intervalos planificados (punto 5.1.6 del anexo).
Fuentes
- Directiva (UE) 2022/2555 (NIS 2), art. 3, 20, 21 y 23 (eur-lex.europa.eu)
- Ley del BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 y 62 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anexo 2, n.º 4 producción, transformación y distribución de alimentos
- Reglamento de Ejecución (UE) 2024/2690, art. 3 y punto 5.1.6 del anexo
- Proyecto de ley del Gobierno federal alemán para la NIS2UmsuCG, documento del Bundestag 21/1501, exposición de motivos del § 30
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.