Transposición de NIS2 en Europa: qué países han transpuesto NIS2
El plazo de transposición era el 17 de octubre de 2024. Hoy se aplica una ley nacional en 24 de los 27 países de la UE. Todavía sin ley: Francia, España e Irlanda. A su empresa se le aplica la ley del país en el que está establecida; allí se registra.
Autoridad, portal y plazo por país
Las tablas están agrupadas según el estado del registro. Cada país muestra su ley y su plazo.
22
Operativo
1
Registro previo
0
Previsto
4
Aún no disponible
| País | Autoridad competente | Portal de registro | Plazo de registro | Legislación nacional |
|---|---|---|---|---|
| Alemania | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Bélgica | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Italia | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Austria | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| República Checa | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NÚKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Dinamarca | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Países Bajos | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polonia | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Suecia | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Aún no disponible | Por determinar | Cybersäkerhetslagen (SFS 2025:1506) |
| Croacia | NHCSC-HR (National Cybersecurity Center) | Aún no disponible | Por determinar | Zakon o kibernetičkoj sigurnosti |
| Lituania | NKSC (National Cybersecurity Center) | Aún no disponible | Por determinar | Kibernetinio saugumo įstatymas |
| Letonia | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Aún no disponible | 2025-04-01 | Nacionālās kiberdrošības likums |
| Grecia | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Eslovaquia | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | Por determinar | Zákon o kybernetickej bezpečnosti |
| Rumanía | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finlandia | Traficom + sector authorities (NCSC-FI as national CSIRT) | Aún no disponible | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estonia | RIA (Riigi Infosüsteemi Amet) | Aún no disponible | 2026-03-31 | Küberturvalisuse seadus |
| Portugal | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Hungría | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Aún no disponible | Por determinar | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luxemburgo | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Aún no disponible | Por determinar | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Eslovenia | URSIV (Information Security Agency) | Aún no disponible | 2025-12-19 | ZInfV-1 (Information Security Act) |
| País | Autoridad competente | Portal de registro | Plazo de registro | Legislación nacional |
|---|---|---|---|---|
| Francia | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | Por determinar | Loi Résilience (bundles NIS2 + DORA + CER) |
| País | Autoridad competente | Portal de registro | Plazo de registro | Legislación nacional |
|---|---|---|---|---|
| España | CCN-CERT / INCIBE | Aún no disponible | Por determinar | Aún no promulgada |
| Bulgaria | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Aún no disponible | Por determinar | Cybersecurity Act (amended) |
| Chipre | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | Por determinar | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irlanda | NCSC (National Cyber Security Centre) | Aún no disponible | Por determinar | National Cyber Security Bill (draft) |
Qué país es competente para su empresa
El país competente es el Estado miembro de la UE en el que está establecida su empresa. Allí se registra y allí notifica los incidentes.
Suministrar a un país no lo hace competente. Una filial en otro país de la UE está establecida allí; se le aplica la ley de ese país.
Hay excepciones para las telecomunicaciones, que dependen del país en el que prestan sus servicios, y para ciertos proveedores digitales, como la nube, los centros de datos y los servicios gestionados. Para ellos cuenta el establecimiento principal en la UE: el país en el que se toman principalmente las decisiones sobre ciberseguridad.
Art. 26(1) y (2) NIS 2
Qué es igual en todas partes, y qué no
La lista mínima de medidas de seguridad y los plazos de notificación, 24 horas, 72 horas y un mes, están en la propia directiva. Todos los países tienen que adoptarlos.
Lo que cambia es la autoridad, el portal, el plazo de registro y algunos detalles. Un país puede adoptar normas más estrictas.
Arts. 5, 21 y 23 NIS 2
Qué significa esto para una empresa de 50 a 150 empleados
Si su empresa solo está establecida en Alemania, se le aplica la Ley del BSI, aunque suministre a otros países.
Si tiene filiales en otros países de la UE, compruebe para cada una si está afectada según la ley de ese país. Para el tamaño cuentan las empresas vinculadas y asociadas, según la Recomendación 2003/361/CE.
Las medidas puede montarlas de forma conjunta. Cada sociedad tiene que registrarse y notificar en su propio país.
Un ejemplo
Una empresa inventada: un fabricante de tecnología de medición con 130 empleados en Alemania y una filial comercial en Austria con 12 empleados.
La fabricación de productos electrónicos y ópticos figura en el Anexo 2 del BSIG. La GmbH alemana es entidad importante y se registra ante el BSI.
La sociedad austriaca es una sociedad propia. Que esté afectada según la ley austriaca depende de su sector y su tamaño, contando a la sociedad matriz.
La empresa suministra desde Alemania a clientes en Francia e Italia. Por eso no tiene que registrarse allí.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu pregunta dónde está establecida su empresa y se guía por ello.
El paso de registro muestra la autoridad competente de su país y su portal.
Explica en qué país de la UE se registra, con las excepciones para las telecomunicaciones y los proveedores digitales.
Las medidas de seguridad siguen la lista mínima de la directiva, que se aplica en todos los países de la UE.
Las explicaciones del recorrido guiado están disponibles en alemán y en inglés.
Preguntas frecuentes
¿Qué países han transpuesto NIS2?
Se aplica una ley nacional en 24 de los 27 países de la UE. Todavía sin ley: Francia, España e Irlanda. Las tablas de arriba muestran, para cada país, la ley, la autoridad, el portal y el plazo.
¿Tengo que registrarme en cada país al que suministro?
No. El país competente es aquel en el que está establecida su empresa (art. 26(1) NIS 2). Una filial en otro país se registra allí si está afectada allí.
¿Hay un registro para toda la UE?
No. Cada país lleva el suyo. Para ciertos proveedores digitales, como la nube y los centros de datos, ENISA lleva además un registro (art. 27 NIS 2).
¿Qué se aplica en un país que todavía no ha transpuesto NIS2?
La directiva se dirige a los Estados miembros. Los deberes para las empresas solo nacen con la ley nacional. Hasta entonces, pueden seguir aplicándose allí normas anteriores de la primera directiva NIS.
Fuentes
- Directiva (UE) 2022/2555 (NIS 2), arts. 5, 21, 23, 26, 27 y 41, EUR-Lex
- Recomendación 2003/361/CE de la Comisión, EUR-Lex
- Leyes, autoridades y portales por país: la información de las propias autoridades nacionales, enlazada en las tablas
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
