Estado de NIS 2 en Estonia
Qué exige la directiva, cómo la transpone Estonia a través de la Ley de Ciberseguridad y dónde se sitúa RIA dentro del conjunto.
Visión general
La directiva NIS 2 es la capa de la UE. Obliga a cada Estado miembro, Estonia incluida, con un único suelo de ciberseguridad para las entidades esenciales e importantes. Estonia debe plasmar ese suelo en el derecho estonio y ejecutar un régimen de supervisión bajo él.
Estonia transpuso NIS 2 a través de modificaciones de la Küberturvalisuse seadus (Ley de Ciberseguridad) existente, en lugar de una ley completamente nueva. Las modificaciones las aprobó el Riigikogu en diciembre de 2025 y entraron en vigor el 1 de enero de 2026. El plazo de transposición de la UE del 17 de octubre de 2024 se incumplió, razón por la que la Comisión Europea envió a Estonia un dictamen motivado en mayo de 2025.
La Autoridad del Sistema de Información (Riigi Infosüsteemi Amet, RIA) es la autoridad nacional competente, el punto de contacto único y el CSIRT. CERT-EE es la unidad de respuesta a incidentes de RIA. Los proveedores que ya estaban en el ámbito el 1 de enero de 2026 debían presentar sus datos a RIA en el plazo de tres meses, a través del portal estatal eesti.ee.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de ámbito europeo. Establece las obligaciones que cada Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Estonia sin transposición nacional.
Transposición estonia
Küberturvalisuse seadus, modificaciones de NIS 2 en vigor desde el 1 de enero de 2026
La transposición estonia de NIS 2 es un paquete de modificaciones de la Ley de Ciberseguridad existente (adoptado el 10 de diciembre de 2025, RT I, 30.12.2025, 4), complementado por reglamentos de ejecución y orientación de RIA. Según la exposición de motivos, el perímetro regulado pasa de unas 3.500 a unas 6.500 entidades, en energía, transporte, salud, infraestructura digital y administración pública.
Küberturvalisuse seadus, modificada para NIS 2
Estonia no redactó una nueva ley de ciberseguridad. La Ley de Ciberseguridad existente se modificó para llevar las obligaciones de NIS 2: las categorías de entidad esencial e importante, las potestades de supervisión de RIA, los deberes de notificación de incidentes y las sanciones. El detalle operativo se completa mediante reglamentos de ejecución y la orientación de RIA.
RIA como autoridad competente, CERT-EE como CSIRT
RIA (Riigi Infosüsteemi Amet, la Autoridad del Sistema de Información) es la autoridad nacional competente y el punto de contacto único conforme a NIS 2. CERT-EE, el CSIRT nacional, se sitúa dentro de RIA y gestiona el tratamiento y la coordinación de incidentes. Los reguladores sectoriales conservan sus funciones existentes donde se aplica la lex specialis.
Registro y notificación
Las modificaciones de la Ley de Ciberseguridad entraron en vigor el 1 de enero de 2026. Los proveedores dentro del ámbito en esa fecha debían notificarlo a RIA en el plazo de tres meses. Los proveedores que cumplan los criterios más adelante disponen de tres meses desde ese momento, y los cambios deben comunicarse en el plazo de dos semanas. Un miembro del consejo de administración presenta la notificación en eesti.ee. Los proveedores tienen tres años desde el 1 de enero de 2026 para cumplir los requisitos íntegramente. Los incidentes significativos se notifican a CERT-EE (raport.cert.ee o cert@cert.ee) con la cadencia de la directiva: alerta temprana de 24 horas, notificación de 72 horas e informe final de un mes.
El derecho local se aplica dentro de Estonia
Las operaciones en territorio estonio siguen la transposición estonia. Un Geschäftsführer alemán que dirige una filial estonia lee la Küberturvalisuse seadus para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas; el procedimiento, el portal y las sanciones viven en el derecho estonio y los supervisa RIA.
Estonia no puede quedar por debajo del suelo de la UE
La directiva es un instrumento de armonización mínima. Estonia puede ir más allá. No puede quedar por debajo de la directiva en los deberes de las entidades esenciales e importantes, en los plazos de notificación de incidentes ni en la responsabilidad del órgano de dirección.
RIA
Riigi Infosüsteemi Amet, la Autoridad del Sistema de Información. Autoridad nacional competente, punto de contacto único y regulador de ciberseguridad conforme a NIS 2. Opera el centro nacional de ciberseguridad, emite orientación, ejecuta la supervisión y coordina la respuesta a incidentes a través de CERT-EE.
CERT-EE
El CSIRT nacional estonio, organizativamente parte de RIA. Recibe las notificaciones de incidentes, coordina la respuesta en el sector público y los operadores de infraestructuras críticas, y conecta con la red de CSIRT de la UE.
ENISA
La agencia de ciberseguridad de la UE. Publica orientaciones, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades estonias; RIA lo es.
Estonia está en la UE, así que la NIS2UmsuCG alemana se aplica aquí también.
Cada Estado miembro transpone la directiva a su propio derecho. Una filial estonia sigue la Küberturvalisuse seadus, supervisada por RIA, aunque la matriz esté en Alemania. La notificación se realiza a través de CERT-EE, no a través del BSI alemán. Las obligaciones sustantivas están alineadas a nivel de la directiva, pero el procedimiento y el supervisor son estonios.
No hay un registro público de NIS 2 en Estonia, así que podemos esperar.
La Ley de Ciberseguridad modificada exige que los proveedores dentro del ámbito presenten sus datos a RIA: los que estaban en el ámbito el 1 de enero de 2026, en el plazo de tres meses; los que se incorporen después, en el plazo de tres meses desde que cumplan los criterios. Que un registro público sea o no visible para terceros es una cuestión aparte. Esperar hasta que la actuación coercitiva sea visible es el error más común.
No estamos en un sector crítico, así que NIS 2 no se aplica.
El perímetro de NIS 2 es más amplio que la antigua lista de OES de NIS 1. Sectores como la gestión de residuos, los servicios postales y de mensajería, la fabricación de determinados productos, la producción de alimentos y los proveedores digitales están ahora dentro del ámbito conforme al Anexo II si se cumple el criterio de tamaño. Las administraciones públicas y determinados proveedores digitales están dentro con independencia del tamaño. La comprobación debe hacerse frente al anexo sectorial de la directiva, no frente a la percepción de la entidad de ser crítica.
Estonia entró en NIS 2 desde una base elevada de gobierno digital. RIA ya operaba el centro nacional de ciberseguridad, CERT-EE ya estaba operativo y la Ley de Ciberseguridad ya existía. El paso de NIS 2 no fue una nueva arquitectura, fue un ámbito más amplio y una gobernanza más estricta: más sectores dentro, responsabilidad del órgano de dirección formalizada y plazos de notificación de incidentes alineados con la directiva.
El movimiento práctico es el mismo que en todo el resto de la UE: confirmar el ámbito conforme a la directiva, autorregistrarse ante RIA, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La base estonia ayuda con la madurez técnica, pero no sustituye a la documentación de las propias medidas de NIS 2.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Küberturvalisuse seadus (Ley de Ciberseguridad): Riigi Teataja
- Comisión Europea, rastreador de transposición de la directiva NIS 2: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, sitio oficial (ria.ee)
- CERT-EE: CSIRT nacional estonio, dentro de RIA
- Comunicados de prensa del Riigikogu sobre el proyecto de ley de transposición de NIS 2
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
