Estado de NIS 2 en Finlandia
Qué exige la directiva, cómo la implementa Finlandia y dónde se sitúan Traficom y NCSC-FI en el conjunto.
Visión general
La directiva NIS 2 es la capa de la UE. Obliga a cada Estado miembro, Finlandia incluida, a un único umbral mínimo para las entidades esenciales e importantes. Finlandia tiene que trasladar ese umbral al derecho finlandés y ejecutar la supervisión por debajo de él.
Finlandia transpone NIS 2 mediante la Ley de Ciberseguridad (Kyberturvallisuuslaki, Ley 124/2025). El Parlamento la aprobó el 11 de marzo de 2025 y entró en vigor el 8 de abril de 2025. Eso es después del plazo de la UE del 17 de octubre de 2024. El 7 de mayo de 2025, la Comisión Europea envió un dictamen motivado a Finlandia y a otros dieciocho Estados miembros por no notificar a tiempo la transposición completa.
La supervisión se reparte sector por sector. La Agencia Finlandesa de Transporte y Comunicaciones, Traficom, supervisa el grupo más amplio de sectores y alberga el Centro Nacional de Ciberseguridad de Finlandia (NCSC-FI), que es el CSIRT nacional y el punto de contacto único conforme al artículo 8(3) de la directiva. Junto a Traficom, la Autoridad de Energía (Energiavirasto), la Agencia Finlandesa de Seguridad y Productos Químicos (Tukes) y otras autoridades sectoriales supervisan sus propios sectores. La banca y las infraestructuras del mercado financiero se rigen por DORA, no por la Ley de Ciberseguridad finlandesa.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de ámbito europeo. Establece las obligaciones que cada Estado miembro tiene que transponer, incluido el criterio de tamaño y sector para las entidades esenciales e importantes.
Acto de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Finlandia, sin transposición nacional necesaria.
Transposición finlandesa
Ley de Ciberseguridad 124/2025, en vigor desde el 8 de abril de 2025
La transposición finlandesa de NIS 2. Una ley horizontal de ciberseguridad que consolida obligaciones antes dispersas en varias leyes sectoriales específicas. Los reglamentos y la orientación de Traficom completan el detalle operativo.
Ley de Ciberseguridad 124/2025
Lleva las obligaciones de NIS 2 al derecho finlandés. Define las entidades esenciales e importantes, las potestades de supervisión, los deberes de notificación de incidentes y las sanciones. El detalle operativo se desarrolla mediante reglamentos y la orientación de Traficom.
Traficom y NCSC-FI
Traficom supervisa el transporte, la infraestructura digital, la gestión de servicios de TIC, el espacio, los servicios postales y de mensajería, los proveedores digitales, la investigación y la fabricación de vehículos, y alberga NCSC-FI como CSIRT nacional y punto de contacto único. Otros sectores dependen de sus propias autoridades, en particular Energiavirasto para las redes de electricidad, calefacción urbana y gas, y Tukes para el petróleo, el almacenamiento de gas, la refinación, la producción de hidrógeno, los productos químicos y partes de la fabricación. La banca y las infraestructuras del mercado financiero están cubiertas por DORA.
Registro y notificación
Las entidades finlandesas tenían que registrarse ante su supervisor sectorial a más tardar el 8 de mayo de 2025. Los cambios en los datos registrados deben notificarse en un plazo de dos semanas. Los incidentes significativos siguen la directiva: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final en un plazo de un mes. Todas las notificaciones se remiten al CSIRT en NCSC-FI.
El derecho finlandés se aplica en Finlandia
La actividad en territorio finlandés sigue la transposición finlandesa. Un director gerente alemán con una filial finlandesa lee la Ley de Ciberseguridad 124/2025 para esa filial, no el BSIG. Las obligaciones de la directiva son idénticas. El procedimiento, el supervisor y las sanciones viven en el derecho finlandés.
Finlandia no puede quedar por debajo del suelo de la UE
La directiva es un instrumento de armonización mínima. Finlandia puede ir más allá. Finlandia no puede quedar por debajo de la directiva, ni en los deberes para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección.
Traficom
La Agencia Finlandesa de Transporte y Comunicaciones supervisa directamente el transporte, la infraestructura digital, la gestión de servicios de TIC, el espacio, los servicios postales y de mensajería, los proveedores digitales, la investigación y la fabricación de vehículos y equipos de transporte, y, conforme a una ley aparte, la administración pública. Como todo supervisor finlandés, mantiene la lista de entidades de sus propios sectores.
NCSC-FI (Kyberturvallisuuskeskus)
El Centro Nacional de Ciberseguridad dentro de Traficom es el CSIRT nacional y el punto de contacto único conforme al artículo 8(3) de la directiva. Un incidente significativo se notifica legalmente al supervisor sectorial competente, que lo reenvía de inmediato a NCSC-FI; en la práctica, un formulario común de Traficom llega a la vez al supervisor, al CSIRT y al punto de contacto único.
ENISA
La agencia de ciberseguridad de la UE. Publica orientaciones, gestiona la base de datos europea de vulnerabilidades y coordina a nivel transfronterizo. No es un supervisor de las entidades finlandesas. Eso recae en Traficom y en las autoridades sectoriales.
Finlandia implementa NIS 2 de la misma forma que Alemania, así que podemos leer el BSIG.
Los deberes de la directiva son idénticos, la arquitectura de supervisión no. Finlandia usa una única ley horizontal, la Ley de Ciberseguridad 124/2025, en lugar de superponerse a una estructura federal del BSI. La supervisión se reparte entre reguladores sectoriales con Traficom y NCSC-FI coordinando. Trasladar el BSIG a Finlandia se equivoca de supervisor y de vía de notificación.
Todavía no hay una lista oficial, así que podemos esperar.
El registro es obligatorio desde el 8 de abril de 2025 y el plazo inicial fue el 8 de mayo de 2025. Cada supervisor sectorial mantiene la lista de entidades NIS 2 de sus sectores. No estar registrado no significa ser conforme, significa ser invisible para el supervisor. Los cambios en los datos registrados deben comunicarse en un plazo de dos semanas (art. 3(4) NIS 2, § 41 de la ley finlandesa).
Mi regulador sectorial se encarga de todo, NCSC-FI es solo consultivo.
La autoridad sectorial realiza la supervisión y las auditorías, y es también ante quien se notifica legalmente un incidente significativo. El supervisor reenvía de inmediato cada notificación al CSIRT de NCSC-FI y, en la práctica, un formulario común de Traficom entrega el informe a la vez al supervisor, al CSIRT y al punto de contacto único. Use ese formulario en lugar de escribir a mano a una sola autoridad.
La mayoría de los operadores finlandeses del segmento medio que conocemos siguen tratando NIS 2 como un asunto de TI. Eso es solo medio cierto. La supervisión y el canal de notificación se sitúan a nivel sectorial, el ámbito es más amplio que bajo el antiguo régimen finlandés de ciberseguridad y el órgano de dirección (toimitusjohtaja, hallitus) asume una responsabilidad mayor. El órgano de dirección aprueba y supervisa el procedimiento de gestión de riesgos y debe tener un conocimiento adecuado de la gestión de los riesgos de ciberseguridad; en las entidades esenciales, las infracciones graves reiteradas pueden conducir a una prohibición temporal de ejercer en el consejo.
El paso práctico es el mismo que en toda la UE: ejecutar la comprobación de aplicabilidad frente a la directiva, registrarse ante el supervisor sectorial y figurar en su lista de entidades, establecer los cuatro deberes continuos (mantener actualizados los datos de registro, notificación de incidentes, riesgo de cadena de suministro, supervisión por el órgano de dirección) y documentar el mínimo. Usar el formulario común de notificación de Traficom mantiene limpia la vía de notificación.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690
- Ley de Ciberseguridad 124/2025 (Kyberturvallisuuslaki): Finlex
- Traficom: Agencia Finlandesa de Transporte y Comunicaciones, página oficial de transposición de NIS 2
- Kyberturvallisuuskeskus (NCSC-FI): CSIRT nacional y punto de contacto único
- Energiavirasto: supervisor sectorial de electricidad, calefacción urbana y gas
- Tukes (Agencia Finlandesa de Seguridad y Productos Químicos): supervisor sectorial del petróleo, el almacenamiento de gas, la producción de hidrógeno, los productos químicos y partes de la fabricación
- Dictamen motivado de la Comisión Europea de 7 de mayo de 2025 sobre la transposición de NIS 2
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
