Estado de NIS 2 en Francia
Qué exige la directiva, cómo la transpone Francia y dónde se sitúa ANSSI dentro del cuadro.
Resumen
La directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Francia, con un mismo suelo de ciberseguridad para las entidades esenciales e importantes. Francia debe trasladar ese suelo al Derecho francés y operar un régimen de supervisión bajo él.
Francia todavía no ha transpuesto NIS 2. La transposición es un proyecto de ley del Gobierno, el projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, que abarca NIS 2, la directiva sobre entidades críticas y DORA. El Senado lo aprobó el 12 de marzo de 2025 y una comisión especial de la Assemblée nationale el 10 de septiembre de 2025. El debate en el pleno de la Assemblée está previsto para el 7 de octubre de 2026. La Comisión remitió a Francia al Tribunal de Justicia de la UE el 8 de julio de 2026 por no transponer NIS 2 y pidió sanciones económicas. El proyecto se superpone al régimen OIV existente (Opérateurs d'Importance Vitale) y al régimen OSE de NIS 1 (Opérateurs de Services Essentiels) en lugar de sustituirlos de forma total.
ANSSI (Agence nationale de la sécurité des systèmes d'information) opera el CSIRT nacional y es la autoridad nacional conforme al proyecto de ley. Ofrece un prerregistro voluntario en messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2); el registro pasa a ser un deber solo cuando se adopte la ley. Los reguladores sectoriales siguen implicados en los sectores que ya tenían uno, en particular las finanzas, donde DORA actúa como lex specialis.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidas las pruebas de tamaño y de sector para las entidades esenciales e importantes.
Implementación de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructuras digitales. Directamente aplicable en Francia sin transposición nacional.
Transposición francesa (proyecto de ley)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
El proyecto de ley del Gobierno que transpondrá NIS 2, junto con la directiva sobre entidades críticas y DORA. El Senado lo aprobó el 12 de marzo de 2025; el debate en el pleno de la Assemblée nationale está previsto para el 7 de octubre de 2026. El título I del proyecto reescribe las normas sobre operadores críticos del Code de la défense; el título II incorpora NIS 2 como artículos de la nueva ley, con ANSSI como autoridad nacional. Los decretos de aplicación y la guía de ANSSI rellenarán el detalle operativo.
El proyecto de ley de resiliencia y ciberseguridad
Llevará las obligaciones de NIS 2 al Derecho francés una vez adoptado; todavía no es ley. El proyecto define dos categorías, entités essentielles (EE) y entités importantes (EI), los poderes de supervisión de ANSSI, los deberes de notificación de incidentes y las sanciones. La mayor parte del detalle operativo se delega en décrets d'application.
ANSSI como supervisor y CSIRT
Conforme al proyecto de ley, ANSSI dirige la supervisión y las auditorías y remite las infracciones a una comisión de sanciones (commission des sanctions), que impone las multas. También opera el CSIRT nacional y el prerregistro voluntario en messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2). Los reguladores sectoriales como la ACPR para las finanzas conservan su propia competencia cuando se aplica la lex specialis.
Registro y notificación
La directiva exigía que los Estados miembros pudieran identificar a las entidades a partir del 17 de abril de 2025. Francia todavía no tiene un deber de registro: ANSSI ofrece un prerregistro voluntario en messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2), y el registro pasa a ser un deber solo cuando se adopte la ley. Una vez que se aplique, los incidentes significativos siguen la cadencia de la directiva: alerta temprana de 24 h, notificación de 72 h e informe final de un mes.
Dentro de Francia se aplica el Derecho local
Las entidades establecidas en Francia seguirán la transposición francesa una vez adoptada. Un Geschäftsführer alemán que dirige una filial francesa leerá el Derecho francés para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas; el procedimiento, el portal y las sanciones residirán en el Derecho francés.
Francia no puede bajar del suelo de la UE
La directiva es un instrumento de armonización mínima. Francia puede ser más estricta, y históricamente lo ha sido a través del régimen OIV. No puede situarse por debajo de la directiva en los deberes de las entidades esenciales e importantes, en los plazos de notificación de incidentes ni en la rendición de cuentas del órgano de dirección.
ANSSI
CSIRT nacional y autoridad nacional conforme al proyecto de ley. Opera el prerregistro voluntario de NIS 2 en messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2), publica guías y realiza auditorías. Conforme al proyecto, ANSSI supervisa y remite las infracciones a una comisión de sanciones (commission des sanctions), que impone multas de hasta 10 millones de EUR o el 2 % del volumen de negocios mundial para las entidades esenciales y de 7 millones de EUR o el 1,4 % para las entidades importantes. Custodia la doctrina histórica de OIV que alimentará la supervisión de NIS 2.
CNIL
La autoridad francesa de protección de datos. No es el regulador de NIS 2. Sigue siendo competente para la notificación de violaciones de datos personales en virtud del GDPR. Un incidente de NIS 2 que afecte a datos personales suele ser una doble notificación: ANSSI y CNIL.
ENISA
La agencia de ciberseguridad de la UE. Publica guías, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades francesas; lo es ANSSI.
Ya somos OIV, así que NIS 2 está resuelto.
Las clasificaciones OIV y OSE bajo el Code de la défense existente y el marco de NIS 1 no se trasladan automáticamente como entidades esenciales o importantes (EE o EI) bajo NIS 2. El perímetro es distinto, los umbrales sectoriales son distintos, y las entidades deben verificar su estado frente a los nuevos criterios. Muchos OIV son también entidades esenciales de NIS 2, pero el conjunto de obligaciones y el canal de notificación cambian.
NIS 2 en Francia solo se aplica a los grandes operadores.
La prueba de tamaño se limita por defecto a las medianas y grandes empresas, pero la directiva capta a las entidades pequeñas cuando son el único proveedor, cuando una interrupción tiene un impacto transfronterizo o cuando el Derecho francés las añade. Las administraciones públicas y determinados proveedores digitales están dentro con independencia del tamaño. La comprobación de aplicabilidad hay que hacerla caso por caso, no por el tamaño de la empresa por sí solo.
MonEspaceNIS2 y ANSSI solo aceptan francés.
El portal y la guía oficial son en francés en primer lugar. Las matrices extranjeras no deberían presuponer que necesitan una traducción francesa completa de cada política interna para registrarse o para presentar un informe de incidente.
La mayoría de los operadores franceses equivalentes al Mittelstand que vemos siguen tratando NIS 2 como una extensión del antiguo régimen OIV / OSE. Eso es medio cierto. Conforme al proyecto de ley, la supervisión y el canal de incidentes residen dentro de ANSSI como antes, pero el ámbito es más amplio y el visto bueno del órgano de dirección es más pesado. Una vez que se aplique la ley, el equivalente del Geschäftsführer (président, directeur général, gérant) está personalmente obligado por la aprobación de la gestión de riesgos y la formación.
El movimiento práctico es el mismo que en cualquier otro lugar de la UE: confirmar el ámbito bajo la directiva, prerregistrarse de forma voluntaria ante ANSSI (messervices.cyber.gouv.fr/nis2, antes MonEspaceNIS2) y registrarse cuando se adopte la ley, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar lo mínimo. El aparato OIV ayuda, pero no sustituye a las obligaciones de NIS 2.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, dossier legislativo
- Code de la défense, Articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, sitio oficial
- Prerregistro NIS 2 de ANSSI: messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2)
- ACPR / Banque de France: autoridad competente para DORA en el sector financiero
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
