Estado de NIS 2 en Irlanda
Qué exige la Directiva, en qué punto está Irlanda en la transposición, y quién asume la supervisión en el ínterin.
Panorama
La Directiva NIS 2 se sitúa en el nivel de la UE. Vincula a todos los Estados miembros, Irlanda incluida, a un único suelo de obligaciones para las entidades esenciales e importantes. Irlanda tiene que trasladar ese suelo al Derecho irlandés y poner en marcha la supervisión bajo él.
Irlanda incumplió el plazo de transposición del 17 de octubre de 2024. El General Scheme del National Cyber Security Bill 2024 se publicó el 30 de agosto de 2024. A principios de octubre de 2026 no se ha presentado ningún National Cyber Security Bill en el Oireachtas. El 8 de julio de 2026 la Comisión Europea remitió a Irlanda, junto con España, Francia y los Países Bajos, al Tribunal de Justicia de la UE y le pidió que imponga una suma a tanto alzado y multas diarias hasta que Irlanda notifique la transposición completa. Hasta que la ley esté en vigor, la transposición irlandesa de NIS 1 (las European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) sigue aplicándose.
El National Cyber Security Centre (NCSC-IE) es el CSIRT nacional. Según el General Scheme, será la autoridad competente principal y el punto de contacto único para NIS 2, junto a las autoridades competentes sectoriales: la CRU para energía, agua potable y aguas residuales, ComReg para infraestructura digital, gestión de servicios de TIC, espacio y proveedores digitales, el Central Bank of Ireland para la banca y las infraestructuras del mercado financiero (donde DORA se aplica como lex specialis), y otras autoridades para transporte y salud. Desde el 1 de junio de 2025 el NCSC y las funciones NIS pertenecen al Department of Justice, Home Affairs and Migration, que las asumió del Department of the Environment, Climate and Communications.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de la UE. Fija las obligaciones que cada Estado miembro debe transponer, incluido el criterio de tamaño y sector para las entidades esenciales e importantes. Se aplica a Irlanda con independencia del estado de la transposición nacional.
Acto de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Irlanda, sin necesidad de transposición nacional.
Transposición irlandesa
General Scheme del National Cyber Security Bill 2024 (borrador); hasta su promulgación: S.I. No. 360/2018 (NIS 1)
El Gobierno aprobó la redacción prioritaria el 24 de julio de 2024 y publicó el General Scheme el 30 de agosto de 2024. Aún no se ha presentado ningún proyecto de ley en el Oireachtas. El proyecto de ley y los reglamentos secundarios que le sigan contendrán el detalle operativo. Hasta entonces, la transposición de NIS 1 sigue en vigor, complementada por la orientación de NCSC-IE.
National Cyber Security Bill
Incorporará las obligaciones de NIS 2 al Derecho irlandés, definirá las entidades esenciales e importantes, establecerá las competencias de supervisión y de aplicación y anclará la notificación de incidentes. El detalle operativo se completará mediante reglamentos secundarios y orientación de NCSC-IE. Hoy: Heads of Bill publicados, texto final aún no promulgado.
NCSC-IE como autoridad competente principal
El National Cyber Security Centre es el CSIRT nacional (CSIRT-IE). Según el General Scheme, será la autoridad competente principal y el punto de contacto único para NIS 2, con reguladores sectoriales como la CRU, ComReg y el Central Bank como autoridades competentes de sus sectores. Ya publica orientación preparatoria, incluida la orientación en borrador sobre Risk Management Measures de junio de 2025, y remite al marco belga CyFun como base práctica.
Registro y notificación
A más tardar el 17 de abril de 2025, cada Estado miembro debía establecer su lista de entidades esenciales e importantes (art. 3(3) NIS 2). Irlanda aún no tiene esa base jurídica, y los portales de registro y de notificación de incidentes solo se abrirán cuando la ley esté en vigor. Los incidentes significativos seguirán entonces la Directiva: alerta temprana en 24 horas, notificación del incidente en 72 horas, informe final en un mes.
En territorio irlandés, se aplica el Derecho irlandés
La actividad en territorio irlandés sigue la transposición irlandesa. Un director gerente alemán con una filial irlandesa lee la próxima National Cyber Security Act para esa filial, y las Regulations de NIS 1 de 2018 entretanto, no la BSIG alemana. Las obligaciones de la directiva son idénticas. Los procedimientos, los portales y las sanciones viven en el Derecho irlandés.
Irlanda no puede situarse por debajo del suelo de la UE
La Directiva es de armonización mínima. Irlanda puede ir más estricta. Irlanda no puede situarse por debajo de la Directiva, ni en los deberes de las entidades esenciales e importantes, ni en los plazos de notificación, ni en la rendición de cuentas del órgano de dirección. Hasta que Irlanda transponga, los deberes de la Directiva no vinculan directamente a las empresas irlandesas. Cuando la ley esté en vigor, no podrá fijar un listón inferior al de la Directiva.
NCSC-IE
National Cyber Security Centre. CSIRT nacional (CSIRT-IE) y, según el General Scheme, la futura autoridad competente principal y punto de contacto único para NIS 2. Publica orientación preparatoria, abrirá los portales de registro y de notificación cuando la ley esté en vigor, y se coordina con ENISA y otros Estados miembros.
Department of Justice, Home Affairs and Migration
Ministerio responsable de la transposición. El 1 de junio de 2025 el Gobierno trasladó las funciones de ciberseguridad, incluidas las del Reglamento NIS 1 (S.I. No. 360/2018), del Department of the Environment, Climate and Communications al Department of Justice (S.I. No. 234/2025). El NCSC es un brazo operativo de este departamento. El General Scheme del National Cyber Security Bill 2024 está publicado; el proyecto de ley en sí aún no se ha presentado en el Oireachtas.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, opera la base de datos europea de vulnerabilidades y coordina a través de las fronteras. No es un supervisor de las entidades irlandesas. Según el General Scheme, esa función recaerá en NCSC-IE y en las autoridades competentes sectoriales cuando la ley esté en vigor.
Hasta que Irlanda transponga, se aplican las reglas alemanas, porque nuestra matriz está en Alemania.
No. NIS 2 sigue el principio de establecimiento. Una filial irlandesa se regula en Irlanda, una alemana en Alemania. La matriz alemana puede dar soporte internamente a la filial irlandesa; el deber jurídico de registrarse, notificar y supervisar recae en la entidad irlandesa y se dirige a NCSC-IE una vez que la ley esté en vigor. Hasta entonces, NIS 1 (S.I. No. 360/2018) rige para los sectores ya cubiertos.
Mientras el portal no esté operativo, no tengo que hacer nada.
Los deberes de NIS 2 de registro y notificación alcanzan a una empresa irlandesa solo a través de la ley irlandesa, que aún no está en vigor. Hasta entonces, NIS 1 (S.I. No. 360/2018) se aplica a los operadores de servicios esenciales ya designados conforme a él. Prepararse sigue compensando: la gestión de riesgos, un proceso de incidentes, las cláusulas de cadena de suministro y la formación del órgano de dirección llevan meses, y la ley fijará el plazo de registro cuando NCSC-IE abra el portal.
Solo los antiguos OES de NIS 1 quedan atrapados por NIS 2.
No. NIS 2 amplía sustancialmente el catálogo de sectores y tamaños. Los Operadores de Servicios Esenciales bajo NIS 1 suelen seguir estando atrapados bajo NIS 2, pero el perímetro es más amplio y ahora distingue entre entidades esenciales e importantes. Las entidades medianas y grandes enumeradas en los anexos I y II de la Directiva están dentro del ámbito, al igual que algunos pequeños proveedores con un papel particular, además de partes de la administración pública.
La mayoría de los operadores del mercado medio irlandés que conocemos siguen tratando NIS 2 como un plazo aplazado y esperan al National Cyber Security Bill. Jurídicamente eso se sostiene por ahora: una directiva vincula al Estado, no a la empresa, así que hasta que la ley esté en vigor solo se aplica el Reglamento NIS 1, y solo a los operadores ya designados conforme a él. En la práctica, el trabajo lleva meses, así que quien empieza ahora recibe la ley con la documentación ya preparada.
El paso práctico es el mismo que en toda la UE: ejecutar la prueba de aplicabilidad frente a la Directiva, usar la orientación preparatoria de NCSC-IE (el borrador de Risk Management Measures, CyFun) como orientación, establecer los cuatro deberes continuos (mantener actualizados los datos de registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión por el órgano de dirección) y documentar el mínimo. Una vez que la ley esté en vigor, el trabajo restante consiste sobre todo en encajar la documentación terminada en los procedimientos irlandeses.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690
- General Scheme del National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, estado y orientación de NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (junio de 2025)
- ComReg: según el General Scheme, autoridad competente para infraestructura digital, gestión de servicios de TIC, espacio y proveedores digitales
- Central Bank of Ireland: autoridad competente para DORA en el sector financiero
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Comisión Europea, 8 de julio de 2026: la Comisión remite a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia (digital-strategy.ec.europa.eu)
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
