Estado de NIS 2 en los Países Bajos
Los Países Bajos transpusieron la Directiva NIS 2 de la UE a través de la Cyberbeveiligingswet (Cbw). La ley llegó tarde y se aplica desde el 15 de agosto de 2026, sin período transitorio.
Visión general
El fundamento jurídico es la Directiva NIS 2 de la UE (2022/2555). Establece el mínimo de obligaciones de ciberseguridad en cada Estado miembro. Los Países Bajos plasmaron ese mínimo en derecho nacional a través de la Cyberbeveiligingswet (Cbw), que sustituyó a la antigua Wbni (Wet beveiliging netwerk- en informatiesystemen) que implementó NIS 1.
El plazo de transposición de la UE del 17 de octubre de 2024 lo incumplieron los Países Bajos y la mayoría de los Estados miembros, incluida Alemania. El proyecto de ley neerlandés pasó por consulta pública en 2024, se presentó a la Tweede Kamer en junio de 2025 y se adoptó como Ley de 8 de julio de 2026 (Staatsblad 2026, 187). La Comisión remitió a los Países Bajos al Tribunal de Justicia de la UE el 8 de julio de 2026, un mes antes de que la Cbw surtiera efecto el 15 de agosto de 2026.
La Cbw y su decreto de desarrollo, el Cyberbeveiligingsbesluit (Staatsblad 2026, 189), entraron en vigor el 15 de agosto de 2026 sin período transitorio, igual que Alemania gestionó el BSIG. La Cbw adoptada, junto con la directiva de la UE, es ahora la referencia al delimitar el trabajo.
Directiva de la UE
Directiva (UE) 2022/2555 relativa a medidas para un elevado nivel común de ciberseguridad en toda la Unión (NIS 2).
Establece obligaciones de gestión de riesgos (Art. 21), notificación de incidentes (Art. 23), responsabilidad del órgano de dirección (Art. 20) y registro de entidades (Art. 3(4)). Los Estados miembros deben transponerla a su derecho nacional, pero no pueden quedar por debajo del mínimo.
Reglamento de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 (CIR).
Especifica en detalle cómo son las medidas del Art. 21 para los proveedores de servicios de DNS, los registros de nombres de TLD, los proveedores de nube, de centros de datos y de redes de distribución de contenidos, los proveedores de servicios gestionados (de seguridad), los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en los Países Bajos sin acto nacional adicional.
Transposición neerlandesa
Cyberbeveiligingswet (Cbw), Ley de 8 de julio de 2026 (Staatsblad 2026, 187), en vigor desde el 15 de agosto de 2026; sustituyó a la Wbni.
La Cbw asigna las funciones de supervisión y de CSIRT, define las entidades esenciales e importantes para los Países Bajos y añade especificidades nacionales como tasas, procedimientos de designación y traspasos sectoriales. Su decreto de desarrollo, el Cyberbeveiligingsbesluit (Staatsblad 2026, 189), entró en vigor con ella el 15 de agosto de 2026.
Cyberbeveiligingswet (Cbw)
Transpone NIS 2 al derecho neerlandés y se aplica desde el 15 de agosto de 2026. Define las entidades esenciales (essentiële) e importantes (belangrijke), establece las potestades de supervisión, las multas y los procedimientos de notificación de incidentes, e integra por referencia el CIR de la UE.
RDI, reguladores sectoriales, NCSC-NL
La supervisión se reparte por sectores: la Rijksinspectie Digitale Infrastructuur (RDI) para la infraestructura digital, los proveedores digitales, la gestión de servicios TIC, la energía y la administración; la ILT para el transporte, el agua y los productos químicos; el DNB para la banca; la AFM para las infraestructuras del mercado financiero; la NVWA para los alimentos. NCSC es el CSIRT para la mayoría de los sectores.
Plazo de la UE incumplido, registro a través del portal neerlandés
El plazo de la UE del 17 de octubre de 2024 venció sin la transposición neerlandesa. Desde el 15 de agosto de 2026, las entidades dentro del ámbito deben registrarse en el registro nacional de entidades en MijnNCSC (mijn.ncsc.nl), con inicio de sesión mediante eHerkenning, y comunicar los cambios sin demora y en un plazo de dos semanas. Los incidentes significativos se notifican tanto al CSIRT como al supervisor en un plazo de 24 horas (alerta temprana) y 72 horas (notificación completa), en línea con el Art. 23 NIS 2.
El derecho nacional sigue al lugar donde estás establecido
Una entidad queda sujeta al país donde está establecida. Solo algunos proveedores digitales (nube, centros de datos, proveedores de servicios gestionados, mercados en línea y similares) quedan sujetos al país de su establecimiento principal en la UE, y los proveedores de telecomunicaciones quedan sujetos a cada país donde prestan servicios (Art. 26(1) NIS 2).
La directiva es el suelo, nunca el techo
La Cbw no puede quedar por debajo de NIS 2. Puede ser más estricta en especificidades nacionales (procedimientos de designación, tasas, listas sectoriales). Para las medidas de gestión de riesgos y la notificación de incidentes, el texto de la UE y el CIR fijan la sustancia; el acto neerlandés añade el envoltorio procedimental.
Rijksinspectie Digitale Infrastructuur (RDI)
El supervisor de la infraestructura digital, los proveedores digitales, la gestión de servicios TIC, la energía, el espacio, los servicios postales, la fabricación y la administración. La autoridad competente en derecho es el ministro responsable. Sucesora de la Agentschap Telecom; depende del Ministerio de Asuntos Económicos.
NCSC-NL (Nationaal Cyber Security Centrum)
CSIRT nacional bajo el Ministerio de Justicia y Seguridad. Recibe las notificaciones de incidentes conforme al Art. 23, emite avisos sectoriales y coordina con ENISA y otros CSIRT nacionales. Desde el 1 de enero de 2026 el Digital Trust Center forma parte del NCSC, que es ahora el punto de contacto único para la resiliencia digital y el CSIRT para la mayoría de los sectores de la Cbw. Gestiona el registro de entidades en MijnNCSC.
ENISA
Emite orientaciones a nivel de la UE e informes técnicos de implementación. No es un regulador de las entidades neerlandesas. Su Technical Implementation Guidance sobre el CIR (con correspondencias con ISO 27001) está escrita para los proveedores digitales que cubre el CIR; otras entidades pueden usarla como referencia.
El NIS 2 neerlandés refleja el BSIG alemán uno a uno.
Ambos transponen la misma directiva, pero los textos difieren. Los Países Bajos mantienen un modelo de regulador sectorial más fuerte y usan la RDI como supervisor horizontal; Alemania canaliza casi todo a través del BSI. Los niveles de sanción, la mecánica de registro y los deberes de formación de la dirección están redactados de forma distinta. Lee la Cbw en sus propios términos, no como una traducción del BSIG.
Todavía no hay obligación de registro neerlandesa, así que podemos esperar.
El Art. 3(4) NIS 2 exige que cada Estado miembro mantenga un registro y que las entidades aporten sus datos. El registro es obligatorio en los Países Bajos desde el 15 de agosto de 2026, sin período de gracia: las entidades dentro del ámbito se registran en el registro nacional de entidades en MijnNCSC, que lleva el ministro de Justicia y Seguridad (Art. 43 Cbw). Los cambios se comunican sin demora y, en cualquier caso, en un plazo de dos semanas desde la fecha del cambio (Art. 44(2) Cbw).
Mi regulador sectorial se encarga de todo, la RDI no es relevante.
La supervisión conforme a la Cbw se reparte por sectores: el DNB para la banca, la AFM para las infraestructuras del mercado financiero, la ILT para el transporte, el agua y los productos químicos, la NVWA para los alimentos y la RDI para la infraestructura digital, la energía, la administración y varios otros sectores. Para las entidades financieras cubiertas por DORA, DORA actúa como lex specialis en ciberseguridad, pero el registro NIS 2 conforme al Art. 3(4) sigue aplicándose.
La mayoría de las entidades neerlandesas dentro del ámbito ya sabían que lo estarían. La Cbw se aplica desde el 15 de agosto de 2026 sin período transitorio, así que ahora importan dos cosas: el registro en el registro de entidades en MijnNCSC y cualquier comunicación del supervisor de tu sector que aclare el ámbito.
Operativamente, se aplican cuatro deberes constantes conforme a la Cbw, que transpone estos artículos de la UE: gobernar la seguridad con responsabilidad de la dirección (Art. 20), ejecutar medidas de gestión de riesgos (Art. 21), notificar los incidentes significativos con el reloj de 24 y 72 horas (Art. 23) y registrarse y mantener el registro actualizado (Art. 3(4)).
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex, DO L 333, 27 de diciembre de 2022
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024
- Cyberbeveiligingswet (Cbw), Ley de 8 de julio de 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transposición de NIS 1, sustituida por la Cbw el 15 de agosto de 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, información de supervisión de NIS 2
- NCSC-NL, ncsc.nl, notificación de incidentes y orientación del CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, versión 1.0, junio de 2025 (tabla de correspondencias versión 1.2, septiembre de 2025)
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
