NIS2: cómo comprobar si le afecta y cumplir las obligaciones de ciberseguridad

Desde el 6 de diciembre de 2025 está en vigor en Alemania la nueva ley del BSI que transpone la Directiva NIS2 y, con ella, nuevas obligaciones de ciberseguridad para miles de empresas de 18 sectores.

Resumen: la BSIG (ley del BSI, la Oficina Federal alemana de Seguridad de la Información) obliga a las entidades «importantes» y «esenciales» de 18 sectores —por lo general a partir de 50 empleados o más de 10 millones de euros de facturación— a registrarse ante el BSI, a aplicar medidas de gestión de riesgos como la autenticación multifactor, las copias de seguridad y la seguridad de la cadena de suministro, y a respetar plazos de notificación escalonados en caso de incidentes de seguridad. La dirección responde personalmente; en caso de infracción se prevén multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial.

¿A quién afecta NIS2?

Afecta a las entidades «importantes» y «esenciales» de uno de los 18 sectores definidos por la ley, por lo general empresas con 50 o más empleados o con más de 10 millones de euros de facturación anual. Entre los sectores comprendidos figuran, entre otros, la energía, el transporte, la sanidad, la infraestructura digital, la gestión de residuos y la industria manufacturera. Lo decisivo no es solo el tamaño de la empresa, sino su pertenencia a uno de esos sectores: una empresa de software con 80 empleados puede quedar fuera, mientras que una compañía de abastecimiento de agua con 55 empleados está claramente incluida. Quien tenga dudas debería comprobar de forma específica si le afecta, por ejemplo con la comprobación de afectación del BSI o con una herramienta como Company Audit, que contrasta automáticamente las obligaciones propias de cada sector. Dentro de los sectores, la ley distingue además entre las entidades «esenciales» —por ejemplo energía, agua, banca o infraestructura digital—, sujetas a supervisión proactiva, y las entidades «importantes», que el BSI controla cuando hay un motivo concreto.

¿Qué deben hacer en concreto las empresas afectadas?

Las entidades afectadas deben registrarse ante el BSI y establecer una gestión de riesgos para sus sistemas de TI y de TO. La ley exige medidas técnicas y organizativas concretas, entre ellas la autenticación multifactor, un plan de copias de seguridad y de emergencia, el uso de criptografía y la protección de la cadena de suministro frente a proveedores y prestadores de servicios. Además, la dirección debe supervisar la aplicación de estas medidas y formarse periódicamente en materia de ciberseguridad, ya que responde de ello personalmente. Conviene asimismo documentar las medidas adoptadas, de modo que, en una inspección del BSI o tras un incidente de seguridad, pueda acreditarse qué pasos se dieron y cuándo.

¿Hasta cuándo deben notificarse los incidentes de seguridad?

Para los incidentes de seguridad significativos se aplica un procedimiento de notificación en tres fases ante el BSI: una notificación inicial en un plazo de 24 horas, una notificación de seguimiento con valoración detallada en un plazo de 72 horas y un informe final como máximo un mes después del incidente. Para poder cumplir este calendario en caso de emergencia, el proceso de notificación debe definirse de antemano y ser conocido en la empresa: quién notifica, a quién y con qué información.

¿Qué ocurre si se incumplen las obligaciones de NIS2?

El incumplimiento de las obligaciones de registro, de gestión de riesgos o de notificación puede sancionarse con multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial, según cuál sea la cantidad más alta. Dado que la dirección responde personalmente de la supervisión de las medidas, las omisiones pueden acarrear además consecuencias civiles para la gerencia y el consejo de administración. También las empresas que no entran directamente en el ámbito de NIS2 notan la regulación: a través de los requisitos de cadena de suministro de sus clientes se ven empujadas de facto a adoptar medidas de seguridad comparables.

Los pasos más importantes para aplicar NIS2

1. Comprobar si la empresa pertenece a uno de los 18 sectores de NIS2, por ejemplo con la comprobación de afectación del BSI.
2. Si le afecta, registrarse ante el BSI dentro de plazo.
3. Aplicar las medidas de gestión de riesgos: autenticación multifactor, plan de copias de seguridad y de emergencia, criptografía y seguridad de la cadena de suministro.
4. Establecer un proceso de notificación de incidentes de seguridad con los plazos de 24 horas, 72 horas y un mes.
5. Formar a la dirección y documentar la supervisión de las medidas para cumplir con la responsabilidad personal de la dirección.

Preguntas frecuentes

¿A partir de cuántos empleados se aplica NIS2?

El umbral general es de 50 empleados o más de 10 millones de euros de facturación anual. Pero además es decisivo que la empresa pertenezca a uno de los 18 sectores designados por la ley: el tamaño por sí solo no basta para quedar afectado.

¿Afecta NIS2 también a las empresas más pequeñas?

Directamente, por lo general no, si no se alcanzan los umbrales. Sin embargo, los proveedores y prestadores de servicios más pequeños de entidades afectadas se ven con frecuencia empujados de facto a adoptar medidas de seguridad comparables por los requisitos de cadena de suministro de sus clientes.

¿Qué ocurre si un incidente de seguridad se notifica tarde?

Si no se respeta el plazo escalonado de 24 horas para la notificación inicial, de 72 horas para la de seguimiento o de un mes para el informe final, existe una infracción del § 32 BSIG, que puede sancionarse con multa.

¿Responde personalmente la dirección de las infracciones de NIS2?

Sí. La BSIG establece que la dirección supervisa la aplicación de las medidas de gestión de riesgos, se forma y puede ser considerada personalmente responsable de las omisiones.

¿Cómo averiguo si mi empresa está afectada?

Lo más fiable es la comprobación oficial de afectación del BSI, que pregunta de forma específica por el sector, el tamaño y la facturación. Si todavía tiene dudas, realice esta comprobación antes del registro para evitar trabajo innecesario.

Fuente: §§ 28, 30, 32, 33 BSIG (ley de transposición de NIS2). Este artículo es una información general y no sustituye el asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.