Dos leyes europeas de ciberseguridad recaen sobre las empresas de software con quince meses de diferencia, y la mayoría de las explicaciones las tratan como competidoras o como una sola nebulosa. No son ninguna de las dos cosas. El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, regula productos. La Directiva NIS2, Directiva (UE) 2022/2555, regula entidades. Cuál le alcanza depende de lo que vende y de su tamaño, y una empresa puede estar bajo ambas.

Aquí está la distinción, las dos pruebas y las diferencias prácticas que importan cuando se aplican las dos.

La versión en una frase

  • CRA: usted introduce en el mercado de la UE un producto con elementos digitales (software instalado o descargable, una app, una biblioteca, firmware, un dispositivo, y el tratamiento a distancia sin el que un producto no puede funcionar). Se aplica al producto y a su fabricante con independencia del tamaño.
  • NIS2: usted es una entidad mediana o mayor que presta un servicio en uno de los sectores listados (computación en nube, centros de datos, servicios gestionados, mercados en línea, motores de búsqueda, redes sociales, DNS y el resto de los anexos I y II), o una más pequeña que un Estado miembro ha identificado específicamente. Se aplica a la organización, no a un producto.

El software como servicio puro es el caso que decide para la mayoría de las empresas de software: es un servicio, así que queda fuera del CRA por el considerando 12, y queda dentro de NIS2 si el proveedor es mediano o mayor y está en un sector listado, siendo la computación en nube el evidente.

La tabla de decisión

Usted CRA NIS2
Vende software instalado o descargable, cualquier tamaño Sí, como fabricante Solo si además es una entidad mediana o mayor en un sector listado
Vende un dispositivo con software dentro, cualquier tamaño Sí, como fabricante Igual que arriba
Opera una plataforma SaaS, menos de 50 personas y menos de 10 millones EUR de facturación No, salvo que un producto que introduce en el mercado dependa de ella No, salvo que un Estado miembro le haya identificado
Opera una plataforma SaaS, 50 personas o más o 10 millones EUR o más, nube o sector listado No, salvo que un producto dependa de ella Sí, como entidad importante o esencial
Vende software instalado y opera el backend en la nube sin el que no funciona, mediana o mayor Sí, el producto y su tratamiento a distancia Sí, como entidad, si está en un sector listado
Construye software a medida para un cliente y se lo entrega Sí, como fabricante de ese producto Solo si además es una entidad listada

La línea de tamaño es la de NIS2: el artículo 2, apartado 1, aplica la Directiva a las entidades que sean medianas empresas conforme a la Recomendación 2003/361/CE de la Comisión o superen sus límites, es decir, 50 personas o más o más de 10 millones EUR de facturación, con las excepciones propias de la Directiva para ciertas entidades con independencia del tamaño. El CRA no tiene ninguna línea de tamaño.

Qué pide cada una

CRA: los 22 requisitos esenciales del anexo I incorporados al producto y a su gestión de vulnerabilidades, una documentación técnica, una evaluación de la conformidad cuya vía depende del nivel del producto, el marcado CE, un período de soporte de al menos cinco años y la notificación conforme al artículo 14 de vulnerabilidades explotadas activamente e incidentes graves.

NIS2: las diez medidas de gestión de riesgos del artículo 21, apartado 2, que para los sectores digitales se detallan en el Reglamento de Ejecución (UE) 2024/2690 y se corresponden sección por sección con un sistema de gestión ISO 27001; el registro ante la autoridad nacional; la responsabilidad y formación del órgano de dirección; y la notificación conforme al artículo 23 de incidentes significativos.

La forma es distinta. El CRA pregunta cómo es su producto y qué hace con sus vulnerabilidades. NIS2 pregunta cómo gestiona el riesgo su organización y qué hace con los incidentes en sus servicios.

Los relojes de notificación parecen iguales y no lo son

Ambos usan 24 horas, 72 horas y un informe final, y ahí acaba el parecido.

CRA artículo 14 NIS2 artículo 23
Qué lo desencadena Una vulnerabilidad explotada activamente en el producto, o un incidente grave que afecte a la seguridad del producto Un incidente significativo que afecte al servicio de la entidad
Alerta temprana 24 horas desde el conocimiento 24 horas desde el conocimiento
Notificación 72 horas desde el conocimiento 72 horas desde el conocimiento
Informe final Vulnerabilidad: 14 días después de que esté disponible una medida correctora o de mitigación. Incidente: un mes después de la notificación de 72 horas Un mes después de la notificación de 72 horas
Destinatario El CSIRT designado como coordinador del Estado miembro del fabricante, y ENISA, a través de la plataforma única de notificación El CSIRT o la autoridad competente del Estado miembro de la entidad, según las normas nacionales
En vigor 11 de septiembre de 2026, incluidos los productos ya en el mercado Desde la transposición nacional, con plazo el 17 de octubre de 2024

Una empresa bajo ambas puede tener dos obligaciones a partir de un solo suceso: una vulnerabilidad de su producto explotada (CRA) y el incidente resultante en su propio servicio (NIS2), con dos destinatarios y dos anclajes para el informe final. El informe final de vulnerabilidad del CRA no corre desde el conocimiento, y ese es el error más común de los textos que funden las dos. Los dos relojes uno al lado del otro, con los umbrales de NIS2 que hacen significativo un incidente, tienen su propio artículo.

Las multas

CRA, artículo 64: hasta 15 000 000 EUR o el 2,5 % del volumen de negocios anual mundial para el anexo I y los artículos 13 y 14; hasta 10 000 000 EUR o el 2 % para las demás obligaciones de los operadores; hasta 5 000 000 EUR o el 1 % por inducir a error a una autoridad. El tamaño es un factor obligatorio según el artículo 64, apartado 5, letra c). Escrito aquí.

NIS2, artículo 34: los Estados miembros deben prever máximos de al menos 10 000 000 EUR o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y de al menos 7 000 000 EUR o el 1,4 % para las entidades importantes, por infracciones de los artículos 21 o 23. «Al menos» porque es una Directiva: el derecho nacional fija el techo real.

Quién aplica

Ambas se aplican a nivel nacional. Bajo el CRA es la autoridad de vigilancia del mercado que cada Estado miembro designa y registra ante la Comisión, y el día en que empezó a aplicarse el artículo 14, siete de 27 habían registrado una. Bajo NIS2 es la autoridad competente que cada Estado miembro designa en su transposición, que en la mayoría de los Estados ya existía antes de la Directiva y se extendió a ella.

Qué decidir, y dejar por escrito

Dos determinaciones, de una página cada una. Primero, la determinación del ámbito del CRA, que seis preguntas en este sitio producen como texto: qué introduce en el mercado, si tiene tratamiento a distancia esencial, qué exclusión en su caso, qué nivel. Segundo, la de NIS2: su tamaño conforme a la Recomendación 2003/361/CE, en qué sector del anexo I o II encaja en su caso, y si la transposición de su Estado miembro le añade con independencia del tamaño. Feche ambas y guárdelas juntas, porque la respuesta a «qué ley se aplica» es lo primero que lee cualquiera de las dos autoridades, y una empresa que la tiene por escrito ya ha respondido a la segunda pregunta, que es quién es responsable.

Fuentes

  • Reglamento (UE) 2024/2847 (CRA): artículos 2, 3, 13, apartado 8, 14, 32, 52, 64, 69, 71, apartado 2; considerando 12; anexos I, III, IV, VII. Leído en el texto del Diario Oficial en EUR-Lex el 11 de septiembre de 2026.
  • Directiva (UE) 2022/2555 (NIS2): artículo 2, apartado 1 (umbral de tamaño por remisión a la Recomendación 2003/361/CE), artículo 21, apartado 2, artículo 23, apartado 4, letras a), b) y d) (plazos citados), artículo 34, apartados 4 y 5 (multas citadas), anexos I y II. Leído en EUR-Lex el 11 de septiembre de 2026.
  • Reglamento de Ejecución (UE) 2024/2690 de la Comisión, para las medidas de los sectores digitales.

Esto no es asesoramiento jurídico. Ambos textos están en EUR-Lex; los números de artículo están ahí para que pueda comprobar las dos pruebas frente a su propia empresa.