Directiva (UE) 2022/2555
NIS2, para una empresa de software
Desde el 18 de octubre de 2024, NIS2 alcanza a una empresa por su tipo de entidad y su tamaño, 67 tipos en los dos anexos; la cuestión es cuál es usted.
Responda arriba para leer la determinación de su caso; la herramienta completa se lleva sus respuestas.
Continuar en la determinación gratuitaLa determinación completa responde cada pregunta y conserva la lectura como documento fechado por €29.
De un vistazo
Cinco herramientas, gratuitas, sin cuenta
- Comprobación gratuita¿Está su empresa bajo NIS2, y es esencial o importante?Cinco preguntas de los artículos 2, 3 y 26 frente a los 67 tipos de entidad de los anexos I y II, con una determinación escrita, la ley del Estado y lo que se aplica directamente.
- GuíaDónde registrarse, Estado por EstadoLa autoridad, la vía y la ley de cada uno de los veintisiete, con el día de lectura.
- PlazoEl plazo de incidentes: 24 horas, 72 horas, un mesEl momento del conocimiento como entrada; los tres plazos del artículo 23, apartado 4, el CSIRT del Estado, y la alerta temprana, la notificación y el informe final redactados con los contenidos de la Directiva.
- CorrespondenciaNIS2 correspondida con ISO 27001Las 13 secciones del anexo del Reglamento de Ejecución frente a los controles ISO 27001 que las satisfacen, y los dos puntos en que pide más.
- GuíaEl registro de transposición, Estado por EstadoCada medida nacional comunicada a la Comisión, 305 de 25 de los 27 Estados, con el acto que cada Estado llama su ley NIS2 y los Estados sin nada en el registro.
- GuíaLos Estados miembros, una página cada unoLo que se aplica en cada uno de los 27 Estados, según los registros: la ley NIS2, el CSIRT, el coordinador y la autoridad del CRA, la autoridad del RGPD, el organismo de acreditación, con las dos herramientas de ámbito ya rellenadas para el Estado.
- GuíaUn perfil de proveedor gratuitoPara el proveedor de una empresa sujeta a NIS2: responder una vez a las preguntas del cliente sobre las diez medidas, y compartir un enlace.
- GuíaNIS2 para pequeñas empresas: ¿le afecta?Normalmente no por tamaño. Algunos servicios quedan incluidos con cualquier tamaño, y los clientes afectados le preguntarán por su seguridad de todos modos.
Cada plantilla gratuita en una página
Dos instrumentos y un registro
La Directiva, aplicada desde el
18 de octubre de 2024
Una directiva obliga a través del derecho nacional. 25 de los 27 Estados miembros habían comunicado a la Comisión al menos una medida de transposición a 23 de octubre de 2026; el registro nombra el acto que cada uno llama su ley NIS2.
El Reglamento de Ejecución
13 secciones, efecto directo
El Reglamento de Ejecución (UE) 2024/2690 fija las medidas técnicas y los umbrales de incidente para los proveedores de nube y otros proveedores digitales, el mismo texto en cada Estado, sin transposición. Se escribió a partir de ISO 27001.
El registro, a más tardar el
17 de enero de 2025
Los proveedores de servicios de computación en nube, de centros de datos, de servicios gestionados, de mercados en línea, de motores de búsqueda y de redes sociales tenían que presentar su nombre, direcciones, Estados miembros atendidos y rangos de IP a su autoridad competente para el registro de la ENISA, en virtud del artículo 27.
El registro en Austria, según las páginas de la autoridad(en inglés)
Registro NIS2, hecho en una semana: 490 €
Ámbito decidido y cada campo preparado, en 5 días laborables.
16 artículos, a partir de las fuentes primarias
Qué ley, y qué añade a ISO 27001
- ArtículoNIS2 para una empresa SaaS: es usted un proveedor de servicios de computación en nube, y esto es lo que sigueEl considerando 33 de la Directiva nombra el software como servicio entre los modelos de servicio en nube, de modo que una empresa SaaS de tamaño mediano o mayor es una entidad de NIS2 como proveedor de servicios de computación en nube: importante por debajo de los límites de las medianas empresas, esencial por encima.
- ArtículoNIS2 para proveedores de servicios gestionados y MSSP: una entidad del anexo I por definición, y el proveedor en el que aterriza la diligencia de cada clienteEl artículo 6(39) convierte a quien instala, gestiona, explota o mantiene TIC para clientes, in situ o a distancia, en proveedor de servicios gestionados, y el artículo 6(40) convierte a los que ayudan en la gestión de riesgos de ciberseguridad en MSSP.
- ArtículoNIS2 para mercados en línea, motores de búsqueda y redes sociales: los proveedores digitales del anexo II, y por qué nunca son esenciales por tamañoTres definiciones tomadas de otros tres actos deciden si una plataforma es un proveedor digital bajo NIS2: un mercado donde los consumidores celebran contratos a distancia, un motor de búsqueda que busca en principio en todos los sitios web, una plataforma donde los usuarios finales se conectan y comparten.
- ArtículoEsencial o importante bajo NIS2: la regla de tamaño, las reglas sin condición de tamaño y las siete formas de ser esencialQue NIS2 alcance a una empresa es el artículo 2; que sea esencial o importante es el artículo 3; y la diferencia es supervisión ex ante, un tope de multa más alto y una lectura más estricta de todo lo demás.
- ArtículoEl registro NIS2: las dos listas en las que puede estar, qué presenta, para cuándo y a quién (artículo 3(4) y artículo 27)NIS2 tiene dos registros, no uno. Toda entidad esencial o importante presenta cuatro datos a su autoridad competente para que el Estado miembro pueda elaborar su lista a más tardar el 17 de abril de 2025 (artículo 3(3) y (4)), con los cambios notificados en dos semanas.
- ArtículoLas diez medidas del artículo 21(2) de NIS2 como lista de comprobación: cada letra citada, las secciones del Reglamento detrás, y los controles ISO 27001 que ya las producenEl artículo 21(2) enumera diez medidas que toda entidad esencial e importante debe adoptar, desde las políticas de análisis de riesgos hasta la autenticación multifactorial.
- ArtículoEl artículo 20 de NIS2 para el consejo: lo que el órgano de dirección debe aprobar, supervisar y aprender, los doce lugares donde el Reglamento de Ejecución lo nombra, y qué significa la responsabilidadEl artículo 20 de NIS2 obliga al órgano de dirección de una entidad esencial o importante a aprobar las medidas para la gestión de riesgos de ciberseguridad, supervisar su puesta en práctica, responder por los incumplimientos del artículo 21 por parte de la entidad, y asistir a formaciones.
- ArtículoISO 27001 frente a NIS2: lo que cubre el certificado y lo que noNIS2 es ley e ISO 27001 es una norma certificable, así que no son alternativas.
- Artículo¿CRA o NIS2? Cuál se aplica a una empresa de software, y si pueden ser las dosEl Reglamento de Ciberresiliencia regula productos introducidos en el mercado; NIS2 regula entidades que prestan servicios.
- ArtículoLa transposición de NIS2, Estado por Estado: lo que muestra el registro de la propia ComisiónNo el rastreador de un despacho: las medidas nacionales que los Estados miembros han comunicado a la Comisión como transposición de la Directiva (UE) 2022/2555, leídas en la Oficina de Publicaciones el 12 de septiembre de 2026. 25 de los 27 Estados han comunicado al menos una, 303 medidas en total; España e Irlanda ninguna; Francia 15 textos, ninguno de ellos menciona NIS2.
Notificación
- ArtículoNIS2 o CRA: qué reloj de incidentes corre para una empresa de software, y qué hace 'significativo' un incidenteAmbas normas le dan 24 horas, 72 horas y un mes, y ambas ponen en marcha el reloj cuando usted 'tiene constancia'.
- ArtículoEl plazo de incidentes NIS2 para una empresa de software: la alerta temprana a las 24 horas, la notificación a las 72 horas, el informe final al mes, qué hace significativo un incidente para un proveedor cloud, y una página que redacta los tres informesEl artículo 23, apartado 4, de NIS2 hace correr tres plazos desde el momento en que una entidad esencial o importante tiene conocimiento de un incidente significativo: una alerta temprana en 24 horas, una notificación del incidente en 72, y un informe final en el mes siguiente a esa notificación, con un informe intermedio a petición y un informe de situación cuando el incidente sigue abierto.
- Artículo¿A qué CSIRT notifica bajo el CRA? Al coordinador de su establecimiento principal, los 27 con nombreEl artículo 14 envía la notificación al CSIRT designado como coordinador por el Estado miembro de su establecimiento principal; ENISA publicó los 27 el 10 de septiembre de 2026.
Lo que piden los compradores
- ArtículoQué países de la UE nombran ISO 27001 en las licitaciones públicas: 1.548 anuncios alemanes, 829 polacos, y Grecia tiene la mayor cuotaEn 365 días, ISO 27001 aparece en 3.415 anuncios de TED.
- ArtículoISO 27001 vs SOC 2 en Europa: qué piden realmente los compradoresSi vende en Europa, consiga ISO 27001: las licitaciones públicas de la UE la mencionaron 3.405 veces en un año, frente a 104 de SOC 2, y fue por delante en cada uno de los doce meses detrás de esa cifra.
- ArtículoDORA para un proveedor de software: las cláusulas contractuales del artículo 30 que le enviará su cliente bancario, el registro de información en el que figurará, y lo que ISO 27001 ya respondeDesde el 17 de enero de 2025, todo banco, aseguradora, empresa de servicios de inversión y entidad de pago de la Unión gestiona a sus proveedores de software con arreglo al Reglamento (UE) 2022/2554, DORA.
Lo que le pide
34 requisitos en 5 grupos
Obligaciones
5- 20(1) La dirección aprueba y supervisa las medidas de seguridad
- 20(2) Forme a la dirección y ofrezca igual al personal
- 21(1) Adopte medidas proporcionadas frente a riesgos de sistemas
y 2 más
Deberes
10- 21(4) Corrija sin demora toda medida que incumpla
- 23(1) Notifique los incidentes significativos al CSIRT o la autoridad
- 23(2) Avise a los destinatarios de ciberamenazas significativas
y 7 más
Controles
10- 21(2)(a) Tenga análisis de riesgos y política de seguridad
- 21(2)(b) Gestione los incidentes según un procedimiento escrito
- 21(2)(c) Mantenga copias, plan de recuperación y gestión de crisis
y 7 más
Cláusulas
1- 23(3) Juzgue un incidente significativo por perturbación, pérdida o daño
Plazos
8- 23(4)(a) Envíe la alerta temprana en 24 horas
- 23(4)(b) Envíe la notificación del incidente en 72 horas
- 23(4)(d) Envíe el informe final un mes tras la notificación
y 5 más
Once de las trece secciones del artículo 21 son un sistema ISO 27001; las otras dos son registros
StandardOS mantiene los registros ISO 27001 que responden a once de las trece secciones del Reglamento de Ejecución, el registro de incidentes desde el que corren los relojes del artículo 23 y las evidencias que pide un supervisor o un auditor, en un solo espacio de trabajo, en seis idiomas.
Las fechas se leen del artículo 27 y el artículo 41 de la Directiva y nunca se teclean en esta página. Esto no es asesoramiento jurídico, y la Directiva es el texto que hay que leer: Directiva (UE) 2022/2555.
Véase también:Software NIS2 para consultorasArtículosHerramientas gratuitasDatos abiertos