Medidas técnicas NIS2: qué exige el artículo 21(2)

A quién se aplica

Once tipos de proveedores digitales, del DNS y la nube a los mercados en línea y los servicios de confianza.

Las fechas

En vigor desde el 7 de noviembre de 2024, sin transición.

Lo único que hay que hacer

Compruebe primero su tipo de entidad. Si está entre los once, el anexo se aplica íntegramente y cada sección indica la fila del artículo 21, apartado 2, que responde.

Las trece secciones, y la letra del artículo 21, apartado 2, que responde cada una

La correspondencia es la del propio Reglamento: cada epígrafe de sección nombra la letra del artículo 21, apartado 2, que ejecuta. Dos nombran más de una, así que una sección puede responder dos o tres de sus filas NIS2 a la vez.

Lo que esto sustituyó

Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Quien siga trabajando con las reglas antiguas sobre proveedores de servicios digitales trabaja con un acto derogado.

Cada requisito de arriba se cita del Diario Oficial, en su idioma, a través del catálogo que lee esta página. Leído el 17 de octubre de 2026. El texto neerlandés lleva su corrección: Corrigendum R(03), OJ L, 2026/90675 of 7 August 2026, to point 9.2(c)(viii) of the Annex, in Dutch. EUR-Lex

Preguntas frecuentes

¿Se aplica a toda entidad NIS2?

No, y es lo que más fácilmente se entiende mal. El artículo 1 nombra 11 tipos y los llama las entidades pertinentes. Un hospital, un banco o un operador energético es esencial o importante según NIS2 y queda enteramente fuera de este anexo. El artículo 21, apartado 2, sigue vinculándolos en sus propios términos; lo que este Reglamento añade es el detalle para los 11 que nombra.

¿En qué se diferencia de NIS2 misma?

NIS2 enumera diez epígrafes y dice que las medidas han de ser adecuadas y proporcionadas, con lo que nadie puede hacer nada. Este Reglamento dice cuáles: 161 requisitos numerados en trece secciones, cada uno con la letra del artículo 21, apartado 2, que ejecuta.

¿El tamaño de la empresa cambia lo que debemos?

No el si, solo el cómo. El artículo 2, apartado 1, aplica el anexo a las entidades pertinentes sin umbral de tamaño propio. El artículo 2, apartado 2, pide luego tener en cuenta su exposición al riesgo, su tamaño y la probabilidad de incidentes al ejecutarlo. El tamaño da forma a la medida, no la excusa.

¿Es notificable alguna vez un incidente pequeño?

Colectivamente sí, y ahí está la trampa. El artículo 4 cuenta como un incidente significativo los que individualmente no lo son. Tres condiciones, todas ellas: al menos dos veces en seis meses, la misma causa raíz aparente, y juntos el criterio de pérdida financiera del artículo 3, apartado 1, letra a).

¿Qué pasó con las reglas antiguas?

Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Era el reglamento sobre los requisitos de seguridad y la notificación de incidentes de los proveedores de servicios digitales bajo la primera Directiva SRI, y quien aún lo use usa un acto derogado.

Véase también:NIS2Herramientas gratuitas