← Todas las áreasCiberseguridad
TE APLICA Ciberseguridad (NIS2)
- 3 obligaciones
- 2 críticas
- 4 documentos para preparar
Por qué
Tu entidad es una administración pública. La NIS2 (directiva europea de ciberseguridad) incluye a la Administración central, sea cual sea su tamaño, como entidad esencial (categoría con supervisión más estricta). La regional entra si, tras una evaluación de riesgos, presta servicios cuya interrupción tendría un impacto significativo (art. 2.2.f); en principio es entidad importante (con supervisión a posteriori, art. 3). A 25/09/2026, España no ha transpuesto NIS2, y sin ley española sus obligaciones no se pueden exigir. Lo que sí es obligatorio para todo el sector público es el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022).
Lo que tendrías que tener resuelto
Cómo leer esta lista (no hace falta hacerlo todo de golpe):
- Crítica
- Resuélvela primero.
- Alta
- Después de las críticas.
- Media
- Cuando tengas resuelto lo anterior.
- Baja
- Conviene hacerlo, sin urgencia.
- ⏱ días
- Plazo orientativo para ponerlo en marcha, no un plazo legal.
-
Crítica
Aplicar el Esquema Nacional de Seguridad (ENS) según la categoría de cada sistema
RD 311/2022 art. 40 · anexo I
Todo el sector público debe aplicar el ENS (art. 2 del Real Decreto 311/2022). La categoría de cada sistema (BÁSICA, MEDIA o ALTA) depende del impacto que tendría un incidente, no de ser una administración central (art. 40 y anexo I). Todos los sistemas se auditan al menos cada dos años: en categoría BÁSICA basta una autoevaluación y en MEDIA y ALTA se exige auditoría (art. 31 y anexo III).
- Documento: Declaración de Aplicabilidad de Medidas (ENS)
- Documento: Política de Seguridad de la Información (ENS)
- Documento: Política de Gestión de Riesgos de Ciberseguridad
-
Crítica
Notificar al CCN-CERT los incidentes con impacto significativo
RD 311/2022 art. 33
Las entidades del sector público notifican al CCN-CERT (el equipo de respuesta a incidentes del Centro Criptológico Nacional) los incidentes que tengan un impacto significativo en sus sistemas (art. 33 del Real Decreto 311/2022). La Directiva NIS2 fija además alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes (art. 23.4): serán exigibles cuando se apruebe la ley española.
- Documento: Plan de Respuesta a Incidentes de Ciberseguridad
-
Alta ⏱ 30 días
Designar a los responsables de seguridad del ENS
RD 311/2022 art. 13
La política de seguridad del ENS debe identificar a los responsables de la información, del servicio, de la seguridad y del sistema. El responsable de la seguridad debe ser distinto del responsable del sistema (art. 13 del Real Decreto 311/2022). Esta obligación viene del ENS, no de NIS2: el Real Decreto-ley 7/2025 no transpuso NIS2 (trataba del sistema eléctrico y quedó derogado el 24/07/2025).
Hazlo tú, o que te ayude un profesional.
Los documentos base son gratis. Lo que cuesta es que sigan vigentes.
El plan Completo, con la vigilancia y la evidencia, desde 9,99 €/mes + IVA para toda la empresa, con pago anual de 119,88 € + IVA · nunca por persona, sin permanencia ni cuota de alta
- Gratis, sin tarjetaTu mapa de obligaciones, con el porqué y el artículo de cada una, y los documentos base con tus datos.
- Con la vigilanciaTe avisamos de los plazos y de las novedades que te afectan, y tus documentos se actualizan cuando cambia la norma.
Acabas de ver una de tus áreas.
Esta es solo 1 de 24 áreas de cumplimiento posibles —y hay 80 marcos del derecho español y europeo detrás. Podemos ayudarte a ver el mapa completo de lo que te aplica. Déjanos tus datos y te escribimos.
Resultado orientativo según tus respuestas, con base en NIS2 — Árbol de evaluación de aplicabilidad y obligaciones (1.0.0). No sustituye al asesoramiento jurídico profesional. Puedes guardar o compartir el enlace de esta página: contiene tu resultado.