← Todas las áreasCiberseguridad
TE APLICA Ciberseguridad (NIS2)
- 4 obligaciones
- 3 críticas
- 6 documentos para preparar
Por qué
Tu entidad es ENTIDAD IMPORTANTE (categoría con supervisión a posteriori) bajo NIS2 (directiva europea de ciberseguridad). La Directiva le asigna el mismo régimen sustantivo de obligaciones del Art. 21 (medidas) y Art. 23 (notificación) que las entidades esenciales (categoría con supervisión más estricta), con la diferencia principal en el régimen de supervisión: las entidades importantes están sujetas a supervisión ex post (cuando hay indicios de incumplimiento), no a supervisión proactiva continua. A 31/10/2026, España no ha transpuesto NIS2 (la Comisión Europea decidió el 08/07/2026 llevarla ante el Tribunal de Justicia de la UE): sin ley española, estas obligaciones no se te pueden exigir todavía como obligaciones de NIS2, ni existe la lista nacional de entidades del art. 3.3. Prepararlas tiene sentido porque la ley llegará y porque tus clientes ya las piden por contrato; mientras tanto rige el Real Decreto-ley 12/2018.
Lo que tendrías que tener resuelto
Empieza por estas 3
Cómo leer esta lista (no hace falta hacerlo todo de golpe):
- Crítica
- Resuélvela primero.
- Alta
- Después de las críticas.
- Media
- Cuando tengas resuelto lo anterior.
- Baja
- Conviene hacerlo, sin urgencia.
- ⏱ días
- Plazo orientativo para ponerlo en marcha, no un plazo legal.
-
Crítica
Implementar medidas técnicas, operativas y organizativas de gestión de riesgos de ciberseguridad
Art. 21
Mismo régimen sustantivo que entidades esenciales: 10 dominios mínimos del Art. 21(2). La proporcionalidad permite a entidades importantes medianas adoptar un nivel de madurez algo inferior al de las esenciales grandes, siempre que esté justificado por evaluación de riesgos.
- Documento: Política de Gestión de Riesgos de Ciberseguridad
- Documento: Plan de Respuesta a Incidentes de Ciberseguridad
- Documento: Plan de Continuidad de Negocio
- Documento: Política de Seguridad de la Cadena de Suministro
- Documento: Política de Control de Accesos y Autenticación Multifactor
-
Crítica
Notificación de incidentes significativos a CSIRT en 24h / 72h / 1 mes
Art. 23
Idéntico régimen de notificación que entidades esenciales.
- Documento: Plan de Respuesta a Incidentes de Ciberseguridad
-
Crítica ⏱ 90 días
Responsabilidad de la dirección y formación obligatoria
Art. 20
Idéntico al régimen de esenciales: aprobación de medidas, supervisión y responsabilidad personal de la dirección. Formación obligatoria.
- Documento: Carta de Ciberseguridad del Órgano de Dirección
-
Baja
Datos para la lista nacional de entidades importantes (cuando exista la ley de transposición)
Art. 3.3 y 3.4
Mismo deber de dar sus datos para la lista nacional que las entidades esenciales (art. 3.3 y 3.4). A 31/10/2026, España no ha transpuesto NIS2 y no hay registro ni autoridad designada por ley: este paso se hará cuando exista la ley de transposición. Hoy no tiene plazo.
Hazlo tú, o que te ayude un profesional.
Los documentos base son gratis. Lo que cuesta es que sigan vigentes.
El plan Completo, con la vigilancia y la evidencia, desde 9,99 €/mes + IVA para toda la empresa, con pago anual de 119,88 € + IVA · nunca por persona, sin permanencia ni cuota de alta
- Gratis, sin tarjetaTu mapa de obligaciones, con el porqué y el artículo de cada una, y los documentos base con tus datos.
- Con la vigilanciaTe avisamos de los plazos y de las novedades que te afectan, y tus documentos se actualizan cuando cambia la norma.
Acabas de ver una de tus áreas.
Esta es solo 1 de 24 áreas de cumplimiento posibles —y hay 80 marcos del derecho español y europeo detrás. Podemos ayudarte a ver el mapa completo de lo que te aplica. Déjanos tus datos y te escribimos.
Resultado orientativo según tus respuestas, con base en NIS2 — Árbol de evaluación de aplicabilidad y obligaciones (1.0.0). No sustituye al asesoramiento jurídico profesional. Puedes guardar o compartir el enlace de esta página: contiene tu resultado.