Aplicación de NIS2 2026: fase de auditoría del BSI y lista de verificación DACH

El NIS2UmsuCG está en vigor desde el 6 de diciembre de 2025. La a menudo citada «seguridad adecuada» ha sido concretizada por las Guías Técnicas de Implementación de ENISA (junio de 2025) – esta es la diferencia con marcos de cumplimiento anteriores que dejaban más espacio para la interpretación. Quien argumente que no tenía claridad sobre qué hacer específicamente, tiene un problema de investigación, no un problema normativo.

El art. 21 de NIS2 define diez categorías de medidas que una entidad regulada debe implementar y documentar. ENISA ha aclarado adicionalmente en el primer trimestre de 2026: la autenticación multifactor (MFA) para accesos privilegiados, cuentas de acceso remoto y cuentas de proveedores es «prácticamente siempre apropiada» – ya casi no existe margen de maniobra por la expresión «cuando sea apropiado».

Cuál es el estado de implementación en DACH

Alemania ha implementado NIS2 como uno de los últimos miembros de la UE. El NIS2UmsuCG entró en vigor el 6 de diciembre de 2025, casi 15 meses después del plazo de implementación europeo. Entre la aprobación y la aplicación operativa por parte del BSI, las empresas afectadas tuvieron aproximadamente 13 semanas – es decir, menos de un trimestre para establecer la gestión de riesgos, la documentación y el registro.

Austria aprobó el NISG 2026 el 12 de diciembre de 2025. Entrada en vigor: 1 de octubre de 2026. Las empresas austriacas afectadas tienen así un breve plazo para establecer sus bases de cumplimiento antes de que la nueva autoridad de supervisión – la Oficina Federal de Ciberseguridad – pase a la fase operativa. Ámbito: unos 4.000 empresas de 18 sectores.

Polonia ha completado con la Ley KSC el 3 de abril de 2026 una de las implementaciones más extensas de la UE: 42.000 entidades reguladas, ampliadas desde las aproximadamente 400 anteriores. No es un error de tipeo. Para las cadenas de suministro germano-polacas y los partners de nearshoring, esto significa una presión inmediata de cumplimiento en ambos lados.

Suiza: No es miembro de la UE, por lo que no tiene obligaciones directas de NIS2. Para las empresas suizas que actúan como proveedores de TI para entidades reguladas de la UE según NIS2, surge una presión indirecta a través de los requisitos de cadena de suministro del lado del cliente.

Qué deben revisar ahora los equipos de TI

Cinco pasos de trabajo cubren las lagunas de cumplimiento más comunes. Ninguno de estos puntos exige ISO 27001, pero todos requieren pruebas documentadas.

Preguntas frecuentes

¿Qué se considera «entidad especialmente importante» según NIS2?

Las entidades especialmente importantes (essential entities) son empresas en sectores de alta criticidad (Anexo 1 BSIG) con al menos 250 empleados o 50 millones de EUR de facturación anual y 43 millones de EUR de volumen de balance. Para ellas se aplica el marco de sanciones más alto de hasta 10 millones de EUR o el 2% de la facturación mundial anual, dependiendo de cuál sea el importe mayor. Las entidades importantes (important entities) del Anexo 2 o con umbrales más bajos tienen un marco de 7 millones de EUR o el 1,4%.

¿Cuál es el coste concreto de perder el plazo de registro en el BSI?

El NIS2UmsuCG prevé una sanción fija de hasta 100.000 EUR por no realizar el registro en el BSI, independientemente de la facturación anual. No es un porcentaje de facturación, sino un hecho en sí mismo. Además, el BSI puede solicitar información e iniciar medidas adicionales en caso de falta de cooperación.

¿Se aplica NIS2 también a empresas suizas?

No directamente. Suiza no es miembro de la UE. Sin embargo, las empresas suizas que actúan como proveedores de TI para entidades de la UE reguladas por NIS2 se ven sometidas a presión a través de los requisitos de cadena de suministro de los clientes. Quien opera sistemas para un hospital alemán, un proveedor de energía o una administración pública debe contar con que el cliente exigirá pruebas de seguridad.

¿Qué es la obligación de notificación en 24 horas en detalle?

En caso de un incidente de seguridad significativo – definido como un incidente con importantes repercusiones en el servicio – debe realizarse una notificación inicial al BSI dentro de las 24 horas. Dentro de las 72 horas sigue una evaluación más detallada, y después de un mes un informe final. La notificación se realiza a través del portal de notificación del BSI. Un «incidente significativo» es un término que el BSI aún concretará más – en caso de duda: notificar, no esperar.

¿Deben los proveedores ser ellos mismos conformes con NIS2?

No necesariamente en el sentido de que los proveedores deban estar registrados ellos mismos. Pero las entidades reguladas están obligadas a evaluar y gestionar los riesgos de seguridad en su cadena de suministro. Esto significa: pruebas documentales sobre las prácticas de seguridad de los proveedores de TI con acceso crítico, requisitos contractuales mínimos y derechos de auditoría. Quien no lo hace asume el riesgo de responsabilidad personalmente.

Más de la red de medios MBF