¿Qué es NIS2? Definición, obligaciones y responsabilidad

NIS2 es la segunda directiva de la UE sobre seguridad de las redes y de la información. En Alemania, la ley de transposición de NIS2 está en vigor desde el 6 de diciembre de 2025. Las entidades afectadas deben gestionar los riesgos para sus sistemas informáticos, notificar los incidentes de seguridad significativos y registrarse ante la Oficina Federal de Seguridad de la Información (BSI). La dirección tiene obligaciones propias y puede responder ante su entidad.

Qué regula NIS2 en Alemania

La Directiva (UE) 2022/2555 establece un marco europeo para la ciberseguridad. Alemania la ha transpuesto mediante la ley de transposición de NIS2 en la Ley de la Oficina Federal de Seguridad de la Información (BSIG). Esta distingue en particular entre entidades especialmente importantes y entidades importantes.

Para ambos grupos, la ley contempla por norma general obligaciones de gestión de riesgos, notificación y registro. Las normas aplicables en cada caso dependen también de las excepciones previstas en leyes especiales y de la actividad concreta.

Qué entidades están afectadas

La Ley de la Oficina Federal de Seguridad de la Información incluye en sus anexos determinados tipos de entidades. Entre ellas figuran, por ejemplo, actividades en los ámbitos de la energía, el transporte, la sanidad y la infraestructura digital. La pertenencia a un sector por sí sola no basta para la clasificación.

Para muchas entidades son determinantes el tamaño y los indicadores económicos. El umbral para las entidades importantes puede alcanzarse, en particular, con al menos 50 empleados o con un volumen de negocios anual superior a diez millones de euros y un balance general anual superior a diez millones de euros. Para determinados servicios, la ley se aplica con independencia del tamaño. Por ello, las empresas deben comprobar el tipo concreto de entidad y las excepciones legales para determinar su clasificación.

Qué obligaciones y plazos se aplican

Las entidades afectadas deben adoptar medidas técnicas y organizativas adecuadas, proporcionadas y eficaces. Entre ellas figuran el análisis de riesgos, la gestión de incidentes de seguridad, la gestión de emergencias y la seguridad de la cadena de suministro. Las medidas deben ajustarse a la situación de riesgo y al tamaño de la entidad.

Por norma general, los incidentes de seguridad significativos deben comunicarse sin demora al BSI: primero, mediante una alerta temprana en un plazo de 24 horas desde que se tiene conocimiento del incidente y, después, mediante una notificación del incidente de seguridad en un plazo de 72 horas. Por norma general, debe presentarse un informe final como máximo un mes después de la notificación. En determinados casos se aplican normas especiales.

Las entidades importantes y especialmente importantes deben registrarse, por norma general, en un plazo de tres meses desde el momento en que cumplen los requisitos correspondientes. El registro se realiza a través del portal del BSI. Quienes lleven tiempo afectados y aún no se hayan registrado deben hacerlo.

De qué son responsables las direcciones

Las direcciones deben aplicar las medidas necesarias de gestión de riesgos y supervisar su aplicación. Además, deben participar periódicamente en actividades de formación. En la práctica, son importantes las decisiones trazables, la asignación de responsabilidades y los controles documentados.

Si la dirección incumple su obligación de aplicación o supervisión y causa por ello un daño a la entidad de forma culpable, puede responder ante la entidad. Para ello son determinantes las normas de derecho societario aplicables a su forma jurídica. La Ley de la Oficina Federal de Seguridad de la Información no limita esta responsabilidad a los incumplimientos graves.

En caso de determinadas infracciones de las obligaciones de gestión de riesgos o de notificación, las entidades especialmente importantes se enfrentan a multas de hasta diez millones de euros o hasta el dos por ciento del volumen de negocios anual mundial del ejercicio anterior. Se aplica el importe más elevado.

Preguntas frecuentes

Todas las preguntas están cerradas. Pulsa para desplegar la respuesta.

¿También pueden verse afectadas las pequeñas empresas?

Sí. Para determinados tipos de entidades mencionados en la ley, las obligaciones se aplican con independencia del tamaño de la empresa. La actividad concreta es decisiva.

¿Cuándo debe realizarse el registro?

Por norma general, en un plazo de tres meses desde el momento en que la entidad cumple los requisitos legales. Las entidades ya afectadas que tengan pendiente el registro deben completarlo.

¿Qué relación hay entre NIS2 y DORA?

DORA regula la resiliencia operativa digital de determinadas entidades financieras. La Ley de la Oficina Federal de Seguridad de la Información exime a estas entidades de varias obligaciones de NIS2 expresamente mencionadas. Las demás obligaciones aplicables dependen de cada caso.

Selección editorial

RecomendadoCinco partidas que necesitan presupuesto antes del SIEMRecomendadoLo que la dirección debe documentar según NIS2RecomendadoDORA en operación: qué exige la supervisión

Más de la red MBF Media

cloudmagazinMigración de KRITIS a la nube: qué garantiza la seguridadDigital ChiefsLa inteligencia artificial escribe el código. ¿Quién responde por ello?

Más de la red de MBF Media

• Infraestructuras críticas en la nube: cómo garantizar una migración segura
• La supervisión de la IA en Alemania ya tiene una dirección
• La IA escribe el código. ¿Quién responde por él?

Fuente de la imagen: generada por IA (Juli 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.