6 Min. de lectura<\/p>\n\n
El 18 de abril de 2026 expir\u00f3 en B\u00e9lgica el primer plazo de aplicaci\u00f3n de la NIS2 para instalaciones especialmente importantes. En Alemania, el plazo de registro del BSI ha caducado desde el 6 de marzo de 2026. Quien no se haya registrado hasta esa fecha, ahora est\u00e1 en el foco de un sistema de supervisi\u00f3n que impone multas de hasta 10 millones de EUR o el 2% de la facturaci\u00f3n anual y puede hacer personalmente responsables a los directores. La ola de aplicaci\u00f3n ya no es una amenaza.<\/strong><\/p>\n\n Lo m\u00e1s importante en resumen<\/p>\n Relacionado<\/span>Acta de IA de la UE: Sistemas de alto riesgo a partir del 2 de agosto de 2026<\/a> \/<\/span> Qu\u00e9 exige NIS2 a las entidades reguladas<\/h2>\n \u00bfQu\u00e9 es NIS2?<\/strong> La directiva de la UE sobre ciberseguridad de redes y sistemas de informaci\u00f3n (NIS2, directiva 2022\/2555) establece obligaciones vinculantes de ciberseguridad para sectores cr\u00edticos. Reemplaza la directiva NIS de 2016, ampl\u00eda considerablemente su \u00e1mbito de aplicaci\u00f3n e introduce un r\u00e9gimen sancionador uniforme con responsabilidad personal de los directivos.<\/p>\n El NIS2UmsuCG est\u00e1 en vigor desde el 6 de diciembre de 2025. La a menudo citada \u00abseguridad adecuada\u00bb ha sido concretizada por las Gu\u00edas T\u00e9cnicas de Implementaci\u00f3n de ENISA (junio de 2025) – esta es la diferencia con marcos de cumplimiento anteriores que dejaban m\u00e1s espacio para la interpretaci\u00f3n. Quien argumente que no ten\u00eda claridad sobre qu\u00e9 hacer espec\u00edficamente, tiene un problema de investigaci\u00f3n, no un problema normativo.<\/p>\n El art. 21 de NIS2 define diez categor\u00edas de medidas que una entidad regulada debe implementar y documentar. ENISA ha aclarado adicionalmente en el primer trimestre de 2026: la autenticaci\u00f3n multifactor (MFA) para accesos privilegiados, cuentas de acceso remoto y cuentas de proveedores es \u00abpr\u00e1cticamente siempre apropiada\u00bb – ya casi no existe margen de maniobra por la expresi\u00f3n \u00abcuando sea apropiado\u00bb.<\/p>\n\n Lo que muchas ya tienen<\/p>\n Lo que t\u00edpicamente falta<\/p>\n Alemania ha implementado NIS2 como uno de los \u00faltimos miembros de la UE. El NIS2UmsuCG entr\u00f3 en vigor el 6 de diciembre de 2025, casi 15 meses despu\u00e9s del plazo de implementaci\u00f3n europeo. Entre la aprobaci\u00f3n y la aplicaci\u00f3n operativa por parte del BSI, las empresas afectadas tuvieron aproximadamente 13 semanas – es decir, menos de un trimestre para establecer la gesti\u00f3n de riesgos, la documentaci\u00f3n y el registro.<\/p>\n Austria aprob\u00f3 el NISG 2026 el 12 de diciembre de 2025. Entrada en vigor: 1 de octubre de 2026. Las empresas austriacas afectadas tienen as\u00ed un breve plazo para establecer sus bases de cumplimiento antes de que la nueva autoridad de supervisi\u00f3n – la Oficina Federal de Ciberseguridad – pase a la fase operativa. \u00c1mbito: unos 4.000 empresas de 18 sectores.<\/p>\n Polonia ha completado con la Ley KSC el 3 de abril de 2026 una de las implementaciones m\u00e1s extensas de la UE: 42.000 entidades reguladas, ampliadas desde las aproximadamente 400 anteriores. No es un error de tipeo. Para las cadenas de suministro germano-polacas y los partners de nearshoring, esto significa una presi\u00f3n inmediata de cumplimiento en ambos lados.<\/p>\n Suiza: No es miembro de la UE, por lo que no tiene obligaciones directas de NIS2. Para las empresas suizas que act\u00faan como proveedores de TI para entidades reguladas de la UE seg\u00fan NIS2, surge una presi\u00f3n indirecta a trav\u00e9s de los requisitos de cadena de suministro del lado del cliente.<\/p>\n Cinco pasos de trabajo cubren las lagunas de cumplimiento m\u00e1s comunes. Ninguno de estos puntos exige ISO 27001, pero todos requieren pruebas documentadas.<\/p>\n\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n\n Las entidades especialmente importantes (essential entities) son empresas en sectores de alta criticidad (Anexo 1 BSIG) con al menos 250 empleados o 50 millones de EUR de facturaci\u00f3n anual y 43 millones de EUR de volumen de balance. Para ellas se aplica el marco de sanciones m\u00e1s alto de hasta 10 millones de EUR o el 2% de la facturaci\u00f3n mundial anual, dependiendo de cu\u00e1l sea el importe mayor. Las entidades importantes (important entities) del Anexo 2 o con umbrales m\u00e1s bajos tienen un marco de 7 millones de EUR o el 1,4%.<\/p><\/details>\n\n El NIS2UmsuCG prev\u00e9 una sanci\u00f3n fija de hasta 100.000 EUR por no realizar el registro en el BSI, independientemente de la facturaci\u00f3n anual. No es un porcentaje de facturaci\u00f3n, sino un hecho en s\u00ed mismo. Adem\u00e1s, el BSI puede solicitar informaci\u00f3n e iniciar medidas adicionales en caso de falta de cooperaci\u00f3n.<\/p><\/details>\n\n No directamente. Suiza no es miembro de la UE. Sin embargo, las empresas suizas que act\u00faan como proveedores de TI para entidades de la UE reguladas por NIS2 se ven sometidas a presi\u00f3n a trav\u00e9s de los requisitos de cadena de suministro de los clientes. Quien opera sistemas para un hospital alem\u00e1n, un proveedor de energ\u00eda o una administraci\u00f3n p\u00fablica debe contar con que el cliente exigir\u00e1 pruebas de seguridad.<\/p><\/details>\n En caso de un incidente de seguridad significativo – definido como un incidente con importantes repercusiones en el servicio – debe realizarse una notificaci\u00f3n inicial al BSI dentro de las 24 horas. Dentro de las 72 horas sigue una evaluaci\u00f3n m\u00e1s detallada, y despu\u00e9s de un mes un informe final. La notificaci\u00f3n se realiza a trav\u00e9s del portal de notificaci\u00f3n del BSI. Un \u00abincidente significativo\u00bb es un t\u00e9rmino que el BSI a\u00fan concretar\u00e1 m\u00e1s – en caso de duda: notificar, no esperar.<\/p><\/details>\n\n No necesariamente en el sentido de que los proveedores deban estar registrados ellos mismos. Pero las entidades reguladas est\u00e1n obligadas a evaluar y gestionar los riesgos de seguridad en su cadena de suministro. Esto significa: pruebas documentales sobre las pr\u00e1cticas de seguridad de los proveedores de TI con acceso cr\u00edtico, requisitos contractuales m\u00ednimos y derechos de auditor\u00eda. Quien no lo hace asume el riesgo de responsabilidad personalmente.<\/p><\/details>\n\n Foto: Pexels \/ cottonbro studio<\/p>\n\n Fuente imagen de portada: Wikimedia Commons \/ Wolkenkratzer (CC BY-SA 3.0)<\/em><\/p>","protected":false},"excerpt":{"rendered":"El BSI est\u00e1 en fase de pruebas operativas desde mayo de 2026. Qu\u00e9 significa la ola de aplicaci\u00f3n de NIS2 para 29\u202f500 entidades reguladas en Alemania.","protected":false},"author":10,"featured_media":13800,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"empresas cumplimiento NIS2","_yoast_wpseo_title":"Aplicaci\u00f3n de NIS2 2026: fase de auditor\u00eda del BSI y lista de verificaci\u00f3n DACH","_yoast_wpseo_metadesc":"Aplicaci\u00f3n BSI desde mayo\u202f2026: multas de hasta 10\u202fM\u202f\u20ac, obligaci\u00f3n de registro y checklist de cumplimiento para entidades reguladas por NIS2 en DACH.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was-dach-unternehmen-bei-der-eigenen-compliance-jetzt-pruefen-muessen-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was-dach-unternehmen-bei-der-eigenen-compliance-jetzt-pruefen-muessen-cover-hero.jpg","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was","nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was-2"],"footnotes":""},"categories":[261],"tags":[],"class_list":["post-13823","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es"],"evm_reading_time_minutes":2,"wpml_language":"es","wpml_translation_of":13796,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/13823","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=13823"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/13823\/revisions"}],"predecessor-version":[{"id":19229,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/13823\/revisions\/19229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/13800"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=13823"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=13823"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=13823"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n
\n
Cu\u00e1l es el estado de implementaci\u00f3n en DACH<\/h2>\n
Qu\u00e9 deben revisar ahora los equipos de TI<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQu\u00e9 se considera \u00abentidad especialmente importante\u00bb seg\u00fan NIS2?<\/strong><\/summary>\n
\u00bfCu\u00e1l es el coste concreto de perder el plazo de registro en el BSI?<\/strong><\/summary>\n
\u00bfSe aplica NIS2 tambi\u00e9n a empresas suizas?<\/strong><\/summary>\n
\u00bfQu\u00e9 es la obligaci\u00f3n de notificaci\u00f3n en 24 horas en detalle?<\/strong><\/summary>\n
\u00bfDeben los proveedores ser ellos mismos conformes con NIS2?<\/strong><\/summary>\n
M\u00e1s de la red de medios MBF<\/h3>\n
\n