En resumen<\/h2>\n\n- \ud83d\udd12 Solo 11.500 de las 29.500 empresas obligadas se han registrado a tiempo ante la BSI (Security Insider 2026).<\/li>\n
- \u26a0\ufe0f El \u00a7 30 BSIG define diez medidas m\u00ednimas de gesti\u00f3n de riesgos, desde la respuesta a incidentes hasta la criptograf\u00eda.<\/li>\n
- \ud83d\udee1\ufe0f Responsabilidad personal de los directores generales seg\u00fan el \u00a7 38 BSIG: los directores deben aprobar, supervisar y formarse en medidas de seguridad.<\/li>\n
- \ud83d\udcca Sanciones: hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global para instalaciones especialmente importantes (\u00a7 65 BSIG).<\/li>\n
- \ud83d\udd27 La BSI est\u00e1 apostando actualmente por la sensibilizaci\u00f3n antes que por sanciones inmediatas, pero desde enero de 2026 ya realiza inspecciones in situ.<\/li>\n<\/ul>\n
El plazo de registro ha expirado<\/h2>\n
La ley de transposici\u00f3n NIS2 (NIS2UmsuCG) entr\u00f3 en vigor el 6 de diciembre de 2025 sin periodos de transici\u00f3n. A partir de ese momento, todas las obligaciones eran aplicables. Tres meses despu\u00e9s, el 6 de marzo de 2026, finaliz\u00f3 el plazo para el registro ante la BSI. La BSI habilit\u00f3 el portal de registro el 6 de enero de 2026.<\/p>\n
Las cifras tras la finalizaci\u00f3n del plazo son desalentadoras: seg\u00fan informes del sector, de las aproximadamente 29.500 entidades obligadas, solo unas 11.500 se han registrado. Esto equivale al 38,5 por ciento. La mayor\u00eda de las empresas afectadas se encuentran, por tanto, formalmente en mora.<\/p>\n
Para comparar: bajo la antigua ley de seguridad inform\u00e1tica, la BSI supervisaba alrededor de 4.500 organizaciones. Con NIS2, este n\u00famero se ha multiplicado por m\u00e1s de seis. Muchas de las nuevas empresas afectadas no han tenido hasta ahora contacto alguno con la regulaci\u00f3n de la BSI y subestiman considerablemente el esfuerzo necesario para implementar las medidas m\u00ednimas.<\/p>\n
\n\n29.500<\/div>\nEntidades obligadas<\/div>\n<\/div>\n\n38,5 %<\/div>\nRegistradas a tiempo<\/div>\n<\/div>\n\n10 Mio. \u20ac<\/div>\nSanci\u00f3n m\u00e1xima<\/div>\n<\/div>\n<\/div>\nFuentes: Comunicado de prensa de la BSI, diciembre de 2025; Security Insider, marzo de 2026; \u00a7 65 BSIG<\/p>\n
\u00bfQui\u00e9n est\u00e1 afectado? Verificaci\u00f3n de afectaci\u00f3n<\/h2>\n
NIS2 distingue dos categor\u00edas. Quien caiga en una de ellas debe registrarse.<\/p>\n
Instalaciones especialmente importantes:<\/strong> A partir de 250 empleados o 50 millones de euros de facturaci\u00f3n anual, siempre que la cifra de balance sea al menos de 43 millones de euros. Estas empresas son auditadas de forma proactiva y peri\u00f3dica por la BSI. Las sanciones pueden alcanzar hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global.<\/p>\nInstalaciones importantes:<\/strong> A partir de 50 empleados o 10 millones de euros de facturaci\u00f3n anual. La BSI audita \u00fanicamente de forma reactiva, es decir, cuando existe sospecha de incumplimiento o tras un incidente de seguridad. Las sanciones pueden llegar hasta 7 millones de euros o el 1,4 por ciento del volumen de negocio anual global.<\/p>\nEn total, NIS2 abarca 18 sectores. Once de ellos se consideran esenciales: energ\u00eda, transporte, banca, infraestructura de mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, servicios TIC, administraci\u00f3n p\u00fablica y espacio. Otros siete sectores se clasifican como importantes: correo, gesti\u00f3n de residuos, qu\u00edmica, industria alimentaria, industria manufacturera, proveedores digitales e investigaci\u00f3n.<\/p>\n
El error m\u00e1s com\u00fan es pensar: \u00abSomos demasiado peque\u00f1os\u00bb. En realidad, el umbral se sit\u00faa en 50 empleados o 10 millones de euros de facturaci\u00f3n. Muchas pymes que nunca se han considerado relevantes para KRITIS quedan incluidas en esta categor\u00eda. Especialmente delicado: incluso filiales y empresas vinculadas pueden superar estos umbrales por su pertenencia a un grupo empresarial.<\/p>\n
\u00a7 30 BSIG: Las diez medidas m\u00ednimas en detalle<\/h2>\n
El n\u00facleo pr\u00e1ctico de la ley de transposici\u00f3n NIS2 figura en el apartado 2 del \u00a7 30 BSIG. All\u00ed, el legislador define diez \u00e1mbitos que toda entidad afectada debe cubrir. Ninguna de estas medidas es opcional.<\/p>\n
1. An\u00e1lisis de riesgos y conceptos de seguridad.<\/strong> Las empresas deben contar con conceptos documentados sobre an\u00e1lisis de riesgos y seguridad de la informaci\u00f3n. No basta con documentos te\u00f3ricos: la BSI verifica si dichos conceptos est\u00e1n actualizados, son completos y se adaptan a la infraestructura TIC real.<\/p>\n2. Gesti\u00f3n de incidentes.<\/strong> Los incidentes de seguridad deben poder detectarse, clasificarse y gestionarse. La BSI espera v\u00edas de notificaci\u00f3n definidas, procesos de escalado y una documentaci\u00f3n exhaustiva de la fase posterior al incidente. La experiencia demuestra<\/a> que muchas empresas cuentan con planes de respuesta a incidentes que, en caso real, no funcionan.<\/p>\n3. Continuidad del negocio.<\/strong> Mantenimiento operativo, gesti\u00f3n de copias de seguridad, recuperaci\u00f3n tras emergencias y gesti\u00f3n de crisis. No solo t\u00e9cnicamente: tambi\u00e9n los procedimientos organizativos para emergencias deben estar definidos y someterse regularmente a simulacros. Un plan de copias de seguridad en papel no sirve de nada si nunca se ha probado la restauraci\u00f3n.<\/p>\n4. Seguridad de la cadena de suministro.<\/strong> La seguridad de la cadena de suministro, incluidos los proveedores directos y los prestadores de servicios. Aqu\u00ed radica una de las mayores lagunas: muchas empresas desconocen las pr\u00e1cticas de seguridad de sus proveedores de servicios TIC. NIS2 exige identificar sistem\u00e1ticamente estos riesgos y controlarlos contractualmente. Esto afecta tambi\u00e9n a proveedores de nube, gestores de servicios gestionados y fabricantes de software.<\/p>\n5. Adquisici\u00f3n y desarrollo seguros.<\/strong> Medidas de seguridad en la adquisici\u00f3n, desarrollo y mantenimiento de sistemas TIC. Para empresas con desarrollo interno de software, esto implica que la seguridad por dise\u00f1o pasa a ser obligatoria, no opcional. El an\u00e1lisis pr\u00e1ctico de SBOM<\/a> muestra c\u00f3mo la lista de componentes de software facilita este proceso.<\/p>\n6. Evaluaci\u00f3n de eficacia.<\/strong> Las empresas no solo deben implementar medidas, sino evaluar peri\u00f3dicamente su eficacia. Pruebas de penetraci\u00f3n, auditor\u00edas y m\u00e9tricas de seguridad pasan as\u00ed a ser obligatorias. Esta evaluaci\u00f3n debe documentarse y presentarse a la direcci\u00f3n.<\/p>\n7. Formaci\u00f3n y sensibilizaci\u00f3n.<\/strong> Formaci\u00f3n b\u00e1sica en ciberseguridad para todo el personal. No puntual, sino continua. La direcci\u00f3n tiene una obligaci\u00f3n espec\u00edfica de formaci\u00f3n seg\u00fan el \u00a7 38 BSIG, que no puede delegarse.<\/p>\n\n\u00abLas empresas necesitan marcos normativos fiables.\u00bb
\nRalf Wintergerst, presidente de Bitkom (comunicado de prensa de Bitkom, 2025)<\/cite>\n<\/p><\/blockquote>\n8. Criptograf\u00eda.<\/strong> Conceptos y procesos para el uso de m\u00e9todos criptogr\u00e1ficos. Esto abarca la cifrado en tr\u00e1nsito, en reposo y en la comunicaci\u00f3n. Las empresas deben documentar qu\u00e9 algoritmos utilizan y por qu\u00e9. M\u00e9todos obsoletos como SHA-1 o RSA con menos de 2048 bits ya no son aceptables.<\/p>\n9. Control de acceso y gesti\u00f3n de personal.<\/strong> Seguridad del personal, control de acceso a los sistemas y gesti\u00f3n de los sistemas TIC. La gesti\u00f3n de identidades y accesos (IAM) se convierte as\u00ed en un tema de cumplimiento normativo, no solo de seguridad. El principio del m\u00ednimo privilegio debe aplicarse rigurosamente y documentarse de forma verificable.<\/p>\n10. Autenticaci\u00f3n multifactor y comunicaci\u00f3n segura.<\/strong> Autenticaci\u00f3n multifactor o autenticaci\u00f3n continua, as\u00ed como comunicaci\u00f3n segura por voz, video y texto. Quien a\u00fan no tenga autenticaci\u00f3n multifactor en sistemas cr\u00edticos ya no cumple con la normativa. Especialmente relevante para empresas que usan Microsoft Teams u otras plataformas similares para comunicaciones confidenciales.<\/p>\n\n18.350<\/div>\nEmpresas que han incumplido el plazo de registro<\/div>\nFuente: Security Insider \/ digital-magazin.de, marzo de 2026<\/div>\n<\/div>\n\u00a7 38 BSIG: por qu\u00e9 los directores generales responden personalmente<\/h2>\n
Quiz\u00e1 la novedad m\u00e1s significativa de NIS2 se encuentra en el \u00a7 38 BSIG. Los directores generales y miembros del consejo de administraci\u00f3n responden personalmente por la implementaci\u00f3n de las medidas de gesti\u00f3n de riesgos. La ley establece tres obligaciones.<\/p>\n
Obligaci\u00f3n de aprobaci\u00f3n:<\/strong> Las medidas de gesti\u00f3n de riesgos seg\u00fan el \u00a7 30 deben ser formalmente aprobadas por la direcci\u00f3n. La delegaci\u00f3n al CISO o al responsable de TI no es suficiente. La direcci\u00f3n debe haber tomado la decisi\u00f3n de forma demostrable.<\/p>\nObligaci\u00f3n de supervisi\u00f3n:<\/strong> Los directores deben supervisar activamente la implementaci\u00f3n. No basta con ser informados, deben dirigir. La BSI puede exigir pruebas de que dicha supervisi\u00f3n se est\u00e1 llevando a cabo.<\/p>\nObligaci\u00f3n de formaci\u00f3n:<\/strong> Los \u00f3rganos directivos deben formarse regularmente en ciberseguridad. Esta obligaci\u00f3n no es delegable. Al menos cada tres a\u00f1os debe realizarse una actualizaci\u00f3n.<\/p>\nParticularmente relevante: la renuncia a la responsabilidad por parte de la empresa est\u00e1 legalmente excluida. Incluso quien haya designado un CISO sigue siendo personalmente responsable de la direcci\u00f3n estrat\u00e9gica. Quien tras un incidente no pueda demostrar haber cumplido estas tres obligaciones, responde con su patrimonio privado.<\/p>\n
Qu\u00e9 hace la BSI tras el 6 de marzo<\/h2>\n
Tras finalizar el plazo de registro, la BSI ha indicado que inicialmente prioriza la sensibilizaci\u00f3n frente a sanciones inmediatas. Hasta ahora no se han hecho p\u00fablicos avisos de sanci\u00f3n. Sin embargo, esto no significa que no ocurra nada.<\/p>\n
Desde enero de 2026, la BSI ya realiza inspecciones in situ en instalaciones especialmente importantes. Los primeros resultados muestran tres debilidades recurrentes: procesos de notificaci\u00f3n que no funcionan en caso de emergencia, dependencias desconocidas en la cadena de suministro y sistemas de registro (logging) insuficientes para las auditor\u00edas de la BSI.<\/p>\n
Para las empresas que a\u00fan no se han registrado, esto significa: la moratoria no es una carta blanca. El registro en s\u00ed dura pocas horas. Pero implementar las medidas del \u00a7 30 requiere semanas o incluso meses. Quien empiece ahora debe priorizar: registrar inmediatamente, luego implementar gesti\u00f3n de incidentes y control de acceso como logros r\u00e1pidos, y al mismo tiempo establecer el plan de cumplimiento completo<\/a>.<\/p>\nLista de verificaci\u00f3n inmediata: qu\u00e9 deben hacer ahora los equipos de seguridad inform\u00e1tica<\/h2>\n
Paso 1: Verificaci\u00f3n de afectaci\u00f3n.<\/strong> Compruebe: \u00bfM\u00e1s de 50 empleados o m\u00e1s de 10 millones de euros de facturaci\u00f3n? \u00bfAct\u00faa en alguno de los 18 sectores? Si la respuesta es afirmativa: est\u00e1 afectado.<\/p>\nPaso 2: Registro ante la BSI.<\/strong> Si a\u00fan no se ha hecho: reg\u00edstrese inmediatamente a trav\u00e9s del portal de la BSI. El registro en s\u00ed es sencillo. Cada d\u00eda de retraso aumenta el riesgo de sanci\u00f3n.<\/p>\nPaso 3: An\u00e1lisis de brechas frente al \u00a7 30.<\/strong> Revise individualmente las diez medidas m\u00ednimas. \u00bfD\u00f3nde ya existen procesos? \u00bfD\u00f3nde falta documentaci\u00f3n? \u00bfD\u00f3nde falta completamente la medida? Resultado: una lista priorizada con acciones necesarias.<\/p>\nPaso 4: Involucrar a la direcci\u00f3n.<\/strong> Obtenga una resoluci\u00f3n del consejo de administraci\u00f3n para aprobar las medidas de gesti\u00f3n de riesgos. Fije una fecha para la formaci\u00f3n de la direcci\u00f3n. Defina la periodicidad de supervisi\u00f3n. Documente todo.<\/p>\nPaso 5: Mapear la cadena de suministro.<\/strong> \u00bfQu\u00e9 proveedores de servicios de TI utiliza? \u00bfQu\u00e9 est\u00e1ndares de seguridad rigen all\u00ed? \u00bfExisten acuerdos contractuales? La seguridad de la cadena de suministro es el \u00e1rea que la mayor\u00eda de las empresas subestima.<\/p>\nPaso 6: Probar los procesos de notificaci\u00f3n.<\/strong> Simule un incidente de seguridad. \u00bfFuncionan las v\u00edas de escalado? \u00bfSabe cada uno a qui\u00e9n y cu\u00e1ndo debe informar? \u00bfLlega la notificaci\u00f3n a la BSI dentro del plazo establecido?<\/p>\nConclusi\u00f3n: el registro es la parte f\u00e1cil<\/h2>\n
El registro ante la BSI se completa en pocas horas. El verdadero trabajo reside en el \u00a7 30 BSIG: diez \u00e1reas de medidas que deben documentarse, implementarse y revisarse regularmente. Con el \u00a7 38 BSIG se a\u00f1ade la responsabilidad personal de la direcci\u00f3n.<\/p>\n
Quien a\u00fan no haya comenzado, no debe confiar en la moratoria de la BSI. Las inspecciones in situ ya est\u00e1n en marcha. Y la pregunta no es si, sino cu\u00e1ndo se impondr\u00e1 la primera sanci\u00f3n.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n\n\u00bfQui\u00e9n debe registrarse ante la BSI?<\/strong><\/summary>\nEmpresas con al menos 50 empleados o con un volumen de facturaci\u00f3n anual de al menos 10 millones de euros que operen en alguno de los 18 sectores NIS2. La obligaci\u00f3n de registro rige desde el 6 de marzo de 2026.<\/p>\n<\/details>\n\n\u00bfQu\u00e9 ocurre si he incumplido el plazo de registro?<\/strong><\/summary>\nLa BSI actualmente prioriza la sensibilizaci\u00f3n frente a sanciones inmediatas. Sin embargo, las sanciones son posibles en cualquier momento: hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global para instalaciones especialmente importantes. Reg\u00edstrese inmediatamente.<\/p>\n<\/details>\n\n\u00bfResponde personalmente el director general?<\/strong><\/summary>\nS\u00ed. El \u00a7 38 BSIG obliga a los directores a aprobar, supervisar y formarse personalmente en ciberseguridad. La renuncia a la responsabilidad por parte de la empresa est\u00e1 legalmente excluida. Esta obligaci\u00f3n no puede delegarse al CISO.<\/p>\n<\/details>\n\n\u00bfCu\u00e1les son las diez medidas m\u00ednimas seg\u00fan el \u00a7 30 BSIG?<\/strong><\/summary>\nAn\u00e1lisis de riesgos, gesti\u00f3n de incidentes, continuidad del negocio, seguridad de la cadena de suministro, adquisici\u00f3n y desarrollo seguros, evaluaci\u00f3n de eficacia, formaci\u00f3n, criptograf\u00eda, control de acceso y autenticaci\u00f3n multifactor. Los diez \u00e1mbitos deben estar documentados e implementados.<\/p>\n<\/details>\n\n\u00bfEs aplicable NIS2 tambi\u00e9n a las pymes?<\/strong><\/summary>\nS\u00ed. El umbral est\u00e1 en 50 empleados o 10 millones de euros de facturaci\u00f3n. Muchas pymes que nunca se han considerado relevantes para KRITIS quedan incluidas en NIS2. Especialmente afectados: industria manufacturera, sector alimentario y proveedores digitales.<\/p>\n<\/details>\n
\n<\/p>\nSelecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/dora-nis2-gleichzeitig-compliance-doppeldruck-finanzdienstleister-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>DORA y NIS2 simult\u00e1neamente: c\u00f3mo las entidades financieras pueden gestionar la doble presi\u00f3n regulatoria<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/sbom-praxischeck-software-stueckliste-250x167.jpg\")
<\/span>Recomendado<\/span>Comprobaci\u00f3n pr\u00e1ctica de SBOM: c\u00f3mo su empresa implementa la lista de componentes de software hasta septiembre de 2026<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/identity-security-gap-cybersecurity-250x167.jpeg\")
<\/span>Recomendado<\/span>Brecha de Seguridad de Identidad: Lo que Zero Trust no protege y c\u00f3mo cerrarla<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-tech-mandate-aufsichtsrat-nis2-eu-ai-act-39094777-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Mandato tecnol\u00f3gico en el consejo de supervisi\u00f3n: NIS2, Ley de IA de la UE y brecha de competencias<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-nis2-umsetzung-mittelstand-pflichten-bus-5121759-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Transposici\u00f3n NIS2: lo que las pymes a\u00fan deben hacer<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-nis2-und-dora-sauber-trennen-compliance-12173800.jpg\")
<\/span>cloudmagazin<\/span>NIS2 y DORA separados limpiamente: Cl\u00fasteres de cumplimiento en Kubernetes<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cybersecurity-boom-nis2-deutschlands-sic-39412011-250x166.jpg\")
<\/span>MyBusinessFuture<\/span>Auge ciberseguridad: NIS2 impulsa industria alemana de seguridad<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"El 6 de marzo de 2026 finaliz\u00f3 el plazo. Tres meses despu\u00e9s de la entrada en vigor de la ley de transposici\u00f3n NIS2, aproximadamente 29.500 empresas deb\u00edan registrarse ante la BSI. Resultado: solo el 38,5 por ciento lo ha conseguido. Quien a\u00fan no se haya registrado, arriesga sanciones de hasta 10 […]","protected":false},"author":10,"featured_media":5468,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"obligaci\u00f3n de registro","_yoast_wpseo_title":"Obligaci\u00f3n de registro NIS2 incumplida: la lista de verificaci\u00f3n pr\u00e1ctica seg\u00fan","_yoast_wpseo_metadesc":"NIS2 registro obligatorio: evita sanciones con nuestra lista de verificaci\u00f3n pr\u00e1ctica seg\u00fan el \u00a7 30 BSIG. Reg\u00edstrate ahora y cumple con la normativa.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5461"],"footnotes":""},"categories":[261,257],"tags":[],"class_list":["post-7137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es","category-praxis-umsetzung-es"],"evm_reading_time_minutes":13,"wpml_language":"es","wpml_translation_of":5461,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=7137"}],"version-history":[{"count":7,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137\/revisions"}],"predecessor-version":[{"id":21685,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137\/revisions\/21685"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5468"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=7137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=7137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=7137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
El plazo de registro ha expirado<\/h2>\n
La ley de transposici\u00f3n NIS2 (NIS2UmsuCG) entr\u00f3 en vigor el 6 de diciembre de 2025 sin periodos de transici\u00f3n. A partir de ese momento, todas las obligaciones eran aplicables. Tres meses despu\u00e9s, el 6 de marzo de 2026, finaliz\u00f3 el plazo para el registro ante la BSI. La BSI habilit\u00f3 el portal de registro el 6 de enero de 2026.<\/p>\n
Las cifras tras la finalizaci\u00f3n del plazo son desalentadoras: seg\u00fan informes del sector, de las aproximadamente 29.500 entidades obligadas, solo unas 11.500 se han registrado. Esto equivale al 38,5 por ciento. La mayor\u00eda de las empresas afectadas se encuentran, por tanto, formalmente en mora.<\/p>\n
Para comparar: bajo la antigua ley de seguridad inform\u00e1tica, la BSI supervisaba alrededor de 4.500 organizaciones. Con NIS2, este n\u00famero se ha multiplicado por m\u00e1s de seis. Muchas de las nuevas empresas afectadas no han tenido hasta ahora contacto alguno con la regulaci\u00f3n de la BSI y subestiman considerablemente el esfuerzo necesario para implementar las medidas m\u00ednimas.<\/p>\n
Fuentes: Comunicado de prensa de la BSI, diciembre de 2025; Security Insider, marzo de 2026; \u00a7 65 BSIG<\/p>\n
\u00bfQui\u00e9n est\u00e1 afectado? Verificaci\u00f3n de afectaci\u00f3n<\/h2>\n
NIS2 distingue dos categor\u00edas. Quien caiga en una de ellas debe registrarse.<\/p>\n
Instalaciones especialmente importantes:<\/strong> A partir de 250 empleados o 50 millones de euros de facturaci\u00f3n anual, siempre que la cifra de balance sea al menos de 43 millones de euros. Estas empresas son auditadas de forma proactiva y peri\u00f3dica por la BSI. Las sanciones pueden alcanzar hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global.<\/p>\n Instalaciones importantes:<\/strong> A partir de 50 empleados o 10 millones de euros de facturaci\u00f3n anual. La BSI audita \u00fanicamente de forma reactiva, es decir, cuando existe sospecha de incumplimiento o tras un incidente de seguridad. Las sanciones pueden llegar hasta 7 millones de euros o el 1,4 por ciento del volumen de negocio anual global.<\/p>\n En total, NIS2 abarca 18 sectores. Once de ellos se consideran esenciales: energ\u00eda, transporte, banca, infraestructura de mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, servicios TIC, administraci\u00f3n p\u00fablica y espacio. Otros siete sectores se clasifican como importantes: correo, gesti\u00f3n de residuos, qu\u00edmica, industria alimentaria, industria manufacturera, proveedores digitales e investigaci\u00f3n.<\/p>\n El error m\u00e1s com\u00fan es pensar: \u00abSomos demasiado peque\u00f1os\u00bb. En realidad, el umbral se sit\u00faa en 50 empleados o 10 millones de euros de facturaci\u00f3n. Muchas pymes que nunca se han considerado relevantes para KRITIS quedan incluidas en esta categor\u00eda. Especialmente delicado: incluso filiales y empresas vinculadas pueden superar estos umbrales por su pertenencia a un grupo empresarial.<\/p>\n El n\u00facleo pr\u00e1ctico de la ley de transposici\u00f3n NIS2 figura en el apartado 2 del \u00a7 30 BSIG. All\u00ed, el legislador define diez \u00e1mbitos que toda entidad afectada debe cubrir. Ninguna de estas medidas es opcional.<\/p>\n 1. An\u00e1lisis de riesgos y conceptos de seguridad.<\/strong> Las empresas deben contar con conceptos documentados sobre an\u00e1lisis de riesgos y seguridad de la informaci\u00f3n. No basta con documentos te\u00f3ricos: la BSI verifica si dichos conceptos est\u00e1n actualizados, son completos y se adaptan a la infraestructura TIC real.<\/p>\n 2. Gesti\u00f3n de incidentes.<\/strong> Los incidentes de seguridad deben poder detectarse, clasificarse y gestionarse. La BSI espera v\u00edas de notificaci\u00f3n definidas, procesos de escalado y una documentaci\u00f3n exhaustiva de la fase posterior al incidente. La experiencia demuestra<\/a> que muchas empresas cuentan con planes de respuesta a incidentes que, en caso real, no funcionan.<\/p>\n 3. Continuidad del negocio.<\/strong> Mantenimiento operativo, gesti\u00f3n de copias de seguridad, recuperaci\u00f3n tras emergencias y gesti\u00f3n de crisis. No solo t\u00e9cnicamente: tambi\u00e9n los procedimientos organizativos para emergencias deben estar definidos y someterse regularmente a simulacros. Un plan de copias de seguridad en papel no sirve de nada si nunca se ha probado la restauraci\u00f3n.<\/p>\n 4. Seguridad de la cadena de suministro.<\/strong> La seguridad de la cadena de suministro, incluidos los proveedores directos y los prestadores de servicios. Aqu\u00ed radica una de las mayores lagunas: muchas empresas desconocen las pr\u00e1cticas de seguridad de sus proveedores de servicios TIC. NIS2 exige identificar sistem\u00e1ticamente estos riesgos y controlarlos contractualmente. Esto afecta tambi\u00e9n a proveedores de nube, gestores de servicios gestionados y fabricantes de software.<\/p>\n 5. Adquisici\u00f3n y desarrollo seguros.<\/strong> Medidas de seguridad en la adquisici\u00f3n, desarrollo y mantenimiento de sistemas TIC. Para empresas con desarrollo interno de software, esto implica que la seguridad por dise\u00f1o pasa a ser obligatoria, no opcional. El an\u00e1lisis pr\u00e1ctico de SBOM<\/a> muestra c\u00f3mo la lista de componentes de software facilita este proceso.<\/p>\n 6. Evaluaci\u00f3n de eficacia.<\/strong> Las empresas no solo deben implementar medidas, sino evaluar peri\u00f3dicamente su eficacia. Pruebas de penetraci\u00f3n, auditor\u00edas y m\u00e9tricas de seguridad pasan as\u00ed a ser obligatorias. Esta evaluaci\u00f3n debe documentarse y presentarse a la direcci\u00f3n.<\/p>\n 7. Formaci\u00f3n y sensibilizaci\u00f3n.<\/strong> Formaci\u00f3n b\u00e1sica en ciberseguridad para todo el personal. No puntual, sino continua. La direcci\u00f3n tiene una obligaci\u00f3n espec\u00edfica de formaci\u00f3n seg\u00fan el \u00a7 38 BSIG, que no puede delegarse.<\/p>\n \n\u00abLas empresas necesitan marcos normativos fiables.\u00bb 8. Criptograf\u00eda.<\/strong> Conceptos y procesos para el uso de m\u00e9todos criptogr\u00e1ficos. Esto abarca la cifrado en tr\u00e1nsito, en reposo y en la comunicaci\u00f3n. Las empresas deben documentar qu\u00e9 algoritmos utilizan y por qu\u00e9. M\u00e9todos obsoletos como SHA-1 o RSA con menos de 2048 bits ya no son aceptables.<\/p>\n 9. Control de acceso y gesti\u00f3n de personal.<\/strong> Seguridad del personal, control de acceso a los sistemas y gesti\u00f3n de los sistemas TIC. La gesti\u00f3n de identidades y accesos (IAM) se convierte as\u00ed en un tema de cumplimiento normativo, no solo de seguridad. El principio del m\u00ednimo privilegio debe aplicarse rigurosamente y documentarse de forma verificable.<\/p>\n 10. Autenticaci\u00f3n multifactor y comunicaci\u00f3n segura.<\/strong> Autenticaci\u00f3n multifactor o autenticaci\u00f3n continua, as\u00ed como comunicaci\u00f3n segura por voz, video y texto. Quien a\u00fan no tenga autenticaci\u00f3n multifactor en sistemas cr\u00edticos ya no cumple con la normativa. Especialmente relevante para empresas que usan Microsoft Teams u otras plataformas similares para comunicaciones confidenciales.<\/p>\n Quiz\u00e1 la novedad m\u00e1s significativa de NIS2 se encuentra en el \u00a7 38 BSIG. Los directores generales y miembros del consejo de administraci\u00f3n responden personalmente por la implementaci\u00f3n de las medidas de gesti\u00f3n de riesgos. La ley establece tres obligaciones.<\/p>\n Obligaci\u00f3n de aprobaci\u00f3n:<\/strong> Las medidas de gesti\u00f3n de riesgos seg\u00fan el \u00a7 30 deben ser formalmente aprobadas por la direcci\u00f3n. La delegaci\u00f3n al CISO o al responsable de TI no es suficiente. La direcci\u00f3n debe haber tomado la decisi\u00f3n de forma demostrable.<\/p>\n Obligaci\u00f3n de supervisi\u00f3n:<\/strong> Los directores deben supervisar activamente la implementaci\u00f3n. No basta con ser informados, deben dirigir. La BSI puede exigir pruebas de que dicha supervisi\u00f3n se est\u00e1 llevando a cabo.<\/p>\n Obligaci\u00f3n de formaci\u00f3n:<\/strong> Los \u00f3rganos directivos deben formarse regularmente en ciberseguridad. Esta obligaci\u00f3n no es delegable. Al menos cada tres a\u00f1os debe realizarse una actualizaci\u00f3n.<\/p>\n Particularmente relevante: la renuncia a la responsabilidad por parte de la empresa est\u00e1 legalmente excluida. Incluso quien haya designado un CISO sigue siendo personalmente responsable de la direcci\u00f3n estrat\u00e9gica. Quien tras un incidente no pueda demostrar haber cumplido estas tres obligaciones, responde con su patrimonio privado.<\/p>\n Tras finalizar el plazo de registro, la BSI ha indicado que inicialmente prioriza la sensibilizaci\u00f3n frente a sanciones inmediatas. Hasta ahora no se han hecho p\u00fablicos avisos de sanci\u00f3n. Sin embargo, esto no significa que no ocurra nada.<\/p>\n Desde enero de 2026, la BSI ya realiza inspecciones in situ en instalaciones especialmente importantes. Los primeros resultados muestran tres debilidades recurrentes: procesos de notificaci\u00f3n que no funcionan en caso de emergencia, dependencias desconocidas en la cadena de suministro y sistemas de registro (logging) insuficientes para las auditor\u00edas de la BSI.<\/p>\n Para las empresas que a\u00fan no se han registrado, esto significa: la moratoria no es una carta blanca. El registro en s\u00ed dura pocas horas. Pero implementar las medidas del \u00a7 30 requiere semanas o incluso meses. Quien empiece ahora debe priorizar: registrar inmediatamente, luego implementar gesti\u00f3n de incidentes y control de acceso como logros r\u00e1pidos, y al mismo tiempo establecer el plan de cumplimiento completo<\/a>.<\/p>\n Paso 1: Verificaci\u00f3n de afectaci\u00f3n.<\/strong> Compruebe: \u00bfM\u00e1s de 50 empleados o m\u00e1s de 10 millones de euros de facturaci\u00f3n? \u00bfAct\u00faa en alguno de los 18 sectores? Si la respuesta es afirmativa: est\u00e1 afectado.<\/p>\n Paso 2: Registro ante la BSI.<\/strong> Si a\u00fan no se ha hecho: reg\u00edstrese inmediatamente a trav\u00e9s del portal de la BSI. El registro en s\u00ed es sencillo. Cada d\u00eda de retraso aumenta el riesgo de sanci\u00f3n.<\/p>\n Paso 3: An\u00e1lisis de brechas frente al \u00a7 30.<\/strong> Revise individualmente las diez medidas m\u00ednimas. \u00bfD\u00f3nde ya existen procesos? \u00bfD\u00f3nde falta documentaci\u00f3n? \u00bfD\u00f3nde falta completamente la medida? Resultado: una lista priorizada con acciones necesarias.<\/p>\n Paso 4: Involucrar a la direcci\u00f3n.<\/strong> Obtenga una resoluci\u00f3n del consejo de administraci\u00f3n para aprobar las medidas de gesti\u00f3n de riesgos. Fije una fecha para la formaci\u00f3n de la direcci\u00f3n. Defina la periodicidad de supervisi\u00f3n. Documente todo.<\/p>\n Paso 5: Mapear la cadena de suministro.<\/strong> \u00bfQu\u00e9 proveedores de servicios de TI utiliza? \u00bfQu\u00e9 est\u00e1ndares de seguridad rigen all\u00ed? \u00bfExisten acuerdos contractuales? La seguridad de la cadena de suministro es el \u00e1rea que la mayor\u00eda de las empresas subestima.<\/p>\n Paso 6: Probar los procesos de notificaci\u00f3n.<\/strong> Simule un incidente de seguridad. \u00bfFuncionan las v\u00edas de escalado? \u00bfSabe cada uno a qui\u00e9n y cu\u00e1ndo debe informar? \u00bfLlega la notificaci\u00f3n a la BSI dentro del plazo establecido?<\/p>\n El registro ante la BSI se completa en pocas horas. El verdadero trabajo reside en el \u00a7 30 BSIG: diez \u00e1reas de medidas que deben documentarse, implementarse y revisarse regularmente. Con el \u00a7 38 BSIG se a\u00f1ade la responsabilidad personal de la direcci\u00f3n.<\/p>\n Quien a\u00fan no haya comenzado, no debe confiar en la moratoria de la BSI. Las inspecciones in situ ya est\u00e1n en marcha. Y la pregunta no es si, sino cu\u00e1ndo se impondr\u00e1 la primera sanci\u00f3n.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n Empresas con al menos 50 empleados o con un volumen de facturaci\u00f3n anual de al menos 10 millones de euros que operen en alguno de los 18 sectores NIS2. La obligaci\u00f3n de registro rige desde el 6 de marzo de 2026.<\/p>\n<\/details>\n La BSI actualmente prioriza la sensibilizaci\u00f3n frente a sanciones inmediatas. Sin embargo, las sanciones son posibles en cualquier momento: hasta 10 millones de euros o el 2 por ciento del volumen de negocio anual global para instalaciones especialmente importantes. Reg\u00edstrese inmediatamente.<\/p>\n<\/details>\n S\u00ed. El \u00a7 38 BSIG obliga a los directores a aprobar, supervisar y formarse personalmente en ciberseguridad. La renuncia a la responsabilidad por parte de la empresa est\u00e1 legalmente excluida. Esta obligaci\u00f3n no puede delegarse al CISO.<\/p>\n<\/details>\n An\u00e1lisis de riesgos, gesti\u00f3n de incidentes, continuidad del negocio, seguridad de la cadena de suministro, adquisici\u00f3n y desarrollo seguros, evaluaci\u00f3n de eficacia, formaci\u00f3n, criptograf\u00eda, control de acceso y autenticaci\u00f3n multifactor. Los diez \u00e1mbitos deben estar documentados e implementados.<\/p>\n<\/details>\n S\u00ed. El umbral est\u00e1 en 50 empleados o 10 millones de euros de facturaci\u00f3n. Muchas pymes que nunca se han considerado relevantes para KRITIS quedan incluidas en NIS2. Especialmente afectados: industria manufacturera, sector alimentario y proveedores digitales.<\/p>\n<\/details>\n\u00a7 30 BSIG: Las diez medidas m\u00ednimas en detalle<\/h2>\n
\nRalf Wintergerst, presidente de Bitkom (comunicado de prensa de Bitkom, 2025)<\/cite>\n<\/p><\/blockquote>\n\u00a7 38 BSIG: por qu\u00e9 los directores generales responden personalmente<\/h2>\n
Qu\u00e9 hace la BSI tras el 6 de marzo<\/h2>\n
Lista de verificaci\u00f3n inmediata: qu\u00e9 deben hacer ahora los equipos de seguridad inform\u00e1tica<\/h2>\n
Conclusi\u00f3n: el registro es la parte f\u00e1cil<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQui\u00e9n debe registrarse ante la BSI?<\/strong><\/summary>\n
\u00bfQu\u00e9 ocurre si he incumplido el plazo de registro?<\/strong><\/summary>\n
\u00bfResponde personalmente el director general?<\/strong><\/summary>\n
\u00bfCu\u00e1les son las diez medidas m\u00ednimas seg\u00fan el \u00a7 30 BSIG?<\/strong><\/summary>\n
\u00bfEs aplicable NIS2 tambi\u00e9n a las pymes?<\/strong><\/summary>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
<\/span>Recomendado<\/span>DORA y NIS2 simult\u00e1neamente: c\u00f3mo las entidades financieras pueden gestionar la doble presi\u00f3n regulatoria<\/span><\/span><\/a><\/span>Recomendado<\/span>Comprobaci\u00f3n pr\u00e1ctica de SBOM: c\u00f3mo su empresa implementa la lista de componentes de software hasta septiembre de 2026<\/span><\/span><\/a><\/span>Recomendado<\/span>Brecha de Seguridad de Identidad: Lo que Zero Trust no protege y c\u00f3mo cerrarla<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
<\/span>Digital Chiefs<\/span>Mandato tecnol\u00f3gico en el consejo de supervisi\u00f3n: NIS2, Ley de IA de la UE y brecha de competencias<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Transposici\u00f3n NIS2: lo que las pymes a\u00fan deben hacer<\/span><\/span><\/a><\/span>cloudmagazin<\/span>NIS2 y DORA separados limpiamente: Cl\u00fasteres de cumplimiento en Kubernetes<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Auge ciberseguridad: NIS2 impulsa industria alemana de seguridad<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"El 6 de marzo de 2026 finaliz\u00f3 el plazo. Tres meses despu\u00e9s de la entrada en vigor de la ley de transposici\u00f3n NIS2, aproximadamente 29.500 empresas deb\u00edan registrarse ante la BSI. Resultado: solo el 38,5 por ciento lo ha conseguido. Quien a\u00fan no se haya registrado, arriesga sanciones de hasta 10 […]","protected":false},"author":10,"featured_media":5468,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"obligaci\u00f3n de registro","_yoast_wpseo_title":"Obligaci\u00f3n de registro NIS2 incumplida: la lista de verificaci\u00f3n pr\u00e1ctica seg\u00fan","_yoast_wpseo_metadesc":"NIS2 registro obligatorio: evita sanciones con nuestra lista de verificaci\u00f3n pr\u00e1ctica seg\u00fan el \u00a7 30 BSIG. Reg\u00edstrate ahora y cumple con la normativa.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5461"],"footnotes":""},"categories":[261,257],"tags":[],"class_list":["post-7137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es","category-praxis-umsetzung-es"],"evm_reading_time_minutes":13,"wpml_language":"es","wpml_translation_of":5461,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=7137"}],"version-history":[{"count":7,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137\/revisions"}],"predecessor-version":[{"id":21685,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7137\/revisions\/21685"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5468"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=7137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=7137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=7137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}