NIS2
NIS2 es legislación de la UE, no una certificación. Las entidades esenciales e importantes deben adoptar medidas de gestión de riesgos de ciberseguridad, hacer responsable de ellas a su órgano de dirección y notificar los incidentes significativos dentro de plazos fijos. Complyanz gestiona ese programa, incluida la ley nacional que realmente le obliga.
Las medidas, la responsabilidad y los plazos de notificación
Cómo funciona un programa NIS2
Clasificación de la entidad
Registre su sector, tamaño y casos especiales, y compruebe si es una entidad esencial, importante o si queda fuera del ámbito.
Medidas del artículo 21
Evalúe los riesgos de ciberseguridad y registre la aplicabilidad y el estado de cada una de las diez medidas de gestión de riesgos.
Gobernanza y designaciones
Aprobación y formación del órgano de dirección, además del responsable de seguridad, el punto de contacto y el registro que exige su autoridad nacional.
Notificación de incidentes
Declare un incidente significativo y cada informe se controla frente a su plazo, por país, hasta que se presenta.
NIS2 junto a sus otros programas
NIS2 es independiente en Complyanz: no requiere ISO 27001. Aun así, la mayoría de las medidas del artículo 21 se corresponden con controles de ISO 27001, y los mismos activos, incidentes, proveedores y registros de formación sirven para ambos, por eso muchas empresas europeas los llevan juntos.
Preguntas frecuentes sobre NIS2
¿Nos aplica NIS2?
En general, si opera en uno de los sectores de los anexos de la directiva y tiene al menos 50 empleados o más de 10 millones de euros tanto de volumen de negocio como de balance. Algunos prestadores entran en el ámbito sea cual sea su tamaño, como los servicios de DNS, los prestadores de servicios de confianza y las comunicaciones electrónicas públicas. El paso de clasificación en Complyanz guía el análisis y registra el resultado.
¿Qué leyes nacionales cubren?
El Decreto-Lei 125/2025 de Portugal, en vigor desde abril de 2026, incluidas las designaciones ante el CNCS y las etapas propias de notificación de incidentes de Portugal. La ley española sigue siendo un anteproyecto; sus obligaciones están incluidas y claramente marcadas como borrador hasta su aprobación. Para los demás Estados miembros se trabaja con la propia directiva.
¿Cómo funciona la notificación de incidentes?
Usted declara un incidente como significativo y Complyanz crea cada informe con su plazo: una alerta temprana en las 24 horas siguientes a tener conocimiento, una notificación del incidente en 72 horas y un informe final en un mes. Portugal sigue su propia secuencia: notificación inicial, actualización a las 72 horas, notificación del fin del impacto e informe final 30 días hábiles después.
¿Existe un certificado NIS2?
No. El cumplimiento de NIS2 lo supervisa su autoridad nacional; no se certifica. Un certificado ISO 27001 se utiliza a menudo como evidencia de muchas de las medidas, y Complyanz puede gestionar ambos.
Construya su programa NIS2
Cree una organización y las medidas, la clasificación y el flujo de notificación estarán listos para trabajar.