El artículo 21 de la Directiva NIS2, la Directiva (UE) 2022/2555, fija las medidas mínimas de ciberseguridad que deben adoptar las entidades esenciales e importantes. Se lee como una lista de epígrafes, lo que deja mucho margen de interpretación sobre qué se considera «suficiente». Este artículo repasa cada medida en términos prácticos y después trata los plazos de notificación del artículo 23.
Se trata de una lectura de la propia Directiva. Cada Estado miembro la transpone mediante su legislación nacional, que puede añadir detalles, así que compruebe las normas y la autoridad competente de cada país en el que opere.
¿Se aplica a su organización?
NIS2 abarca, por lo general, a las organizaciones medianas y grandes de los sectores enumerados en sus anexos I y II. El tamaño sigue la definición de pyme de la UE, según la cual una pequeña empresa tiene menos de 50 empleados y un volumen de negocios o un balance general de hasta 10 millones de euros. En la práctica, si tiene 50 empleados o más, o si tanto su volumen de negocios como su balance superan los 10 millones de euros, es usted al menos una empresa mediana.
Algunas entidades están incluidas con independencia de su tamaño en virtud del artículo 2, apartado 2. Por ejemplo, los proveedores de redes o servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios de DNS.
Las entidades son esenciales o importantes (artículo 3). Las medidas del artículo 21 son las mismas para ambas. La diferencia está en la supervisión, que para las entidades importantes es principalmente a posteriori (artículo 33), y en las multas máximas del artículo 34. Para las entidades esenciales, los Estados miembros deben fijar un máximo de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial, si esta cifra es superior. Para las entidades importantes, las cifras son 7 millones de euros o el 1,4 %.
Hay dos aspectos importantes para los lectores de fuera de la UE, también en Türkiye. Según el artículo 26, apartado 3, determinados proveedores digitales deben designar un representante en la UE si ofrecen allí sus servicios sin estar establecidos en ella. Entre ellos están los proveedores de servicios de computación en nube, de centros de datos, de servicios gestionados y de servicios de seguridad gestionados. Además, los proveedores de las entidades incluidas notarán el artículo 21 a través de los contratos y cuestionarios de sus clientes.
Las diez medidas del artículo 21, apartado 2
El artículo 21, apartado 1, exige medidas «adecuadas y proporcionadas». Deben tener en cuenta el estado de la técnica, las normas pertinentes, el coste, el tamaño de la entidad y su exposición a los riesgos, y la probabilidad y gravedad de los incidentes. El artículo 21, apartado 2, establece que deben basarse en un enfoque que abarque todos los riesgos e incluir, como mínimo, lo siguiente.
a) Análisis de riesgos y políticas de seguridad de los sistemas de información
Ponga por escrito qué necesita proteger, qué podría salir mal y qué ha decidido hacer al respecto. Para una empresa de 200 personas, eso significa un inventario de activos, un registro de riesgos revisado al menos una vez al año y una política de seguridad breve firmada por la dirección.
b) Gestión de incidentes
Tenga un proceso escrito para detectar, clasificar y responder a los incidentes, con personas designadas y contactos fuera del horario laboral. Incluya los pasos de notificación del artículo 23, para que nadie tenga que averiguar los plazos en pleno incidente.
c) Continuidad de la actividad, copias de seguridad, recuperación ante desastres y gestión de crisis
Sepa qué servicios son los más importantes y cuánto tiempo puede estar sin ellos. Mantenga copias de seguridad que un atacante con derechos de administrador no pueda borrar y pruebe las restauraciones de forma periódica. Haga al menos un ejercicio de simulación de mesa (tabletop) con la dirección.
d) Seguridad de la cadena de suministro
Haga una lista de los proveedores y prestadores de servicios que pueden afectar a sus sistemas, como su proveedor de servicios gestionados (MSP), sus proveedores de nube y SaaS y sus fabricantes de software. El artículo 21, apartado 3, le pide que tenga en cuenta las vulnerabilidades específicas de cada proveedor directo, la calidad de sus productos y sus prácticas de seguridad, incluido el desarrollo seguro. En la práctica, incluya en los contratos requisitos de seguridad y obligaciones de notificación de incidentes.
e) Seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión y divulgación de vulnerabilidades
Aplique parches según un calendario definido, haga un seguimiento de las vulnerabilidades de lo que desarrolla y compra, y ofrezca a terceros una vía para comunicarle problemas. Un archivo security.txt publicado y una política de divulgación sencilla cubren este último punto.
f) Evaluación de la eficacia de estas medidas
Compruebe que los controles funcionan en lugar de darlo por supuesto. Las auditorías internas, los análisis de vulnerabilidades, las pruebas de penetración y las pruebas de restauración cuentan, siempre que se haga un seguimiento de los hallazgos hasta su cierre.
g) Ciberhigiene básica y formación
Cubra lo básico en todas partes: actualizaciones, configuración segura, mínimo privilegio y eliminación de las cuentas que no se usan. Forme a todo el personal con regularidad, como mínimo en la detección del phishing. El artículo 20, apartado 2, exige por separado que los miembros de los órganos de dirección reciban formación.
h) Criptografía y cifrado
Decida dónde es obligatorio el cifrado, por ejemplo en portátiles, copias de seguridad, datos en tránsito y datos sensibles en reposo. Decida qué algoritmos y versiones de protocolo son aceptables y quién gestiona las claves y los certificados.
i) Seguridad de los recursos humanos, control de acceso y gestión de activos
Aplique procesos de altas, cambios y bajas de personal que retiren de verdad los accesos el último día. Revise con regularidad las cuentas privilegiadas. Mantenga un inventario de activos que tenga un responsable y esté actualizado.
j) Autenticación multifactor o continua, comunicaciones seguras y comunicaciones de emergencia
Use la autenticación multifactor para el acceso remoto, el correo electrónico, la administración de la nube y las cuentas privilegiadas. Acuerde un canal de comunicación de emergencia que no dependa de su propio correo o chat, porque pueden estar caídos o vigilados durante un incidente.
La dirección rinde cuentas
El artículo 20 exige que los órganos de dirección aprueben las medidas de gestión de riesgos y supervisen su aplicación. Los órganos de dirección pueden ser considerados responsables de los incumplimientos del artículo 21 por parte de la entidad. Sus miembros deben recibir formación, y los Estados miembros deben animar a las entidades a ofrecer periódicamente una formación similar a sus empleados.
En la práctica, incluya la ciberseguridad en el orden del día del consejo al menos una vez por trimestre. Deje constancia de las decisiones, incluidos los riesgos que la dirección ha aceptado.
Los plazos de notificación del artículo 23
Un incidente significativo es aquel que ha causado o puede causar una perturbación operativa grave o pérdidas económicas para la entidad, o perjuicios materiales o inmateriales considerables a terceros. Estos incidentes deben notificarse al CSIRT o a la autoridad competente por fases:
| Fase | Plazo | Contenido |
|---|---|---|
| Alerta temprana | En las 24 horas siguientes a tener conocimiento | Si se sospecha una acción ilícita o malintencionada y si puede tener impacto transfronterizo |
| Notificación del incidente | En las 72 horas siguientes a tener conocimiento | Actualización de la alerta temprana, evaluación inicial de la gravedad y el impacto, indicadores de compromiso si los hay |
| Informe intermedio | Previa solicitud | Actualizaciones pertinentes de la situación |
| Informe final | En el plazo de un mes desde la notificación del incidente | Descripción detallada, causa raíz probable, medidas de mitigación aplicadas y en curso, impacto transfronterizo |
| Informe de situación | Si el incidente sigue en curso al vencer el plazo del informe final | Situación, seguida de un informe final en el plazo de un mes desde la gestión del incidente |
Los prestadores de servicios de confianza tienen un plazo más corto. Para los incidentes que afectan a sus servicios de confianza, la notificación de la segunda fila debe presentarse en un plazo de 24 horas. Cuando proceda, las entidades también deben informar a los destinatarios de sus servicios de los incidentes significativos que puedan afectarles.
Estos plazos corren en paralelo a otras obligaciones. Un ataque de ransomware que afecte a datos personales también puede requerir una notificación a la autoridad de protección de datos conforme al artículo 33 del RGPD, si es posible en un plazo de 72 horas.
Proporcionado, documentado y demostrable
El artículo 21 no impone una norma concreta. Si ya aplica la ISO/IEC 27001, relacionar sus controles con las diez medidas es un buen punto de partida. Para determinados proveedores digitales, el Reglamento de Ejecución (UE) 2024/2690 de la Comisión establece requisitos técnicos detallados, y la guía técnica de aplicación de ENISA de junio de 2025 ofrece ejemplos de evidencias y correspondencias. Aunque ese reglamento no se le aplique, la guía muestra qué aspecto tienen las evidencias.
Elija lo que elija, conserve evidencias: políticas con su fecha de aprobación, registros de formación, informes de pruebas, registros de restauraciones y las decisiones sobre riesgos que tomó la dirección. Según el artículo 21, apartado 4, una entidad que detecte que no cumple debe adoptar medidas correctoras sin dilación indebida.
Por dónde empezar
- Confirme si está incluido en el ámbito de aplicación, y si como entidad esencial o importante, según su legislación nacional.
- Haga una evaluación de carencias frente a las diez medidas anteriores. Para empezar basta con una página por medida.
- Corrija primero las carencias de mayor impacto, por ejemplo la falta de MFA, unas copias de seguridad sin probar o la ausencia de un procedimiento de notificación de incidentes.
- Incorpore a su plan de incidentes los pasos de notificación del artículo 23, con los datos de contacto de su CSIRT o autoridad.
- Informe a la dirección, deje constancia de su aprobación y programe su formación.
Nuestro equipo de consultoría puede ayudarle con una evaluación de carencias frente a NIS2, y SecAudit relaciona los hallazgos de seguridad de WordPress con las medidas del artículo 21 en sus informes de cumplimiento.
