Michael Aim
Fundador y CEO
La directiva NIS2 debía transponerse antes del 17 de octubre de 2024. Francia incumplió el plazo, hasta el punto de que la Comisión decidió, el 8 de julio de 2026, recurrirla ante el Tribunal de Justicia de la UE junto con España, Irlanda y los Países Bajos, con petición de sanciones económicas. La llamada ley Résilience, destinada a transponer la norma, no figura en el orden del día de la sesión de julio: su examen se traslada al otoño. La obligación europea, por su parte, corre desde octubre de 2024.
Un detalle lo cambia todo para quien quiera avanzar: el marco técnico ya es público. La ANSSI publicó en marzo de 2026 su Référentiel Cyber France, que traduce las exigencias de NIS2 en objetivos de seguridad, veinte para las entidades esenciales, quince para las entidades importantes. Dicho de otro modo, ya se conoce buena parte de lo que se va a exigir antes incluso de que se vote la ley. Esperar al texto para empezar es esperar a que se formalice una obligación cuya sustancia ya se conoce.
El verdadero cambio es de escala: de unos pocos cientos de operadores bajo NIS1, Francia pasa a entre 15.000 y 18.000 entidades afectadas, repartidas entre «entidades esenciales» y «entidades importantes». Medianas empresas industriales, ayuntamientos, actores de la sanidad, el transporte o la agroalimentación descubrirán que están dentro del perímetro, con obligaciones de gestión de riesgos, notificación de incidentes y supervisión de la ANSSI.
De la buena práctica al dispositivo controlable
El cambio conceptual es el mismo que en su día trajo el RGPD: la ciberseguridad deja de ser un asunto de expertos y buenas intenciones para convertirse en un dispositivo cuya existencia y funcionamiento hay que poder demostrar. Gobernanza, análisis de riesgos, seguridad de la cadena de suministro, gestión de incidentes, continuidad: cada exigencia de la directiva implica pruebas.
Y la asimetría de las sanciones concentra la atención: hasta 10 millones de euros o el 2% de la facturación mundial para las entidades esenciales, con controles proactivos; 7 millones o el 1,4% para las entidades importantes, controladas tras un incidente. En ambos casos, el día de la inspección, la improvisación se nota.
Lo que exige la directiva, en concreto
NIS2 impone un conjunto mínimo de medidas: políticas de seguridad y análisis de riesgos, gestión de incidentes, continuidad de actividad y gestión de crisis, seguridad de la cadena de suministro, seguridad de las adquisiciones y del desarrollo, evaluación de la eficacia de las medidas, higiene informática y formación, criptografía, seguridad de los recursos humanos y control de accesos, autenticación multifactor. Diez familias de exigencias que dibujan, de hecho, un marco de referencia.
A esto se suma la mecánica de notificación de incidentes significativos, con plazos ajustados: alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes. Cumplir estos plazos no se improvisa el día del incidente: supone tener ya una detección, una calificación y una cadena de decisión establecidas, y ya probadas.
El efecto cadena de suministro
El perímetro real va más allá de las 15.000 entidades designadas: la directiva les exige controlar la seguridad de su cadena de suministro, y esa exigencia se traslada contractualmente. Un subcontratista de software, un mantenedor industrial o un proveedor logístico fuera del perímetro recibirá los cuestionarios y las cláusulas de sus clientes regulados.
Para estos proveedores, la lectura inteligente es comercial: quien llega con una madurez cibernética medida y demostrable convierte una exigencia impuesta en argumento de referenciación. En las licitaciones de 2027, será un criterio de selección, no un extra.
Por dónde empezar
Para una organización que descubre el tema, el orden razonable se resume en tres pasos: determinar si está dentro del perímetro, y a qué título; medir su madurez real frente a las exigencias de la directiva, entidad por entidad, en lugar de acumular auditorías puntuales; y convertir las brechas en un plan de acción con plazos, porque la puesta al día llevará meses y el calendario no va a esperar.
Nuestro catálogo cuenta con 11 marcos de referencia de ciberseguridad para apoyar esta medición, y la lógica vale también para los grupos: cada filial evaluada con la misma base, una consolidación que muestra dónde concentrar el esfuerzo. El cumplimiento de NIS2 será un maratón administrado; mejor entrar en él con un instrumento.