Nota editorial, 24 de septiembre de 2026: conservamos la fecha de publicación, pero corregimos afirmaciones demasiado amplias sobre el alcance de NIS2, MFA y autoridades nacionales. El 17 de octubre de 2024 fue el plazo de transposición para los Estados miembros, no una prueba de que todas las medidas se apliquen de igual manera en cada país. Consulta la ley nacional vigente y la autoridad competente de tu sector.
La Directiva (UE) 2022/2555, conocida como NIS2, establece un marco de ciberseguridad para entidades de sectores definidos. Usar IA, desarrollar una aplicación SaaS o vender a un sector crítico no basta por sí solo para concluir que una empresa está dentro de su ámbito. La Comisión Europea explica que la regla general comprende entidades medianas y grandes de los sectores cubiertos, con excepciones y facultades nacionales para incluir ciertas entidades más pequeñas.
Comprueba primero el alcance
- Actividad real. Revisa si la entidad presta un servicio de los anexos I o II, como determinados servicios de infraestructura digital, gestión TIC, sanidad, energía, transporte o plataformas digitales. «Empresa de IA» no es una categoría automática de NIS2.
- Tamaño y excepciones. Examina plantilla, volumen y relaciones societarias conforme a las reglas aplicables. Algunas categorías pueden entrar con independencia del tamaño; otras pequeñas entidades pueden ser identificadas por un Estado miembro.
- País y transposición. Confirma la norma nacional, la clasificación de entidad esencial o importante y la autoridad competente. La fecha de transposición de la directiva no sustituye ese análisis.
Un proveedor de IA alojado en infraestructura cloud de un tercero no se convierte por eso en proveedor de servicios cloud ni en proveedor de servicios gestionados. Tampoco puede afirmarse que Fencia esté en una categoría NIS2 sin revisar su actividad y situación jurídica concretas.
Qué exige el marco cuando aplica
El artículo 21 exige medidas de gestión de riesgos de ciberseguridad apropiadas y proporcionadas. Incluye, entre otros temas, análisis de riesgos, gestión de incidentes, continuidad, seguridad de proveedores, desarrollo seguro, formación y control de acceso. La autenticación multifactor o continua figura cuando proceda; no es correcto presentarla como una obligación idéntica para todos los sistemas y entidades.
El artículo 23 establece notificaciones escalonadas para incidentes significativos: alerta temprana dentro de 24 horas, notificación dentro de 72 horas y, por regla general, informe final dentro de un mes. El punto de partida, el contenido y los supuestos especiales requieren leer el artículo y las normas aplicables; no todo evento técnico activa estos plazos.
Relación con el EU AI Act
NIS2 se centra en la seguridad de redes y sistemas de información de las entidades cubiertas. El Reglamento de IA establece obligaciones sobre determinados sistemas y operadores de IA. Una organización puede necesitar examinar ambos marcos, pero los requisitos, autoridades y calendarios no son intercambiables. Una evidencia de seguridad puede servir para varias revisiones internas sin que ello demuestre cumplimiento de ambos textos.
Próximo paso práctico
Documenta la actividad, tamaño y países de operación; identifica el posible sector de los anexos; consulta la transposición nacional; y pide una evaluación especializada antes de declarar que la entidad es esencial o importante. Si aplica, diseña medidas y respuesta a incidentes según el riesgo y el texto vigente.
Fencia no ofrece una evaluación específica de NIS2. Sus funciones de análisis documental para requisitos seleccionados del EU AI Act y RGPD no equivalen a una auditoría de ciberseguridad ni a una revisión NIS2.
Fuentes oficiales: Directiva NIS2 en EUR-Lex; Comisión Europea, política NIS2; preguntas frecuentes de la Comisión.