> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-en-es/incorporacion/compliance/nis-2.md).

# NIS 2

La directiva NIS 2 exige a las organizaciones de sectores críticos implantar medidas sólidas de ciberseguridad. Esta página explica qué exige la directiva, cómo comprobar si se te aplica y cómo completar la evaluación en Stoïk Protect.

## Comprender NIS 2

### Qué es la directiva

NIS 2 ([Directiva (UE) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)) sustituye a la primera directiva NIS de 2016. Fue adoptada en diciembre de 2022, y se exigió a los Estados miembros que la transpusieran al derecho nacional antes del **17 de octubre de 2024**.

Dos cosas cambiaron de forma significativa con respecto a NIS 1:

* **El ámbito de aplicación se amplió.** Aproximadamente **18 sectores** están ahora cubiertos: 11 sectores altamente críticos en el anexo I y 7 otros sectores críticos en el anexo II. Miles de organizaciones medianas y grandes entran en el ámbito de aplicación por primera vez, junto con las administraciones públicas.
* **La dirección pasó a ser responsable.** Con arreglo al [artículo 20](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), el órgano de dirección debe aprobar las medidas de ciberseguridad, supervisar su aplicación y puede ser considerado personalmente responsable. También se exige a los directivos que reciban formación en ciberseguridad.

{% hint style="info" %}
NIS 2 es una **directiva**, no un reglamento. Fija los objetivos; cada Estado miembro redacta su propia ley. Tus plazos exactos, tu procedimiento de registro y cualquier requisito nacional más estricto dependen de tu país, no del texto europeo.
{% endhint %}

### Las tres obligaciones principales

<table><thead><tr><th width="242.62109375">Obligación</th><th>Qué significa</th></tr></thead><tbody><tr><td><strong>Registrarte ante tu autoridad nacional</strong></td><td>Una vez que hayas establecido que entras en el ámbito de aplicación, debes declarar tu entidad ante la autoridad competente de tu país</td></tr><tr><td><strong>Gestionar tu riesgo cibernético</strong></td><td>Implantar las medidas técnicas, operativas y organizativas del artículo 21</td></tr><tr><td><strong>Notificar los incidentes significativos</strong></td><td>Notifica a tu autoridad en un plazo de <strong>24 horas</strong> (alerta temprana), <strong>72 horas</strong> (notificación del incidente) y <strong>un mes</strong> (informe final)</td></tr></tbody></table>

El incumplimiento te expone a multas administrativas de hasta **10 millones de euros o el 2 % de la facturación anual mundial** para las entidades esenciales, y **7 millones de euros o el 1,4 %** para las entidades importantes, lo que sea mayor en cada caso.

### Artículo 21(2): las diez medidas

El artículo 21 es el corazón de la directiva y la base de la evaluación en Stoïk Protect.

[Artículo 21(1)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) establece el principio: las medidas deben ser **adecuadas y proporcionadas**, seguir un **enfoque integral frente a todo tipo de riesgos**, y ajustarse a tu tamaño, a tu exposición y a la gravedad de los incidentes que podrías sufrir. No se espera que un fabricante de 60 empleados construya el mismo programa que un operador energético nacional.

[Artículo 21(2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) enumera luego diez medidas mínimas. Las diez áreas de la evaluación:

<table><thead><tr><th width="77.8984375"></th><th width="282.796875">Medida</th><th>Qué exige la directiva</th></tr></thead><tbody><tr><td><strong>(a)</strong></td><td>Análisis de riesgos y políticas de seguridad de los sistemas de información</td><td>Una visión documentada de tus riesgos y políticas de seguridad por escrito aprobadas al nivel adecuado</td></tr><tr><td><strong>(b)</strong></td><td>Gestión de incidentes</td><td>La capacidad de detectar, clasificar, responder y notificar incidentes</td></tr><tr><td><strong>(c)</strong></td><td>Continuidad del negocio</td><td>Gestión de copias de seguridad, recuperación ante desastres y gestión de crisis</td></tr><tr><td><strong>(d)</strong></td><td>Seguridad de la cadena de suministro</td><td>Seguridad en tus relaciones con proveedores y prestadores de servicios directos</td></tr><tr><td><strong>(e)</strong></td><td>Seguridad en la adquisición, el desarrollo y el mantenimiento</td><td>Incluida la gestión y divulgación de vulnerabilidades</td></tr><tr><td><strong>(f)</strong></td><td>Evaluación de la eficacia de tus medidas</td><td>Políticas y procedimientos para verificar que lo que has implantado realmente funciona</td></tr><tr><td><strong>(g)</strong></td><td>Prácticas básicas de higiene cibernética y formación en ciberseguridad</td><td>Para todo el personal, no solo para el equipo de TI</td></tr><tr><td><strong>(h)</strong></td><td>Criptografía y cifrado</td><td>Una política sobre dónde y cómo se utiliza el cifrado</td></tr><tr><td><strong>(i)</strong></td><td>Seguridad de RR. HH., control de acceso y gestión de activos</td><td>Incorporación y salida, mínimo privilegio, un inventario de activos</td></tr><tr><td><strong>(j)</strong></td><td>Autenticación multifactor y comunicaciones seguras</td><td>Autenticación multifactor o continua, voz, vídeo y texto seguros, comunicaciones de emergencia</td></tr></tbody></table>

{% hint style="warning" %}
La directiva nombra deliberadamente **temas, no controles**. No te dice qué EDR comprar, con qué frecuencia aplicar parches ni qué debe contener una política de contraseñas. Por eso una evaluación como la de Stoïk Protect funciona a nivel de acciones concretas: traduce cada uno de los diez temas en cosas que realmente puedes comprobar o poner en marcha.
{% endhint %}

### Dónde existe más detalle

Dos fuentes van más allá de la directiva:

* [**Reglamento de Ejecución (UE) 2024/2690 de la Comisión**](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) establece requisitos técnicos y metodológicos detallados para las medidas del artículo 21, así como los criterios sobre lo que cuenta como un incidente significativo. Se aplica a determinadas entidades digitales transfronterizas: proveedores de DNS, registros de TLD, proveedores de nube y centros de datos, CDN, proveedores de servicios gestionados y de servicios gestionados de seguridad, mercados en línea y motores de búsqueda, redes sociales y proveedores de servicios de confianza. Si eres una de ellas, este reglamento es tu referencia en lugar de tu base nacional.
* **Marcos de referencia nacionales.** Los Estados miembros publican su propio conjunto de medidas. En Francia, [ANSSI](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/) publica el *Marco de referencia cibernético de Francia* (ReCyF), que desglosa la directiva en 20 objetivos de seguridad con requisitos separados para las entidades importantes y esenciales. Estos marcos de referencia son más granulares que las diez áreas, y son en los que se basará una auditoría.

## Paso 1: comprobación de elegibilidad

Abre la pestaña **Cumplimiento** y ve a la **NIS 2** tarjeta. Tres campos determinan tu resultado:

<table><thead><tr><th width="198.828125">Campo</th><th>Opciones</th></tr></thead><tbody><tr><td><strong>Sector de actividad</strong></td><td>Los sectores enumerados en el anexo I y el anexo II de <a href="https://eur-lex.europa.eu/eli/dir/2022/2555/oj">la directiva</a>, más <em>Ninguno de los anteriores</em></td></tr><tr><td><strong>Número de empleados</strong></td><td>Menos de 50 · Entre 50 y 250 · Más de 250</td></tr><tr><td><strong>Volumen de negocio agregado</strong></td><td>Menos de 10 millones de euros · Entre 10 millones de euros y 50 millones de euros · Más de 50 millones de euros</td></tr></tbody></table>

Los campos ya conocidos de tu contrato de seguro se rellenan automáticamente. Puedes cambiarlos en cualquier momento con el **botón** Editar.

Si tu sector es **Infraestructura digital** o **Servicios TIC gestionados**, también se te pide tu actividad específica (proveedor de DNS, registro de TLD, registrador de nombres de dominio, proveedor de servicios de confianza, comunicaciones electrónicas públicas, computación en la nube, centro de datos, CDN, MSP/MSSP). Algunas de estas actividades te sitúan dentro del ámbito de aplicación independientemente de tu tamaño.

{% hint style="info" %}
Solo se solicita tu facturación, no el total de tu balance. La directiva aplica los umbrales de tamaño de la [Recomendación 2003/361/CE de la Comisión](https://eur-lex.europa.eu/eli/reco/2003/361/oj), que tiene en cuenta cualquiera de los dos, así que pedimos el más sencillo de los dos.
{% endhint %}

### Comprender tu resultado

|                                | Entidad esencial                                                               | Entidad importante                                                              | No concernido                           |
| ------------------------------ | ------------------------------------------------------------------------------ | ------------------------------------------------------------------------------- | --------------------------------------- |
| **Supervisión**                | Auditoría proactiva por la autoridad                                           | Auditoría desencadenada por un incidente                                        | Sin supervisión de NIS 2                |
| **Gestión**                    | Responsabilidad personal (suspensión del cargo)                                | Responsabilidad personal                                                        | Sin responsabilidad de gestión de NIS 2 |
| **Sanciones máximas**          | 10 millones de euros o el 2 % de la facturación global anual, lo que sea mayor | 7 millones de euros o el 1,4 % de la facturación global anual, lo que sea mayor | Sin sanciones administrativas de NIS 2  |
| **Notificación de incidentes** | 24 h / 72 h / 1 mes                                                            | 24 h / 72 h / 1 mes                                                             | Sin obligación de notificación de NIS 2 |
| **Plazos**                     | Los fija la transposición de tu país                                           | Los fija la transposición de tu país                                            | Sin plazo de registro de NIS 2          |

Las entidades esenciales e importantes pueden luego abrir la evaluación completa con **Completar la evaluación completa**.

{% hint style="warning" %}
El resultado es orientativo. Se basa en tu sector, tu tamaño y tu actividad digital. No tiene en cuenta especificidades nacionales como una designación en virtud de la directiva CER, un estatus previo como Operador de Servicios Esenciales o sectores adicionales añadidos por tu Estado miembro. Confirma tu estatus final con tu autoridad nacional o con tu asesor jurídico.
{% endhint %}

## Paso 2: la evaluación

La evaluación convierte las diez medidas del artículo 21(2) en **40 acciones concretas**, cuatro por área. Marca las que ya tengas implantadas.

| Área                                                      | Artículo |
| --------------------------------------------------------- | -------- |
| Análisis de riesgos y políticas de seguridad              | 21(2)(a) |
| Gestión y notificación de incidentes                      | 21(2)(b) |
| Continuidad del negocio y gestión de crisis               | 21(2)(c) |
| Seguridad de la cadena de suministro                      | 21(2)(d) |
| Seguridad del ciclo de vida y gestión de vulnerabilidades | 21(2)(e) |
| Evaluación de la eficacia                                 | 21(2)(f) |
| Higiene cibernética y formación                           | 21(2)(g) |
| Criptografía y cifrado                                    | 21(2)(h) |
| Seguridad de RR. HH., control de acceso y activos         | 21(2)(i) |
| Autenticación multifactor y comunicaciones seguras        | 21(2)(j) |

### Acciones cubiertas por tus herramientas de Stoïk

Estas cinco acciones se marcan automáticamente cuando la herramienta correspondiente está activa:

| Acción                                                                                    | Cubierta por                                         |
| ----------------------------------------------------------------------------------------- | ---------------------------------------------------- |
| Ejecutar análisis periódicos de vulnerabilidades en sistemas internos y externos          | Escaneo externo · Escaneo de AD · Escaneo en la nube |
| Vigilar credenciales filtradas vinculadas a cuentas de la empresa                         | Credenciales                                         |
| Lanzar campañas de simulación de phishing                                                 | Simulación                                           |
| Impartir regularmente formación de concienciación en ciberseguridad para todo el personal | Formación                                            |
| Configurar herramientas de detección para detectar incidentes a tiempo                    | Stoïk MDR                                            |

{% hint style="info" icon="eye" %}
**Descargo de responsabilidad**<br>

Esta herramienta de NIS2 se proporciona únicamente con fines informativos y de orientación general. Su objetivo es ofrecer a corredores y clientes una indicación preliminar de si una empresa puede entrar en el ámbito de aplicación de la Directiva NIS2 y de sus obligaciones relacionadas.<br>

Los resultados generados por esta herramienta se basan en la información facilitada por el usuario y en la interpretación actual de Stoïk de la legislación aplicable, que puede estar sujeta a cambios o a interpretaciones distintas a nivel nacional. La herramienta no constituye asesoramiento jurídico y no debe utilizarse como sustituto de una evaluación jurídica realizada por un profesional cualificado.<br>

Stoïk no realiza ninguna declaración ni ofrece garantía, expresa o implícita, sobre la exactitud, integridad o actualidad de la información o de los resultados proporcionados, y no acepta responsabilidad alguna por las decisiones tomadas o las acciones realizadas basándose en el uso de esta herramienta.
{% endhint %}

## Recursos oficiales

### Textos europeos

| Fuente                                                                                                       | Qué cubre                                                                                                                                                                                                                                                      |
| ------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| [Directiva (UE) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)                                   | La propia directiva: criterios de ámbito de aplicación (arts. 2 y 3), responsabilidad de la dirección (art. 20), medidas de gestión de riesgos (art. 21), obligaciones de notificación (art. 23), sanciones (art. 34) y las listas de sectores (anexos I y II) |
| [Reglamento de Ejecución (UE) 2024/2690 de la Comisión](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) | Requisitos técnicos detallados para el artículo 21 y los criterios de incidente significativo para las entidades digitales transfronterizas                                                                                                                    |
| [Recomendación 2003/361/CE de la Comisión](https://eur-lex.europa.eu/eli/reco/2003/361/oj)                   | La definición de microempresas, pequeñas y medianas empresas utilizada para determinar tu categoría de tamaño                                                                                                                                                  |
| [Directiva NIS 2: Comisión Europea](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive)        | Resumen general, preguntas frecuentes y estado de las transposiciones nacionales                                                                                                                                                                               |
| [ENISA: Directiva NIS](https://www.enisa.europa.eu/topics/nis-directive)                                     | Guías y material técnico de implementación de la agencia de ciberseguridad de la UE                                                                                                                                                                            |

### Autoridades nacionales

<table><thead><tr><th width="163.39453125">País</th><th>Autoridad</th></tr></thead><tbody><tr><td>Francia</td><td><a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/">ANSSI</a></td></tr><tr><td>Alemania</td><td><a href="https://www.bsi.bund.de/">BSI</a></td></tr><tr><td>Bélgica</td><td><a href="https://ccb.belgium.be/">Centro para la Ciberseguridad de Bélgica</a></td></tr><tr><td>Países Bajos</td><td><a href="https://www.digitaltrustcenter.nl/">Centro de Confianza Digital</a></td></tr><tr><td>España</td><td><a href="https://www.incibe.es/">INCIBE</a></td></tr></tbody></table>

{% hint style="info" %}
El registro ante tu autoridad nacional, y los plazos que se te aplican, los establece la transposición de tu país. Consulta la página de tu autoridad nacional para conocer el estado actual.
{% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-center-en-es/incorporacion/compliance/nis-2.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.