Por Tom Meevis, abogado en Law & More
La ciberseguridad ya no es una cuestión puramente técnica. Es también un asunto legal y de gobernanza que afecta prácticamente a todas las organizaciones, independientemente de su tamaño.
Con la Directiva NIS2 europea y la Ley de Ciberseguridad neerlandesa, la responsabilidad de la resiliencia digital recae firmemente en el consejo de administración. La Ley de Ciberseguridad neerlandesa entrará en vigor el 15 de agosto de 2026. Por lo tanto, los propietarios de empresas, directores y responsables de cumplimiento normativo deberán establecer con la mayor brevedad posible:
- si su organización se encuentra dentro del ámbito de aplicación de las nuevas normas;
- qué obligaciones se derivan de ellas;
- ¿Qué medidas son necesarias?
- y cómo la organización puede cumplir con esas obligaciones.
Este artículo expone los elementos principales de la NIS2 y la Ley de Ciberseguridad neerlandesa: su ámbito de aplicación, el deber de diligencia, la obligación de notificación, la responsabilidad del consejo de administración, su cumplimiento y las medidas que las organizaciones pueden adoptar ahora.
¿Qué es NIS2?
La NIS2 es la denominación formal de la Directiva (UE) 2022/2555. Sucede a la primera directiva europea sobre seguridad de las redes y la información, generalmente conocida como NIS1.
Los Estados miembros debían transponer la NIS2 a su legislación nacional antes del 17 de octubre de 2024. A partir del 18 de octubre de 2024, la NIS2 sustituyó formalmente a la directiva anterior.
Su objetivo es elevar y armonizar el nivel de ciberresiliencia en la Unión Europea. Esto se articula en torno a dos líneas principales. En primer lugar, un alcance más amplio: muchas más organizaciones se rigen por la normativa que bajo la NIS1. En segundo lugar, una supervisión más rigurosa y una aplicación más estricta de la misma, con un conjunto de herramientas más amplio y responsabilidades más claras para los directivos.
Mientras que la NIS1 distinguía entre operadores de servicios esenciales y proveedores de servicios digitales, la NIS2 trabaja con entidades esenciales y entidades importantes. Esta distinción no es meramente terminológica: entre otras cosas, determina la intensidad de la supervisión y el nivel de las posibles multas.
¿Qué organizaciones se incluyen en la categoría NIS2?
La NIS2 se aplica a las organizaciones que desarrollan su actividad en dieciocho sectores designados, divididos en sectores de alta criticidad y otros sectores críticos.
Entre los sectores de alta criticidad se incluyen la energía, el transporte, la banca, la infraestructura del mercado financiero, la sanidad, el agua potable y las aguas residuales, la infraestructura digital, la gestión de servicios de TIC para usuarios empresariales, la administración pública y el espacio.
Otros sectores críticos incluyen los servicios postales y de mensajería, la gestión de residuos, los productos químicos, la alimentación, la industria manufacturera, los proveedores digitales y las instituciones de investigación.
El umbral de tamaño
Dentro de estos sectores, la norma principal es que una organización se incluye en la NIS2 si cumple los requisitos para ser considerada una empresa mediana o grande. Los criterios son tener al menos 50 empleados o un volumen de negocios anual o un balance general superior a 10 millones de euros.
Existen excepciones a esta regla general. Ciertas organizaciones entran dentro del ámbito de aplicación independientemente de su tamaño, porque sus servicios se consideran especialmente críticos:
- proveedores de redes y servicios de comunicaciones electrónicas públicas;
- proveedores de servicios de confianza;
- proveedores de servicios de registro de nombres de dominio;
- registros de nombres de dominio de nivel superior;
- organismos del sector público.
A partir del 15 de agosto de 2026, las nuevas obligaciones se aplicarán a más de 8,000 organizaciones en los Países Bajos. Esto supone una expansión considerable en comparación con el número de organizaciones cubiertas por la actual Ley de Seguridad de Redes y Sistemas de Información.
Por lo tanto, organizaciones que antes no se consideraban parte de un sector crítico podrían verse afectadas, incluyendo fabricantes medianos, productores de alimentos, instituciones de investigación y proveedores de servicios digitales. Es importante destacar que las propias organizaciones son responsables de evaluar si se encuentran dentro del ámbito de aplicación. No recibirán ninguna carta de su supervisor indicándoles esto.
El deber de diligencia: ¿qué medidas son necesarias?
El principio fundamental de la NIS2 y de la Ley de Ciberseguridad neerlandesa es el deber de diligencia. Las entidades esenciales e importantes deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionales para gestionar los riesgos que afectan a sus redes y sistemas de información.
Las normas identifican los temas que la póliza debe abordar en cualquier caso:
- análisis de riesgos y política de seguridad de la información;
- gestión de incidentes;
- continuidad del negocio, gestión de copias de seguridad y recuperación ante desastres;
- seguridad de la cadena de suministro;
- Higiene cibernética y capacitación del personal;
- política de gestión de vulnerabilidades;
- autenticación multifactor;
- comunicaciones seguras;
- criptografía;
- Evaluación periódica de la eficacia de las medidas.
Las medidas deben ser proporcionales al tamaño de la organización y a los riesgos a los que está expuesta. Por lo tanto, una entidad menor pero importante no necesita adoptar las mismas medidas que una gran entidad esencial en un sector de alto riesgo.
Esto no convierte el deber de diligencia en opcional. Las organizaciones deben poder justificar qué riesgos identificaron, qué medidas adoptaron y por qué dichas medidas son apropiadas. No solo las medidas en sí mismas, sino también la forma en que se sopesan, registran y evalúan periódicamente, están sujetas a supervisión.
Obligación de notificar después de un incidente
Además del deber de diligencia, la NIS2 impone un deber de notificación gradual para incidentes significativos. Cuando un incidente tiene o puede tener un impacto sustancial en la continuidad de los servicios, se aplican, en términos generales, los siguientes plazos:
- En un plazo de 24 horas, se deberá enviar una alerta temprana al equipo nacional de respuesta a incidentes de seguridad informática o a la autoridad competente;
- En un plazo de 72 horas, se enviará una notificación formal con una evaluación inicial de la gravedad y el impacto;
- En un plazo máximo de un mes, se deberá presentar un informe final que describa el incidente, su probable causa raíz, las medidas adoptadas y cualquier efecto transfronterizo.
Estos plazos hacen necesario establecer procedimientos claros con antelación. La organización debe saber cuándo se debe notificar un incidente, quién está autorizado a notificarlo, qué información debe estar disponible, quién coordina y cómo se informa al consejo de administración y al supervisor.
Una organización que solo intenta establecer un proceso de notificación durante un incidente corre un riesgo considerable de no poder informar a tiempo o de forma completa.
Responsabilidad de la junta directiva
Un elemento importante de NIS2 es que la responsabilidad de gestionar el riesgo cibernético recae expresamente en el consejo de administración. Este debe aprobar las medidas de seguridad, supervisar su implementación, ser capaz de evaluar los riesgos cibernéticos de la organización y recibir la formación necesaria.
Por lo tanto, la ciberseguridad ya no puede considerarse responsabilidad exclusiva del departamento de TI. Se trata de un tema de gobernanza que debe formar parte de la toma de decisiones y la gestión de riesgos habituales.
La directiva también aborda expresamente la responsabilidad personal de la alta dirección en caso de incumplimiento por parte de la organización. Se debe registrar la participación del consejo de administración, por ejemplo, documentando la formación impartida, las decisiones del consejo, las políticas aprobadas, las evaluaciones de riesgos, los informes y la supervisión de la implementación.
La implementación holandesa
La implementación de la NIS2 en los Países Bajos se ha retrasado considerablemente. No se cumplió el plazo de transposición del 17 de octubre de 2024.
El 8 de julio de 2026, la Comisión Europea decidió remitir a los Países Bajos, junto con Irlanda, España y Francia, al Tribunal de Justicia de la Unión Europea por no haber notificado las medidas de transposición. De este modo, los Países Bajos figuraban entre los cuatro países de la Unión Europea que no habían adoptado la normativa.
La coincidencia de fechas es sorprendente. Un día antes, el 7 de julio de 2026, el Senado había aprobado la Ley de Ciberseguridad y la Ley de Resiliencia de Entidades Críticas. Queda por ver si el hecho de que la Ley se aprobara antes de que se enviara la remisión afectará el resultado del proceso; eso lo decidirá el Tribunal.
Ambas leyes entrarán en vigor el 15 de agosto de 2026. La Ley de Ciberseguridad implementa la Directiva NIS2; la Ley de Resiliencia de Entidades Críticas implementa la Directiva CER europea, cuyo objetivo es la resiliencia de las infraestructuras críticas. Las organizaciones contempladas en esta última serán designadas formalmente como entidades críticas a partir del 15 de agosto de 2026.
Tras su entrada en vigor, la actual Ley de Seguridad de Redes y Sistemas de Información (WBNI) deja de tener vigencia. Para las organizaciones que ya están cubiertas por ella, esto implica mayores obligaciones; para las organizaciones que entran en su ámbito de aplicación por primera vez, un régimen completamente nuevo.
Registro en el NCSC
Una nueva obligación importante es el registro en el Centro Nacional de Ciberseguridad. Las entidades esenciales e importantes deben inscribirse en el registro nacional de entidades. Este registro es obligatorio a partir del 15 de agosto de 2026 y se realiza a través del portal MijnNCSC, utilizando eHerkenning para organizaciones ordinarias y SSOnRijk para organismos del sector público. Los cambios en los datos registrados deben notificarse en un plazo de catorce días.
El registro no es un mero trámite administrativo. Una vez registradas, las organizaciones pueden conectarse con los servicios de su CSIRT, que ofrece productos y servicios para aumentar la resiliencia, así como apoyo en caso de incidente. Prepare el registro con suficiente antelación para que la implementación no comience solo después de la entrada en vigor.
Supervisión y cumplimiento
La Ley de Ciberseguridad establece un régimen de supervisión diferenciado. Las entidades esenciales están sujetas a supervisión proactiva: el supervisor puede realizar comprobaciones continuas y por iniciativa propia, sin necesidad de un incidente o señal específica. Las entidades importantes están sujetas a supervisión reactiva, en la que el supervisor actúa, en principio, en respuesta a un incidente, una queja u otra señal concreta.
La supervisión se reparte entre varias autoridades. A partir del 15 de agosto de 2026, la Autoridad Neerlandesa de Infraestructura Digital supervisa a las organizaciones de nueve sectores; otros organismos supervisores se encargan de los demás sectores. Determine qué organismo supervisor es competente para su organización.
El conjunto de herramientas para la aplicación de la ley es amplio e incluye:
- un escaneo de seguridad o una auditoría de seguridad;
- una instrucción vinculante;
- una orden de ejecución administrativa o una orden sujeta al pago de una multa;
- publicación de una infracción;
- una multa administrativa;
- Para entidades esenciales: suspensión de una certificación, una autorización o un miembro del consejo de administración.
Para las entidades esenciales, la multa máxima es de al menos 10 millones de euros o el 2 % de la facturación anual mundial total, lo que sea mayor. Para las entidades importantes, es de al menos 7 millones de euros o el 1.4 % de la facturación anual mundial, también lo que sea mayor. El importe final dependerá de las circunstancias del caso, incluyendo la naturaleza, la gravedad y la duración de la infracción, el grado de culpabilidad y las medidas adoptadas.
¿Qué puede hacer su organización ahora?
- Realice una autoevaluación. Determine si la organización opera en un sector designado y cumple con el umbral de tamaño.
- Determinar la categoría correcta. Establecer si la organización califica como entidad esencial o importante, y qué supervisor es competente.
- Prepara el registro. Recopila los datos necesarios para registrarte en el NCSC a través de MijnNCSC.
- Ponga a prueba las medidas de diligencia debida. Evalúe las medidas existentes en materia de análisis de riesgos, respuesta a incidentes, continuidad del negocio, seguridad de la cadena de suministro, higiene cibernética, vulnerabilidades, autenticación multifactor y criptografía.
- Establezca el proceso de notificación. Registre quién evalúa si un incidente debe notificarse, quién realiza la notificación y cómo se cumplen los plazos de 24 horas, 72 horas y un mes.
- Involucre a la junta directiva de manera demostrable. Registre las decisiones que ha tomado la junta, la capacitación que se ha impartido y cómo se supervisa la implementación.
- Incluya la cadena de suministro. Una gran parte de las vulnerabilidades no se originan dentro de la propia organización, sino en los proveedores y prestadores de servicios. Revise sus contratos en lo que respecta a las medidas de seguridad, las obligaciones de notificación y los derechos de auditoría.
Para concluir
La Ley de Ciberseguridad y la Ley de Resiliencia de Entidades Críticas suponen un endurecimiento considerable de las obligaciones en materia de ciberseguridad. Un alcance más amplio, medidas concretas de diligencia debida, plazos de notificación estrictos, responsabilidad personal de los directivos y un amplio conjunto de herramientas de aplicación implican que las organizaciones no pueden ignorar este tema. Con su entrada en vigor el 15 de agosto de 2026, el tiempo de preparación es limitado.
Law & More Asesora a empresas, directivos y responsables de cumplimiento normativo para determinar su posición en virtud de la NIS2 y la Ley de Ciberseguridad neerlandesa, establecer y probar las medidas de diligencia debida, preparar el registro ante el NCSC e incorporar legalmente la política de ciberseguridad.
¿Le gustaría que evaluáramos la situación de su organización según la nueva normativa? No dude en contactarnos para una conversación sin compromiso.
Preguntas frecuentes
A continuación respondemos a las preguntas que nos hacen con más frecuencia sobre este tema.
¿Cuándo entra en vigor la Ley de Ciberseguridad neerlandesa?
El 15 de agosto de 2026. El Senado aprobó la Ley de Ciberseguridad y la Ley de Resiliencia de Entidades Críticas el 7 de julio de 2026. Tras su entrada en vigor, la actual Ley de Seguridad de Redes y Sistemas de Información (Wbni) queda sin efecto.
¿Mi organización se rige por la norma NIS2?
Depende de su sector y tamaño. La NIIS2 abarca dieciocho sectores designados y, dentro de estos, generalmente organizaciones con al menos 50 empleados o un volumen de negocios anual o un balance general superior a 10 millones de euros. Algunas entidades están cubiertas independientemente de su tamaño.
¿Se me notificará si mi organización está incluida en el ámbito de aplicación?
No. Cada organización es responsable de evaluar si está sujeta a la Ley de Ciberseguridad. Esperar conlleva el riesgo de que se apliquen obligaciones antes de que se haya realizado dicha evaluación.
¿Cuál es la diferencia entre una entidad esencial y una importante?
Determina la intensidad de la supervisión y el nivel de las posibles multas. Las entidades esenciales están sujetas a una supervisión proactiva, en la que el supervisor puede realizar comprobaciones por iniciativa propia. Las entidades importantes están sujetas a una supervisión reactiva, que se activa ante un incidente, una queja u otra señal.
¿Qué implica el deber de diligencia?
Adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionales para gestionar los riesgos que afectan a su red y sistemas de información, abarcando aspectos como el análisis de riesgos, la gestión de incidentes, la continuidad del negocio, la seguridad de la cadena de suministro, la ciberseguridad, las vulnerabilidades, la autenticación multifactor y la criptografía. Debe poder justificar la idoneidad de las medidas elegidas.
¿Qué plazos de notificación se aplican tras un incidente?
Una alerta temprana en 24 horas, una notificación formal en 72 horas con una evaluación inicial de la gravedad y el impacto, y un informe final en un plazo máximo de un mes. Establezca el proceso de notificación con antelación.
¿Mi organización tiene que registrarse?
Sí. La inscripción en el registro nacional de entidades es obligatoria a partir del 15 de agosto de 2026 y se realiza a través de MijnNCSC, mediante eHerkenning o, para los organismos del sector público, a través de SSOnRijk. Los cambios deben notificarse en un plazo de catorce días. Una vez inscrito, podrá conectarse a los servicios de su CSIRT.
¿Qué responsabilidad recae sobre la junta directiva?
El consejo de administración debe aprobar las medidas de seguridad, supervisar su implementación, evaluar los riesgos cibernéticos y recibir formación al respecto. La directiva aborda la responsabilidad personal de la alta dirección por incumplimiento, por lo que es fundamental documentar de forma fehaciente las decisiones, la formación y la supervisión.
¿De cuánto son las multas?
Para entidades esenciales, el límite es de al menos 10 millones de euros o el 2 % de la facturación anual mundial; para entidades importantes, de al menos 7 millones de euros o el 1.4 %, prevaleciendo en cada caso la cantidad mayor. El límite final depende de factores como la naturaleza, la gravedad y la duración de la infracción, así como del grado de culpabilidad.
¿Quién supervisa el cumplimiento?
Esto varía según el sector. A partir del 15 de agosto de 2026, la Autoridad Neerlandesa de Infraestructura Digital supervisa a las organizaciones de nueve sectores; para los demás sectores, existen otros organismos supervisores. Determine qué organismo supervisor es competente para su organización.
¿Por qué se ha remitido el caso de los Países Bajos al Tribunal de Justicia?
Por transposición tardía de la NIS2. El 8 de julio de 2026, la Comisión Europea decidió remitir a los Países Bajos, junto con Irlanda, España y Francia, al Tribunal de Justicia por no notificar las medidas de transposición. El hecho de que la Ley de Ciberseguridad se aprobara un día antes no pone fin a dicho procedimiento.
¿Esto también se aplica a mis proveedores?
La seguridad de la cadena de suministro es uno de los temas que rigen el deber de diligencia. Gran parte de las vulnerabilidades se originan en los proveedores y prestadores de servicios. Revise sus contratos en lo que respecta a las medidas de seguridad, las obligaciones de notificación y los derechos de auditoría.
