Normativa
Qué te obliga, exactamente
No un resumen de la directiva: la obligación concreta, a quién aplica, en qué plazo y qué evidencia la sostiene.
- NIS2 NIS2 — Directiva (UE) 2022/2555 Directiva (UE) 2022/2555, de 14 de diciembre de 2022
- A quién aplica
- Entidades de los sectores de los anexos I y II que superen los umbrales de mediana empresa (50 o más empleados, o más de 10 millones de euros de volumen de negocio o de balance general). Con independencia de su tamaño, quedan dentro los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios DNS. Los Estados miembros pueden designar además entidades concretas por criticidad.
- Plazo
- Los Estados miembros debían adoptar y publicar las medidas de transposición antes del 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024. La lista nacional de entidades esenciales e importantes debía estar establecida antes del 17 de abril de 2025. Las obligaciones exigibles son las de la ley nacional de transposición, no las de la directiva directamente.
- DORA DORA — Reglamento (UE) 2022/2554 Reglamento (UE) 2022/2554, de 14 de diciembre de 2022
- A quién aplica
- Las entidades financieras enumeradas en el artículo 2: entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, gestoras de fondos, entidades aseguradoras y reaseguradoras, proveedores de servicios de criptoactivos, depositarios centrales de valores, entidades de contrapartida central, centros de negociación y agencias de calificación, entre otras. También alcanza a los proveedores terceros de servicios TIC que les prestan servicio, con un régimen de vigilancia propio para los designados como críticos.
- Plazo
- Aplicable desde el 17 de enero de 2025, sin periodo transitorio. Los plazos internos que se repiten son anuales: revisión del marco de gestión del riesgo TIC, revisión de la clasificación de activos, prueba de los planes de continuidad y reporte del registro de información. Las pruebas TLPT, al menos cada tres años para las entidades identificadas.
- ENS ENS — Real Decreto 311/2022 Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad
- A quién aplica
- Todo el sector público español tal y como lo define el artículo 2 de la Ley 40/2015. Además, y esto es lo que sorprende a muchas empresas, se aplica a los sistemas de información de entidades del sector privado cuando, en virtud de una relación contractual, presten servicios o provean soluciones al sector público para el ejercicio de sus competencias y potestades administrativas (artículo 2.3). La cautela se extiende a la cadena de suministro de esos contratistas en la medida que resulte del análisis de riesgos.
- Plazo
- En vigor desde el 5 de mayo de 2022. Los sistemas preexistentes dispusieron de veinticuatro meses para alcanzar la plena adecuación; los nuevos lo aplican desde su concepción. La auditoría regular ordinaria se repite al menos cada dos años, y hay que adelantarla con carácter extraordinario ante modificaciones sustanciales del sistema.
- CRA CRA — Reglamento (UE) 2024/2847 Reglamento (UE) 2024/2847, de 23 de octubre de 2024
- A quién aplica
- Fabricantes, importadores y distribuidores que introduzcan o comercialicen en el mercado de la Unión productos con elementos digitales, es decir, cualquier producto de software o hardware cuya utilización prevista incluya una conexión de datos, directa o indirecta, a un dispositivo o red. Las obligaciones de evaluación de la conformidad varían según el producto sea ordinario, importante (anexo III, clases I y II) o crítico (anexo IV). Quedan fuera, entre otros, los productos ya cubiertos por normativa sectorial específica y el software libre desarrollado fuera de una actividad comercial.
- Plazo
- Aplicable en su totalidad desde el 11 de diciembre de 2027. El artículo 14, que impone la notificación de vulnerabilidades explotadas activamente e incidentes graves, se aplica antes: desde el 11 de septiembre de 2026. El capítulo IV, sobre organismos notificados, desde el 11 de junio de 2026.
¿Lo quieres ver sobre tus propios datos?
La prueba de concepto monta un entorno con tu alcance real. Sin coste y sin compromiso de continuidad.