NIS2: plan de implantación en 90 días
Un plan de implantación NIS2 en 90 días no te deja «cumpliendo al 100 %». Sin embargo, sí te da lo que un supervisor, un cliente o tu consejo pedirán primero. Hablamos de gobernanza aprobada, riesgos analizados, prioridades en marcha y un procedimiento de notificación que funciona. Aquí tienes tres fases de 30 días con entregables, responsables y evidencias.
En 30 segundos: primero (días 1-30), confirma si te aplica la Directiva (UE) 2022/2555, nombra responsables y haz inventario. Después (días 31-60), analiza riesgos y la brecha frente a las 10 medidas del artículo 21. Además, deja listo el procedimiento de notificación 24 h / 72 h / 1 mes. Por último (días 61-90), reúne evidencias, forma a dirección y plantilla, prueba el plan de respuesta y fija revisiones periódicas.
Quién hace qué en la implantación NIS2
La implantación NIS2 no es un proyecto solo de TI. El artículo 20 exige que el órgano de dirección apruebe las medidas de gestión de riesgos y supervise su aplicación. Además, ese órgano puede responder por su incumplimiento, y sus miembros deben recibir formación. Lo desarrollamos en qué responsabilidad tienen los directivos con NIS2. Reparte así los papeles:
- Dirección: patrocina la implantación NIS2, asigna presupuesto, aprueba política y riesgos, y recibe un informe mensual.
- Responsable de seguridad: coordina el plan, dirige el análisis de brecha, mantiene el registro de riesgos y califica los incidentes.
- TI y operaciones: inventario de sistemas, accesos, MFA, copias, parches y registros de actividad.
- Compras y gestión de proveedores: lista de proveedores TIC críticos, cuestionarios de seguridad y cláusulas contractuales.
- Legal y cumplimiento: encaje con la normativa española, contratos, notificaciones a autoridades y coordinación con el RGPD.
El plan de 90 días, fase a fase
Días 1-30 de la implantación NIS2: alcance y gobernanza
- Primero, confirma si estás dentro del ámbito y si serías entidad esencial o importante. Influyen el sector (anexos I y II), el tamaño y los casos especiales. Si dudas, empieza por cómo saber si te afecta la NIS2.
- Después, obtén el respaldo formal de la dirección para la implantación NIS2: acta con mandato, responsable y presupuesto.
- Inventaria servicios, sistemas, activos y proveedores TIC, y marca los que sostienen servicios críticos.
- Por último, elige método de análisis de riesgos y agenda la primera formación de la dirección.
Días 31-60: riesgos, brecha y prioridades
- Analiza riesgos de los servicios críticos con enfoque «todos los peligros» (ataques, fallos, errores, proveedores, sucesos físicos).
- Después, compara lo que tienes con las 10 medidas del artículo 21.2. Así podrás priorizar: accesos y MFA, copias probadas, cifrado, gestión de incidentes y continuidad.
- También redacta el procedimiento de notificación con criterios de incidente significativo, plantillas y contactos.
- Por último, somete a aprobación de la dirección la política y el plan de tratamiento.
Días 61-90: evidencias, formación y prueba
- Reúne evidencias de cada medida (configuraciones, actas, registros, pruebas de restauración).
- Además, forma a la plantilla en ciberhigiene y a los equipos clave en el procedimiento de incidentes.
- Haz un ejercicio de mesa (ransomware o caída de un proveedor) con el reloj de 24 y 72 horas corriendo.
- Por último, fija indicadores y presenta a dirección el estado de la implantación NIS2 y lo pendiente.
| Fase | Entregables | Evidencia que conservas | Responsable principal |
|---|---|---|---|
| Días 1-30 | Análisis de aplicabilidad, mandato de dirección, inventario de servicios, activos y proveedores | Acta de dirección, nombramiento, inventario fechado | Dirección y responsable de seguridad |
| Días 31-60 | Análisis de riesgos, informe de brecha frente al art. 21.2, plan de tratamiento, procedimiento de notificación | Registro de riesgos, plan aprobado, procedimiento versionado | Responsable de seguridad y TI |
| Días 61-90 | Medidas prioritarias aplicadas, formación, ejercicio de respuesta, indicadores | Registros de formación, informe del ejercicio, capturas y configuraciones | TI, compras y legal |
Implantación NIS2 semana a semana: las 10 medidas del artículo 21.2
En la implantación NIS2, cada medida tiene que guardar proporción con tu exposición, tamaño y probabilidad de incidentes. Además, si prestas servicios de nube, centro de datos, servicios gestionados, DNS u otros servicios digitales, tienes reglas propias. En concreto, el Reglamento de Ejecución (UE) 2024/2690 detalla los requisitos técnicos y cuándo un incidente es significativo. Calendario orientativo (13 semanas):
| Medida (art. 21.2) | Primer paso práctico | Semanas |
|---|---|---|
| a) Análisis de riesgos y políticas de seguridad | Método, análisis y política aprobada | 3-8 |
| b) Gestión de incidentes | Procedimiento, registro y ejercicio | 6-8 y 11-12 |
| c) Continuidad: copias, recuperación y gestión de crisis | Copias aisladas y prueba de restauración | 7-9 y 11 |
| d) Seguridad de la cadena de suministro | Proveedores críticos, cuestionario y cláusulas | 2-4 y 7-9 |
| e) Seguridad en adquisición, desarrollo y mantenimiento, incluida la gestión de vulnerabilidades | Parches y canal de comunicación de vulnerabilidades | 8-10 |
| f) Evaluación de la eficacia de las medidas | Indicadores y revisión trimestral | 12-13 |
| g) Ciberhigiene y formación | Formación de dirección y plantilla | 4 y 10-12 |
| h) Criptografía y cifrado | Política de cifrado en reposo y en tránsito | 7-9 |
| i) Seguridad de RR. HH., control de acceso y gestión de activos | Inventario, altas y bajas, mínimo privilegio | 2-7 |
| j) MFA y comunicaciones seguras | MFA en accesos remotos y cuentas privilegiadas | 5-7 |
La cadena de suministro, sin dejarla para el final
El artículo 21.3 pide tener en cuenta las vulnerabilidades de cada proveedor directo. También la calidad de sus prácticas de ciberseguridad, incluido el desarrollo seguro. En 90 días de implantación NIS2 basta con clasificar proveedores por criticidad y enviar un cuestionario a los críticos. Después, revisa sus contratos (notificación de incidentes, subcontratación, auditoría, salida). Si eres tú el proveedor, prepara tus respuestas: tus clientes sujetos a NIS2 te las pedirán.
Notificación de incidentes: 24 h, 72 h y un mes
El artículo 23 obliga a notificar al CSIRT o a la autoridad competente los incidentes significativos. Es decir, los que causan o pueden causar una perturbación operativa grave, pérdidas económicas o daños considerables a terceros. Los plazos cuentan desde que tienes conocimiento:
- Alerta temprana, en 24 horas: si se sospecha una acción ilícita o malintencionada o un posible impacto transfronterizo.
- Notificación del incidente, en 72 horas: evaluación inicial de gravedad e impacto e indicadores de compromiso si los hay.
- Informe intermedio: cuando lo pida la autoridad.
- Informe final, en un mes desde la notificación: descripción, causa raíz, medidas de mitigación e impacto transfronterizo. Si el incidente sigue abierto, entregas un informe de situación y el final un mes después de cerrarlo.
Los prestadores de servicios de confianza notifican en 24 horas los incidentes que afectan a esos servicios. Además, si hay datos personales, el RGPD exige avisar a la AEPD en 72 horas. Por eso conviene integrar ambos circuitos, como explicamos en cómo notificar una brecha en 72 horas.
Después del día 90: mantener la implantación NIS2
La implantación NIS2 no termina el día 90; después, toca mantenerla así:
- Cierra las brechas pendientes del plan de tratamiento con fechas y responsables. Además, el artículo 21.4 exige corregir sin demora indebida los incumplimientos detectados.
- Revisa riesgos cada año y también tras cambios relevantes o incidentes.
- Informa a dirección cada trimestre y renueva su formación.
- Repite ejercicios y pruebas de restauración, y reevalúa a los proveedores críticos.
- Por último, contrasta tu avance con la checklist de NIS2 para pymes.
El contexto en España (octubre de 2026)
El plazo de transposición venció el 17 de octubre de 2024 y España sigue sin ley. En enero de 2025, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Sin embargo, no ha completado su tramitación. Después, el 8 de julio de 2026, la Comisión Europea llevó a España ante el TJUE. Además, pidió una suma a tanto alzado y multas diarias. Las Cortes se disolvieron el 6 de octubre de 2026 y hay elecciones generales el 29 de noviembre. Por tanto, la ley no se aprobará este año. Mientras tanto, sigue vigente el Real Decreto-ley 12/2018. Lo analizamos en NIS2 en España: transposición pendiente y TJUE.
Aun así, esperar a la ley para empezar la implantación NIS2 no es buena estrategia. La directiva obliga a fijar multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales. Para las importantes, la cifra es de 7 millones o el 1,4 %. Además, tus clientes ya piden pruebas. Por otro lado, la Comisión propuso en enero de 2026 ajustes a NIS2. Sin embargo, mientras no se adopten, no cambian estas medidas ni estos plazos.
Preguntas frecuentes sobre la implantación NIS2
¿Se puede completar la implantación NIS2 en 90 días?
En 90 días puedes dejar hecha la base: gobernanza, riesgos, medidas prioritarias y notificación. Sin embargo, una implantación NIS2 madura en las 10 medidas requiere más ciclos, según tu tamaño y punto de partida.
Si España no ha transpuesto NIS2, ¿hay que hacer algo ya?
Sí, por tres motivos. En primer lugar, el RD-ley 12/2018 sigue vigente para quienes ya estaban obligados. Además, los clientes sujetos a NIS2 en otros países exigen medidas a sus proveedores. Por último, cuando llegue la ley el margen de adaptación será corto.
¿Qué plazos de notificación fija NIS2?
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes desde esa notificación. Además, habrá informes intermedios si la autoridad los pide.
¿Qué tiene que hacer la dirección?
Aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse. Además, puede responder de los incumplimientos, así que conviene dejarlo en actas.
¿NIS2 obliga a certificarse en ISO 27001?
No. La directiva pide medidas adecuadas teniendo en cuenta normas europeas e internacionales, pero no exige una certificación concreta. Aun así, ISO 27001 o el ENS ayudan mucho a demostrar el cumplimiento.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC en tu implantación NIS2
Atalaya GRC convierte la implantación NIS2 en tareas con responsable y fecha. Primero, aplica NIS2 servicio por servicio. Después, mapea las 10 medidas del artículo 21 a controles que reutilizas en ISO 27001, ENS, DORA y RGPD. Así, un control sirve para varias normas. Además, guarda sus evidencias, avisa de plazos con el reloj regulatorio y mantiene el registro de terceros. También gestiona incidentes y notificaciones de 24 h, 72 h y un mes. Consulta la ficha de NIS2 o pide una demo.
