Qué obliga NIS2 sobre tus proveedores (y qué te exigirán a ti si eres el proveedor)
NIS2 no obliga a tus proveedores: te obliga a ti a gestionar el riesgo que te llega a través de ellos. La letra d) del artículo 21.2 de la Directiva (UE) 2022/2555 incluye entre las medidas mínimas de toda entidad esencial o importante «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos». De ahí sale el efecto que menos se anticipó: la exigencia baja por el contrato hasta empresas que no aparecen en ningún anexo de la directiva. Si vendes software, mantenimiento, alojamiento o cualquier servicio conectado a una entidad obligada, la pregunta ya no es si NIS2 te aplica, sino qué te pedirá tu cliente y con qué se lo demuestras.
En corto: la obligación te llega por contrato, no por ley
Si tu cliente es una entidad esencial o importante, la Directiva le obliga a gestionar la seguridad de su cadena de suministro. No te obliga a ti. Pero como él responde de ti, te lo va a trasladar por contrato, y ahí sí te obliga.
La base es el artículo 21, apartado 2, letra d), de la Directiva (UE) 2022/2555, que enumera entre las diez medidas mínimas «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos». El apartado 3 del mismo artículo concreta qué tiene que mirar tu cliente: las vulnerabilidades específicas de cada proveedor directo, la calidad general de sus productos y de sus prácticas de ciberseguridad, y sus procedimientos de desarrollo seguro.
Tres consecuencias prácticas. La primera: la palabra que manda es «directos»; la Directiva no te manda auditar a los proveedores de tus proveedores. La segunda: tu cliente se juega una multa cuyo suelo son diez millones de euros o el 2 % de la facturación mundial de su grupo, y el artículo 34 la reserva precisamente al incumplimiento de los artículos 21 o 23, que son los dos que pasan por ti; puedes comprobar si tu cliente es entidad esencial o importante antes de negociar nada. La tercera: en España la Directiva todavía no está transpuesta, así que hoy la exigencia viaja por el contrato y no por el BOE.
Qué dice NIS2 exactamente: el artículo 21.2 d) y el apartado 3
El artículo 21 se lee de arriba abajo o no se entiende. Su apartado 1 pide medidas «adecuadas y proporcionadas», y mide esa proporción por el grado de exposición de la entidad a los riesgos, su tamaño y la probabilidad y gravedad de los incidentes. El apartado 2 fija el suelo: las medidas «incluirán al menos» diez elementos, y el cuarto, la letra d), es la seguridad de la cadena de suministro con la coletilla que decide el alcance: «proveedores o prestadores de servicios directos».
El apartado 3 es el que casi nunca se cita y el que convierte la letra d) en trabajo concreto. Al valorar si esas medidas son idóneas, la entidad debe tener en cuenta dos cosas. Primero, las vulnerabilidades específicas de cada proveedor directo y «la calidad general de los productos y las prácticas en materia de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro». Y segundo, los resultados de las evaluaciones coordinadas de riesgos de las cadenas de suministro críticas del artículo 22.
El considerando 85 explica el mecanismo sin rodeos: debe fomentarse que las entidades esenciales e importantes «incorporen medidas para la gestión de riesgos de ciberseguridad en los acuerdos contractuales con sus proveedores y prestadores de servicios directos». La directiva no ordena al proveedor; empuja a que el cliente se lo pida por contrato. El considerando 86 añade un aviso sobre un tipo concreto: los proveedores de servicios de seguridad gestionados —respuesta a incidentes, pruebas de penetración, auditorías, consultoría— plantean un riesgo especial por su integración estrecha en las operaciones, así que al seleccionarlos hay que «redoblar la diligencia».
El apartado 4 cierra el círculo: cuando la entidad constate que no cumple alguna medida, debe adoptar «sin demora indebida» las correcciones necesarias. Detectar que un proveedor crítico no da la talla y aparcarlo hasta la próxima renovación es, por sí solo, un incumplimiento.
Por qué la exigencia llega a empresas que NIS2 no obliga
Una directiva se dirige a los Estados miembros, no a las empresas. Mientras un Estado no la transponga, puede invocarse frente a ese Estado y sus organismos, pero no crea por sí sola obligaciones exigibles entre empresas privadas. De ahí sale la asimetría que conviene entender antes de sentarse a negociar: a un proveedor pequeño no lo sanciona nadie invocando NIS2, y aun así la exigencia le llega íntegra, porque su cliente sí tiene que cumplir y la única palanca que tiene sobre él es la relación comercial.
El legislador europeo lo anticipó. El considerando 56 de la directiva constata que las pequeñas y medianas empresas «cada vez sufren más ataques contra las cadenas de suministro debido al menor rigor de sus medidas para la gestión de riesgos de ciberseguridad». Y añade que esos ataques «pueden tener un efecto en cascada en el marco de ataques más importantes contra las entidades a las que han suministrado». Esa cascada es la que ahora recorre los contratos en sentido inverso.
La palanca contractual se activa por tres caminos, y el orden importa porque los tres se pueden anticipar:
| Vía | Cuándo aparece | Qué te llega |
|---|---|---|
| Homologación previa | Antes de adjudicar, en la selección de proveedor | Un cuestionario de seguridad y la petición de evidencias documentales |
| Contrato o renovación | Al firmar o al renovar el acuerdo marco | Cláusulas de seguridad, aviso de incidentes y derecho de auditoría |
| Revisión periódica | A intervalos planificados, tras cambios o tras un incidente | Reevaluación, plan de corrección y, en el peor caso, sustitución |
La tercera vía sorprende a quien creía haber pasado el trámite al firmar. El reglamento europeo que desarrolla la letra d) —cuyo alcance se detalla en el apartado siguiente— obliga a revisar la política de cadena de suministro y a reevaluar a los proveedores en tres supuestos. Cuando cambian sus prácticas de ciberseguridad. Cuando hay cambios significativos en las operaciones o en los riesgos. Y cuando ocurre un incidente significativo que afecte a sus servicios o productos. Ser proveedor homologado no es un sello vitalicio.
Hay un cuarto camino, más silencioso, que nace del artículo 23.1: la entidad que sufre un incidente significativo debe comunicarlo, cuando proceda, a los destinatarios de sus servicios. Quien tiene ese deber hacia sus propios usuarios necesita enterarse antes que ellos de lo que pasa en tu sistema, y por eso el aviso rápido es la cláusula que menos se negocia y más se incumple.
Si aún no sabes de qué lado de la línea estás, el test para saber si eres entidad esencial o importante resuelve la clasificación en unos minutos, y la guía de NIS2 para pymes en España sitúa sectores, umbrales y obligaciones.
Cuánto se juega tu cliente, y cuánto te puedes jugar tú hoy
Conviene separar dos planos que casi todo el mundo mezcla: lo que la Directiva ordena a los Estados y lo que hoy es exigible en España.
| Qué | Importe | Base legal | ¿Exigible hoy en España? |
|---|---|---|---|
| Entidad esencial que incumple los artículos 21 o 23 | Un máximo de, al menos, 10.000.000 EUR o el 2 % del volumen de negocios anual mundial del grupo, la mayor de las dos | Art. 34.4 de la Directiva (UE) 2022/2555 | No. Es el suelo que España tendrá que respetar cuando transponga |
| Entidad importante que incumple los artículos 21 o 23 | Un máximo de, al menos, 7.000.000 EUR o el 1,4 %, la mayor | Art. 34.5 | No, por lo mismo |
| Infracción muy grave del marco español vigente | Multa de 500.001 a 1.000.000 EUR | Art. 37.1.a) del Real Decreto-ley 12/2018 | Sí. Es lo que hay hoy |
| Infracción grave del marco español vigente | Multa de 100.001 a 500.000 EUR | Art. 37.1.b) del mismo real decreto-ley | Sí |
La diferencia de escala explica por qué tu cliente te está apretando ahora y no hace dos años. Entre el techo de hoy y el suelo que viene hay un orden de magnitud, y la Comisión Europea ya llevó a España ante el Tribunal de Justicia de la Unión Europea el 8 de julio de 2026 por no haber notificado la transposición, pidiendo además una cantidad a tanto alzado y multas diarias hasta que se notifique. Si necesitas quién es entidad esencial y quién importante o el estado exacto de la ley española, están en sus páginas.
Un matiz que rara vez se cuenta y que a ti te conviene: el artículo 34 no permite multar por cualquier cosa. Reserva la multa al incumplimiento de los artículos 21 o 23, es decir, las medidas de gestión de riesgos y la notificación de incidentes. La cadena de suministro está dentro del 21, y el aviso que tú le debes dar a tu cliente condiciona su cumplimiento del 23. Esos son los dos sitios donde tu trabajo aparece en el expediente de otro.
Los ocho elementos que tu cliente puede llevar al contrato
Aquí hay una fuente que ahorra discusiones. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, desarrolla los requisitos técnicos del artículo 21.2 para un grupo concreto de prestadores digitales. Su artículo 1 los enumera: servicios de DNS, registros de dominios de primer nivel, nube, centros de datos, redes de distribución de contenidos, servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y servicios de confianza. Al ser reglamento y no directiva, se aplica directamente sin pasar por el BOE.
Si tu empresa no está en esa lista, el reglamento no te obliga. Lo que sí ocurre es que es el único desarrollo oficial de la letra d), y por eso se ha convertido en el guion que muchas organizaciones grandes copian en sus cuestionarios de homologación, les aplique o no. Su anexo, punto 5.1.4, enumera lo que los contratos deben especificar, «cuando proceda mediante acuerdos de nivel de servicio»:
| Elemento del punto 5.1.4 | Qué significa en la mesa de negociación | Evidencia que suele pedirse |
|---|---|---|
| a) Requisitos de ciberseguridad del proveedor | Las medidas concretas que te comprometes a mantener | Política de seguridad y descripción de controles |
| b) Sensibilización, capacidades, formación y certificados del personal | Que quien opera el servicio esté formado y acreditado | Plan de formación con asistentes y fechas |
| c) Controles de antecedentes del personal | Verificación de las personas con acceso al servicio | Procedimiento de contratación y su registro |
| d) Aviso de incidentes sin demora indebida | El teléfono que suena a las tres de la madrugada | Procedimiento de escalado con contactos reales |
| e) Derecho de auditoría o a recibir informes de auditoría | O te auditan o entregas informes de tercero | Informe de auditoría vigente y con alcance |
| f) Hacerse cargo de las vulnerabilidades | Parchear lo que ponga en riesgo al cliente | Política de gestión y ventanas de parcheo |
| g) Requisitos de subcontratación | Si subcontratas, con qué condiciones | Lista de subcontratistas y sus compromisos |
| h) Obligaciones al finalizar el contrato | Devolución y eliminación de la información | Procedimiento de salida y certificado de borrado |
La letra e) es la que más fricción genera con proveedores pequeños, y tiene salida negociada: el texto ofrece la alternativa de entregar informes de auditoría en lugar de abrir la puerta a auditorías directas de cada cliente. La letra g) es la que más se olvida, y es la que decide si tu cadena tiene dos eslabones o cinco. Para la redacción concreta de cada una, con el texto que resiste una revisión jurídica, están las cláusulas de ciberseguridad para contratos con proveedores.
Cinco pasos para evaluar a tus propios proveedores
Si la obligada eres tú, la letra d) se resuelve con un proceso corto y documentado. Este es el orden que evita rehacer el trabajo:
- Inventaría a los proveedores directos con acceso o dependencia. No la lista de compras completa: quién toca tus sistemas, quién guarda tus datos y de quién depende que el servicio siga en pie. El proveedor de material de oficina no entra; el de tu centralita, sí.
- Clasifica por impacto, no por facturación. Qué pasa si ese proveedor cae dos días o si alguien entra por él. Suele haber tres o cuatro críticos y una cola larga de irrelevantes.
- Escribe tus criterios de selección. El reglamento de ejecución fija cuatro: las prácticas de ciberseguridad del proveedor, incluidos sus procedimientos de desarrollo seguro; su capacidad de cumplir las especificaciones que tú fijes; la calidad y resiliencia de sus productos y servicios; y tu propia capacidad de diversificar y limitar la dependencia de un único proveedor, cuando proceda. Ese último no es técnico y suele ser el que más duele.
- Traslada al contrato lo que aplique de los ocho elementos. Con proporcionalidad: exigir controles de antecedentes al proveedor de una herramienta de facturación sin acceso a producción es ruido que nadie firmará.
- Fija la revisión antes de necesitarla. A intervalos planificados, cuando cambien las operaciones o los riesgos, y siempre tras un incidente significativo del proveedor. Deja escrito quién la hace y con qué evidencia se cierra.
Qué NO exige NIS2 sobre la cadena de suministro
Buena parte de los cuestionarios que circulan piden cosas que la norma no pide. Estas cuatro precisiones se defienden con el texto delante.
No exige certificación
El artículo 24, apartado 1, dice que los Estados miembros podrán exigir a las entidades esenciales e importantes que usen productos, servicios y procesos de TIC certificados en virtud de un esquema europeo de certificación de la ciberseguridad de los adoptados conforme al artículo 49 del Reglamento (UE) 2019/881. Es una facultad del Estado, no una obligación que nazca directamente de la Directiva, y España no la ha ejercido porque no ha transpuesto.
Y aunque la ejerciera, hablaría de esquemas europeos de certificación, que no son lo mismo que una ISO. Tu certificado ISO 27001 sigue siendo el argumento comercial más eficiente que puedes poner sobre la mesa, porque le ahorra trabajo de evaluación a quien te contrata, pero conviene ofrecerlo por lo que es y no por lo que no es: no hay ninguna norma que obligue a tu cliente a exigírtelo.
Lo mismo pasa con las evaluaciones de riesgo de cadenas de suministro críticas. El artículo 22 permite que el Grupo de Cooperación, con la Comisión y la ENISA, haga evaluaciones coordinadas de servicios, sistemas o productos de TIC críticos concretos. Es potestativo, y el artículo 21.3 solo obliga a la entidad a tener en cuenta sus resultados si existen.
No obliga a auditar la cadena entera
La letra d) habla de proveedores directos. El considerando 85 dice que las entidades «podrían» tomar en consideración los riesgos de otros niveles: es una posibilidad, no un deber. Lo que sí se traslada hacia abajo es el requisito de subcontratación de la letra g), que es la forma correcta de alcanzar el segundo nivel sin auditar a media Europa.
No fija el plazo en que el proveedor debe avisarte
Es cierto: la Directiva no dice en cuántas horas tiene que avisarte tu proveedor. Pero el plazo no es libre, porque se deriva del que tiene tu cliente. El artículo 23, apartado 4, le impone tres hitos desde que tiene constancia de un incidente significativo: una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final al mes de esa notificación. Entre medias, el CSIRT puede pedirle un informe intermedio, y si el incidente sigue vivo cuando toca el informe final, tiene que presentar además un informe de situación.
De ahí sale la cifra de la cláusula. Si tu cliente tiene 24 horas para dar la alerta temprana desde que tiene constancia, y quien va a tener constancia primero eres tú, el aviso que le debes tiene que caber holgadamente dentro de esas 24 horas. Escribir «sin demora indebida» en el contrato no sirve: lo que sirve es un número, y el número razonable está por debajo de las doce horas para el primer aviso, con la información que permita a tu cliente decidir si el incidente es significativo. Ese umbral es un criterio nuestro derivado del reloj de la norma, no una cifra que la Directiva imponga.
Hay un caso con plazo propio: los prestadores cualificados de servicios de confianza notifican en 24 horas también el hito de la letra b), no en 72. Si tu proveedor es uno de ellos, su reloj es más corto que el general.
Y en sentido contrario, algo que casi nadie mira: el artículo 23, apartado 1, obliga a la entidad a notificar, cuando proceda, a los destinatarios de sus servicios los incidentes significativos que puedan afectarles. Si tú eres cliente de una entidad sujeta, ese aviso te lo deben a ti. Merece la pena reclamarlo en el contrato en las dos direcciones.
No existe un listado oficial de proveedores homologados
No hay registro público al que apuntarse ni sello administrativo que resuelva la homologación. Quien lo venda así, está vendiendo otra cosa.
Si el proveedor eres tú: qué preparar antes de que te lo pidan
La posición del proveedor no obligado tiene una ventaja que casi nadie explota: el cuestionario llega igual a todos los candidatos, y quien responde en dos días con documentos reales adelanta al que tarda tres semanas en improvisarlos. La carpeta que resuelve casi todas las peticiones es corta.
| Lo que te piden | Lo mínimo que sirve | Lo que no cuela |
|---|---|---|
| Política de seguridad | Documento breve, aprobado y fechado por la dirección | Una plantilla descargada sin firma ni fecha |
| Gestión de incidentes | Procedimiento con roles, criterios y contactos operativos | «Nos avisan por correo y lo miramos» |
| Aviso al cliente | Compromiso de plazo en horas, con canal y suplente | «Sin demora indebida», sin número |
| Copias y recuperación | Política de copias y acta de la última restauración probada | Copias configuradas que nadie ha restaurado nunca |
| Gestión de accesos | Inventario de accesos, altas y bajas, y segundo factor | Cuentas compartidas y contraseñas heredadas |
| Vulnerabilidades y parches | Procedimiento con ventanas y responsable | Actualizar cuando algo falla |
| Subcontratación | Lista de subcontratistas con lo que hace cada uno | No saber quién tiene acceso a través de terceros |
| Fin de contrato | Procedimiento de devolución y borrado con evidencia | Promesa verbal de borrar los datos |
Un matiz sobre las certificaciones: si tienes ISO 27001 o conformidad con el ENS, el cuestionario se acorta mucho, pero lo que convence no es el logotipo sino el alcance. Un certificado cuyo alcance cubre la oficina central y no el servicio que vas a prestar no responde a la pregunta. Y si vendes al sector público, la vía que te alcanza primero no es NIS2 sino el pliego, con el Esquema Nacional de Seguridad para proveedores de la Administración detrás.
Hay además una puerta que casi nadie usa. El artículo 30.1 b) permite que cualquier entidad, esté o no comprendida en el ámbito de la directiva, notifique voluntariamente al CSIRT los incidentes, ciberamenazas o cuasiincidentes significativos que sufra, y el propio artículo aclara que hacerlo no genera obligaciones adicionales a las que ya tuviera. Para un proveedor pequeño golpeado por un incidente que afecta a clientes obligados, esa vía aporta apoyo técnico y un rastro de diligencia que después se puede enseñar.
Qué cambia en España cuando la ley llegue al BOE
La Ley de Coordinación y Gobernanza de la Ciberseguridad, con la que España transpone NIS2, no constaba publicada en el BOE al cerrar este artículo. Lo que el Consejo de Ministros aprobó el 14 de enero de 2025 fue un anteproyecto, que es un acto de gobierno y no una ley.
El retraso ya tuvo consecuencias. En el paquete de infracciones de julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no notificar las medidas de transposición, dentro del expediente INFR(2024)0270. Y pidió una cantidad a tanto alzado más multas diarias hasta que la transposición se notifique.
El seguimiento de esa tramitación, con el estado y el protocolo de comprobación, está en la guía sobre la ley de ciberseguridad que transpone NIS2 y su estado en el BOE.
Compruébalo tú mismo en un minuto en lugar de fiarte de la fecha de este texto: busca «ciberseguridad» por título en el buscador de legislación del BOE. Si aparece una ley con ese nombre y su identificador BOE-A, ya está transpuesta; si no aparece, no existe. Desconfía de los titulares que anuncian «aprobada la ley de ciberseguridad», porque casi siempre se refieren a la aprobación del anteproyecto.
Cuando llegue cambiarán la autoridad competente, el registro de entidades, el canal de notificación, la supervisión y el régimen sancionador. No cambiará la letra d) del artículo 21.2, que está en la directiva desde 2022, ni lo que tu cliente ya te exige por contrato. Por eso esperar a la ley es mala estrategia comercial aunque sea buena estrategia jurídica: la exigencia contractual no espera al boletín. El resto del marco está reunido en la guía de cumplimiento en ciberseguridad.
Si necesitas responder ya al cuestionario de un cliente grande, reviso esas cláusulas contigo en la consultoría NIS2 antes de firmarlas.
Si vendes a la Administración, esto ya te pasaba
El mecanismo no lo ha inventado NIS2. El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, se aplica en su artículo 2, apartado 3, a las entidades del sector privado cuando, en virtud de una relación contractual, presten servicios o provean soluciones al sector público. Y ordena que los pliegos contemplen los requisitos necesarios para asegurar la conformidad, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad con el ENS». Si quieres ver en qué se diferencian el ENS y NIS2, están enfrentados en su propia página.
El párrafo que cierra ese apartado es el que aquí importa, y es literal: «Esta cautela se extenderá también a la cadena de suministro de dichos contratistas, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos.»
Dicho de otro modo: si ya vendes a un ayuntamiento o a una consejería, llevas años recibiendo por pliego lo mismo que ahora te va a llegar por contrato privado. Y hay un detalle que ahorra trabajo: en el ENS, la categoría BÁSICA solo pide una autoevaluación para declarar la conformidad, mientras que las categorías MEDIA y ALTA exigen auditoría de certificación. Las declaraciones y certificaciones se publican, además, en el portal o la sede electrónica del responsable, así que se pueden comprobar.
Preguntas frecuentes
¿NIS2 me obliga si soy proveedor de una entidad esencial pero no estoy en los sectores del anexo?
Por la directiva, no: las obligaciones del artículo 21 recaen sobre las entidades esenciales e importantes, y quedar fuera de los anexos y de los umbrales de tamaño te deja fuera del ámbito. Lo que sí te alcanza es el contrato. Tu cliente necesita cubrir la letra d) del artículo 21.2 respecto a sus proveedores directos, y lo hace trasladándote requisitos, cuestionarios y cláusulas. La obligación es suya; el trabajo, en buena parte, acaba siendo tuyo.
¿Tengo que exigir la ISO 27001 a mis proveedores?
NIS2 no lo exige. El artículo 24, apartado 1, dice que los Estados miembros podrán exigir productos, servicios y procesos de TIC certificados en virtud de un esquema europeo de certificación de la ciberseguridad de los adoptados conforme al artículo 49 del Reglamento (UE) 2019/881, y deja a la Comisión especificar por acto delegado qué categorías de entidades quedan obligadas; es una facultad del Estado, y España no la ha ejercido porque no ha transpuesto, así que ninguna certificación es obligatoria por la directiva. Puedes pedirla como criterio de selección propio, y es razonable en proveedores críticos, pero entonces verifica el alcance del certificado: tiene que cubrir el servicio que te prestan, no otra parte de su organización.
¿Hasta qué nivel de la cadena tengo que mirar?
La letra d) se refiere a proveedores y prestadores de servicios directos, y ahí termina la obligación. El considerando 85 dice que las entidades «podrían» considerar los riesgos de otros niveles, en potencial. La forma practicable de llegar más abajo es la cláusula de subcontratación del punto 5.1.4 g) del anexo del Reglamento 2024/2690: tu proveedor directo se compromete a que sus subcontratistas cumplan los mismos requisitos de seguridad, y tú controlas un contrato en lugar de veinte.
¿Qué plazo de aviso de incidentes debo poner en el contrato?
La norma solo dice «sin demora indebida», así que el número lo pones tú, y se calcula hacia atrás desde el reloj de tu cliente. El artículo 23, apartado 4, le da 24 horas para la alerta temprana, 72 horas para la notificación del incidente y un mes para el informe final, contados desde que tiene constancia. Como quien tiene constancia primero eres tú, tu aviso tiene que caber holgadamente dentro de esas 24 horas: por debajo de doce es un umbral defendible, aunque sea criterio propio y no cifra de la norma. Añade un canal que no dependa de una sola persona y un contacto suplente.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), DOUE L 333 de 27 de diciembre de 2022: artículo 21 (apartados 1 a 4, con la letra d) del apartado 2), artículo 22 (evaluaciones coordinadas de los riesgos de seguridad de las cadenas de suministro críticas), artículo 23 (apartados 1 y 4), artículo 24 (esquemas europeos de certificación) y artículo 30 (notificación voluntaria).
- Considerandos 56, 85, 86 y 90 de la misma directiva, sobre el efecto en cascada de los ataques a las cadenas de suministro de las pymes, los riesgos de la cadena de suministro, los proveedores de servicios de seguridad gestionados y las evaluaciones coordinadas.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 (DO L de 18 de octubre de 2024), artículo 1 y anexo, punto 5.1 (política de seguridad de las cadenas de suministro, criterios de selección y elementos contractuales).
- Comisión Europea, paquete de procedimientos de infracción de julio de 2026, decisiones relativas a España: remisión al Tribunal de Justicia de la UE por la no notificación de la transposición de NIS2, expediente INFR(2024)0270.
- Buscador de legislación del BOE, para comprobar la publicación de la ley de transposición.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.