Qué exige el artículo 21 de NIS2, medida a medida, y con qué se demuestra cada una
El artículo 21 de la Directiva (UE) 2022/2555 no es una lista de tecnologías, sino un mandato de proporcionalidad con un suelo de diez elementos. Su apartado 1 obliga a las entidades esenciales e importantes a tomar «medidas técnicas, operativas y de organización adecuadas y proporcionadas» para gestionar los riesgos de sus sistemas de redes y de información. Esa proporción se mide por tres factores: el grado de exposición de la entidad a los riesgos, su tamaño y la probabilidad de que se produzcan incidentes, junto con su gravedad.
El apartado 2 fija el mínimo: las medidas «incluirán al menos» diez elementos, de la letra a) a la j), desde las políticas de seguridad hasta la autenticación multifactorial. Abajo va cada uno con lo que dice el texto, lo que significa en la práctica y qué prueba su cumplimiento.
La regla que va antes de la lista: proporcionada no significa opcional
Muchas lecturas de NIS2 se saltan el apartado 1 y van directas a las diez letras, y es ese apartado el que decide cuánto trabajo toca. Pide que las medidas garanticen «un nivel de seguridad de los sistemas de redes y de información adecuado en relación con los riesgos planteados», teniendo en cuenta la situación, las normas europeas e internacionales pertinentes y el coste de aplicación. Dos empresas del mismo sector pueden acabar con implantaciones muy distintas de la misma letra y las dos estar bien. Lo que ninguna puede hacer es dejar una letra sin cubrir: el enfoque, dice el apartado 2, ha de basarse «en todos los peligros».
Conviene además tener presente el apartado 4: cuando una entidad constate que no cumple alguna de las medidas, debe adoptar «sin demora indebida» todas las correcciones apropiadas y proporcionadas. Detectar una carencia y aparcarla es, por sí mismo, un incumplimiento.
Las diez medidas del artículo 21.2, en una tabla
| Letra | Qué exige el texto | Qué demuestra que lo has hecho |
|---|---|---|
| a) | Políticas de seguridad y análisis de riesgos | Política aprobada y fechada por la dirección, y análisis con su plan de tratamiento |
| b) | Gestión de incidentes | Procedimiento con roles, criterios de clasificación y registro de incidentes tratados |
| c) | Continuidad: copias, recuperación ante catástrofes y gestión de crisis | Plan de continuidad, política de copias y acta de la última prueba de restauración |
| d) | Seguridad de la cadena de suministro | Inventario de proveedores críticos, cláusulas contractuales y criterios de evaluación |
| e) | Adquisición, desarrollo y mantenimiento, con gestión de vulnerabilidades | Procedimiento de cambios y parches, y canal de reporte de vulnerabilidades |
| f) | Evaluar la eficacia de las medidas | Indicadores definidos, revisión periódica documentada y sus conclusiones |
| g) | Ciberhigiene y formación en ciberseguridad | Plan de formación con asistentes, fechas y medición de eficacia |
| h) | Criptografía y, en su caso, cifrado | Política de cifrado con algoritmos, ámbitos de aplicación y gestión de claves |
| i) | Recursos humanos, control de acceso y gestión de activos | Inventario de activos, matriz de accesos y procedimiento de alta y baja |
| j) | Autenticación multifactorial y comunicaciones seguras, cuando proceda | Evidencia de MFA activo por sistema y canal alternativo de crisis probado |
a) Políticas de seguridad de la información y análisis de riesgos
La letra a) junta el documento de política y el análisis de riesgos que lo justifica. Una política sin análisis detrás es una declaración de intenciones; un análisis sin política es un ejercicio que nadie ha asumido. Lo que resiste una inspección es una política breve que fije el enfoque, reparta roles, indique qué documentación se conserva y por cuánto tiempo, y lleve fecha de aprobación por el órgano de dirección, más un análisis que evalúe los riesgos con criterios propios y desemboque en un plan de tratamiento con responsables y plazos.
b) Gestión de incidentes
No se pide un centro de operaciones de seguridad, sino un procedimiento que cubra el ciclo completo: detección, análisis, contención, gestión, recuperación, documentación y notificación a tiempo. La palabra que decide el resto es «clasificación»: sin criterios para saber cuándo un incidente es significativo, nadie sabe cuándo empieza a correr el reloj.
Ese reloj vive en el artículo 23: alerta temprana en veinticuatro horas desde que se tiene constancia del incidente significativo, notificación en setenta y dos horas e informe final a más tardar un mes después. El procedimiento de la letra b) es lo que hace posible cumplirlo.
c) Continuidad de las actividades y gestión de crisis
El texto cita tres cosas distintas: copias de seguridad, recuperación en caso de catástrofe y gestión de crisis. De las copias, la única prueba que vale es una restauración documentada. La recuperación exige decidir de antemano cuánto puede estar caído cada servicio y cuántos datos cabe perder. La gestión de crisis es organizativa: quién manda cuando el correo corporativo no funciona.
d) Seguridad de la cadena de suministro
Es la letra que más trabajo genera, porque obliga a mirar hacia fuera. El artículo 21.3 concreta qué valorar: las vulnerabilidades específicas de cada proveedor directo, la calidad general de sus productos y prácticas de ciberseguridad, sus procedimientos de desarrollo seguro y los resultados de las evaluaciones coordinadas de riesgos del artículo 22.
Ojo al alcance: el texto habla de proveedores «directos». No hay que auditar la cadena entera hasta el fabricante del chip, pero sí evaluar a quien te presta el servicio. Aterriza en un inventario de proveedores críticos y en cláusulas de ciberseguridad en los contratos.
e) Seguridad en la adquisición, el desarrollo y el mantenimiento
Cubre el ciclo de vida completo e incluye «la gestión y divulgación de las vulnerabilidades». Para quien no desarrolla software propio son tres rutinas: criterios de seguridad al comprar servicios y productos TIC, gestión de cambios y parches con plazos según criticidad, y un canal por el que alguien de fuera pueda avisarte de un fallo.
f) Evaluar la eficacia de las medidas
Es la letra que separa el cumplimiento de papel del real, y la más olvidada. Sin indicadores definidos ni revisión periódica con rastro escrito, no hay forma de responder a la pregunta que hará cualquier supervisor, que no es «¿tienes copias de seguridad?» sino «¿cómo sabes que funcionan?».
g) Ciberhigiene y formación
El considerando 89 de la Directiva ilustra qué entra en ese cajón: confianza cero, actualizaciones de software, configuración de dispositivos, segmentación de la red, gestión de la identidad y el acceso, y concienciación de los usuarios.
La formación no es solo para el personal técnico. El artículo 20.2 obliga a garantizar que los miembros del órgano de dirección asistan a formaciones. Y el 20.1 va más lejos: son esos órganos los que aprueban las medidas del artículo 21, supervisan su puesta en práctica y responden por el incumplimiento de la entidad.
h) Criptografía y, en su caso, cifrado
La letra h) pide políticas y procedimientos, no una tecnología concreta. Lo exigible es haber decidido de forma razonada dónde se cifra, con qué algoritmos y longitudes de clave, y cómo se gestionan y renuevan esas claves. Una política de dos páginas derivada de la clasificación de la información vale más que un despliegue de cifrado sin criterio.
i) Recursos humanos, control de acceso y gestión de activos
Tres disciplinas en una letra, y las tres se apoyan en un inventario: sin saber qué activos hay y quién los usa no se puede controlar el acceso ni gestionar altas y bajas. La parte de recursos humanos cubre lo previo al contrato, la relación laboral y la salida, con un procedimiento que retire accesos y recupere equipos el mismo día.
j) Autenticación multifactorial y comunicaciones seguras
Es la única letra que menciona una tecnología por su nombre y la única que termina con «cuando proceda». Pide soluciones de autenticación multifactorial o continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia. Ese «cuando proceda» modula dónde se aplica cada elemento, no si se aplica alguno: justificar por escrito que el acceso remoto y las cuentas privilegiadas van sin segundo factor es hoy difícil de sostener ante un supervisor.
El reglamento europeo que traduce las diez letras en requisitos concretos
El artículo 21.5 encargó a la Comisión adoptar actos de ejecución con los requisitos técnicos y metodológicos de estas medidas, y lo hizo con el Reglamento de Ejecución (UE) 2024/2690, de 17 de octubre de 2024. Su anexo desarrolla las diez letras en trece bloques numerados, con subapartados que llegan al nivel de «revísese al menos una vez al año».
Conviene entender a quién obliga, porque aquí se cometen errores. Es aplicable solo a las entidades del artículo 21.5, párrafo primero: proveedores de DNS, registros de nombres de dominio de primer nivel, proveedores de computación en nube, de centros de datos, de redes de distribución de contenidos, de servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y prestadores de servicios de confianza. Para los demás sectores la Comisión «podrá» adoptar actos similares, pero mientras no lo haga no les obliga.
Aun así es la mejor vara de medir para quien no está sujeto a él: si una fábrica quiere saber qué nivel de detalle espera Bruselas al decir «gestión de incidentes», el bloque 3 del anexo se lo dice sin ambigüedad. Su considerando 3 reconoce que los requisitos se basan en normas como ISO/IEC 27001, ISO/IEC 27002 y ETSI EN 319401, lo que explica que quien ya tiene un sistema de gestión de seguridad de la información parta con medio camino hecho.
Qué no dice el artículo 21 y suele darse por supuesto
Hay tres lecturas equivocadas que se repiten en las reuniones, y las tres nacen de leer el artículo 21 sin el resto de la Directiva al lado.
El artículo 21 no obliga a certificarse en nada
Lo que permite el artículo 24 es que los Estados exijan usar productos y servicios TIC certificados bajo un esquema europeo de certificación de la ciberseguridad del Reglamento (UE) 2019/881. Es una facultad sobre productos, no una obligación de certificar la empresa.
Las diez letras son el suelo europeo, no el techo
La Directiva es de armonización mínima y su artículo 5 permite que los Estados mantengan disposiciones que garanticen un nivel más elevado de ciberseguridad. La norma española puede pedir más, nunca menos.
El tamaño decide la puerta de entrada, pero no es la única
El artículo 2.1 aplica la Directiva a las entidades de los anexos I o II que sean medianas empresas conforme a la Recomendación 2003/361/CE o superen esos límites. El 2.2 la aplica con independencia del tamaño a varios supuestos: prestadores de servicios de confianza, proveedores de DNS y de redes o servicios públicos de comunicaciones electrónicas, o quien sea el único proveedor de un servicio esencial en su Estado.
Y hay un detalle que se escapa casi siempre. El artículo 2.1, párrafo segundo, excluye el artículo 3, apartado 4, del anexo de esa Recomendación, que es la regla que saca de la categoría de pyme a las empresas con un 25 % o más de capital público. A efectos de NIS2 esa regla no cuenta. Para salir de dudas, ahí está el test de si tu empresa es entidad esencial o importante según NIS2.
Cómo se comprueba: dos regímenes de supervisión distintos
La misma lista se supervisa de dos maneras, y eso condiciona cuánta evidencia conviene tener preparada. En las entidades esenciales, el artículo 32 da a las autoridades competencias ejercitables sin sospecha previa: inspecciones in situ, supervisión a distancia, auditorías periódicas y específicas por un organismo independiente o la autoridad, auditorías ad hoc y solicitudes de información sobre las medidas adoptadas. En las importantes, el artículo 33 establece un control a posteriori: se actúa cuando haya pruebas, indicios o información de un presunto incumplimiento. Cambia el disparador, no las herramientas.
El artículo 34 cierra el cuadro con las multas por incumplir los artículos 21 o 23. Los Estados deben prever un máximo de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial total para las entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes, aplicándose siempre la cuantía mayor.
Por dónde empezar si tu empresa entra en el ámbito
Un orden que funciona cuando se parte de cero, pensado para no comprar tecnología antes de saber para qué:
- Confirma la categoría conforme al artículo 3: de ahí salen el régimen de supervisión y el tope sancionador.
- Levanta el inventario de activos y de proveedores directos. Sin él, las letras d) e i) no se pueden abordar.
- Haz el análisis de riesgos y aprueba la política: cubre la letra a) y da los criterios para dimensionar el resto.
- Monta la gestión de incidentes con su clasificación y su procedimiento de notificación, la letra b) y la de plazos más cortos.
- Cierra continuidad, copias y una prueba de restauración documentada, que es la letra c).
- Despliega lo transversal: control de accesos, autenticación multifactorial, cifrado y formación, de la letra g) a la j).
- Define los indicadores y la revisión periódica de la letra f), que mantiene vivo lo anterior.
Ese recorrido es el trabajo de adecuación que describo en el servicio de cumplimiento en ciberseguridad; el contexto de a quién obliga la norma está en la guía de NIS2 para pymes españolas.
En España: la ley llega tarde, las medidas no dependen de ella
El artículo 41 fijó el 17 de octubre de 2024 como fecha límite para adoptar y publicar las medidas de transposición, aplicables desde el 18 de octubre de 2024. España no llegó. A 31 de julio de 2026, la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue sin publicarse en el BOE, y el 9 de julio de 2026 la Comisión Europea decidió llevar a España, junto a Irlanda, Francia y Países Bajos, ante el Tribunal de Justicia de la UE, con solicitud de sanciones económicas.
Esa fecha envejece rápido, así que lo sensato es comprobar el estado el día que lo necesites: buscar en el BOE por el título de la ley y, si aparece, mirar qué dice sobre las medidas de gestión de riesgos. El seguimiento del expediente lo mantengo en la ficha sobre el estado de la ley española que transpone NIS2.
Lo que sí puede decirse con independencia de esa fecha es qué cambiará y qué no. La ley española concretará quién supervisa, cómo se registran las entidades, cómo se tramitan las notificaciones y cómo se gradúan las sanciones. La lista de diez medidas no va a encoger, porque el artículo 5 solo permite subir el listón. Quien empiece hoy por el inventario, el análisis de riesgos y la gestión de incidentes hace trabajo que va a exigirse igualmente.
Preguntas frecuentes
¿Cuántas medidas tiene el artículo 21 de NIS2 exactamente?
Diez. El artículo 21, apartado 2, de la Directiva (UE) 2022/2555 enumera diez elementos con las letras a) a j), precedidos de «incluirán al menos», fórmula que los convierte en un mínimo y no en una lista cerrada. El apartado 1 añade la obligación general de proporcionalidad.
¿Es obligatorio certificarse en ISO 27001 para cumplir el artículo 21?
No. El artículo 21 no exige ninguna certificación; el artículo 24 permite a los Estados exigir el uso de productos y servicios TIC certificados bajo un esquema europeo de certificación de la ciberseguridad, que es otra cosa. Ahora bien, el Reglamento de Ejecución (UE) 2024/2690 reconoce que sus requisitos se basan en normas como ISO/IEC 27001 e ISO/IEC 27002, así que un sistema de gestión ya implantado cubre buena parte del terreno aunque no se certifique.
¿Las diez medidas se aplican igual a una empresa de 60 empleados que a una de 2.000?
No con la misma intensidad. El artículo 21.1 obliga a tener en cuenta el grado de exposición al riesgo, el tamaño y la probabilidad y gravedad de los incidentes. Lo que no admite graduación es la cobertura: las diez letras hay que abordarlas todas, aunque la solución de cada una sea más ligera en una organización pequeña.
Si mi empresa incumple una de las medidas, ¿tengo que notificarlo a la autoridad?
El artículo 21.4 no obliga a notificarlo, sino a corregirlo sin demora indebida con todas las medidas correctoras apropiadas y proporcionadas. La obligación de notificar del artículo 23 se refiere a incidentes significativos, que es un supuesto distinto. Documentar la detección de la carencia y el plan de corrección es lo que demuestra diligencia si más tarde hay una inspección.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), DO L 333 de 27.12.2022: artículos 2, 3, 5, 20, 21, 22, 24, 32, 33, 34 y 41, y considerandos 81, 82 y 89. Consultada el 31 de julio de 2026 en el PDF oficial del Diario Oficial.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024, DO L de 18.10.2024, y su anexo de requisitos técnicos y metodológicos.
- Recomendación 2003/361/CE, sobre la definición de microempresas, pequeñas y medianas empresas, DO L 124 de 20.5.2003.
- Paquete de infracciones de julio de 2026: decisiones relativas a España, Representación de la Comisión Europea en España, 9 de julio de 2026.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.