NIS2 para una empresa de fuera de la UE: lo que pide la directiva y lo que piden los clientes
NIS2 para empresas fuera de la UE llega por dos puertas: la propia directiva, si presta determinados servicios digitales en la Unión, y sus clientes europeos, que deben gestionar la seguridad de sus proveedores. Averiguamos cuál es su puerta, preparamos las medidas y los documentos que le pedirán sus clientes o una autoridad de la UE, y ceñimos el alcance a lo que dice el texto.
Consulta a un socio · respuesta por escrito en 24 horas
¿Se aplica NIS2 a una empresa de fuera de la UE?
NIS2 se aplica directamente a empresas de fuera de la UE de un grupo definido de servicios digitales cuando prestan servicio en la Unión: nube y centros de datos, CDN, MSP y MSSP, DNS, registro de dominios, mercados en línea, motores de búsqueda y redes sociales. Las demás suelen encontrarse con NIS2 en los contratos con clientes sujetos a ella.
La directiva cubre a las entidades medianas o mayores (Recomendación 2003/361/CE) de los tipos de los anexos I y II que prestan servicio en la Unión (art. 2(1)). Algunos tipos entran sin importar el tamaño, como los prestadores de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS (art. 2(2)).
Dos puertas
Directa. El artículo 26(1)(b) somete a los proveedores digitales de esa lista a la jurisdicción de su establecimiento principal en la UE. Si carece de establecimiento en la UE y ofrece servicios en la Unión, la empresa designa un representante (art. 26(3)).
A través de clientes. Un cliente de la UE sujeto a NIS2 debe gestionar la seguridad de la cadena de suministro (art. 21(2)(d)). Sus exigencias le llegan por el contrato, el cuestionario y los derechos de auditoría.
Representante NIS2 en la UE: quién lo necesita
Lo necesita el proveedor digital de la lista del artículo 26(1)(b) que no tiene establecimiento en la UE y ofrece servicios en la Unión. Se designa en uno de los Estados miembros donde se prestan los servicios, y la empresa queda bajo la jurisdicción de ese Estado.
Si falta el representante, cualquier Estado miembro donde la empresa presta servicios puede actuar contra ella (art. 26(3)). Para esos proveedores, el Reglamento de Ejecución (UE) 2024/2690, de 17 de octubre de 2024, detalla las medidas del artículo 21(2) y cuándo un incidente es significativo.
Nuestra parte
Determinamos si su servicio encaja en el artículo 26(1)(b) y preparamos las medidas y los documentos del Reglamento 2024/2690. Usted designa al representante; el contrato y la valoración jurídica corresponden a un abogado.
NIS2 y la cadena de suministro: lo que trasladan los clientes de la UE
Un cliente de la UE sujeto a NIS2 debe tener en cuenta las vulnerabilidades de cada proveedor directo, la calidad de sus productos y sus prácticas de ciberseguridad, incluido el desarrollo seguro. Por eso le pide una descripción de medidas, evidencias y derechos de auditoría.
El artículo 21(3) obliga a la entidad NIS2 a evaluar al proveedor concreto. En la práctica: un cuestionario, un anexo de seguridad, plazos de notificación y una cláusula de auditoría.
Clientes financieros
Si su cliente es un banco, una entidad de pago o de dinero electrónico, se le aplica DORA: el artículo 4 de NIS2 da prioridad a los actos sectoriales de la UE con requisitos equivalentes. El artículo 30 de DORA fija entonces las cláusulas del contrato.
Medidas del artículo 21 de NIS2: diez puntos en lenguaje claro
El artículo 21(2) enumera diez grupos de medidas: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, desarrollo seguro, evaluación de la eficacia, ciberhigiene y formación, criptografía, seguridad de los recursos humanos y control de accesos, y autenticación multifactor.
Las medidas son proporcionadas a los riesgos y al tamaño de la entidad (art. 21(1)). Los órganos de dirección las aprueban, supervisan su aplicación, responden de las infracciones y reciben formación (art. 20).
Cruzamos lo que ya funciona en su empresa, por ejemplo controles ISO/IEC 27001, con el artículo 21(2), cerramos las brechas y reunimos evidencias para cada punto.
Plazos de notificación de incidentes NIS2 y leyes nacionales
Ante un incidente significativo, la entidad NIS2 envía una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en el plazo de un mes desde la notificación. El procedimiento exacto lo marca la ley nacional del Estado miembro competente.
Los Estados miembros debían aplicar sus medidas nacionales desde el 18 de octubre de 2024 (art. 41). Varios se retrasaron: el 8 de julio de 2026 la Comisión Europea llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia por no comunicar la transposición completa. Por eso contrastamos los requisitos con la ley nacional vigente el día en que empieza el trabajo.
Disposiciones de NIS2 que alcanzan a empresas de fuera de la UE
Requisito
Qué significa
Fuente
Entidades medianas o mayores de los tipos de los anexos I y II que prestan servicio en la Unión (art. 2(1))
El tamaño y el tipo de servicio deciden si está dentro de forma directa
Un dictamen escrito sobre cómo le alcanza NIS2, con referencias a los artículos
Un mapa de sus medidas frente al artículo 21(2) y, para proveedores digitales, frente al Reglamento 2024/2690
Un paquete de evidencias para clientes de la UE y un procedimiento de notificación de incidentes con plazos
Un plan de brechas con responsables y fechas
Qué necesitamos de usted
Sus servicios, sus clientes de la UE y los países donde los atiende
Los cuestionarios y requisitos contractuales que ya le enviaron los clientes
Tiempo de su responsable de TI y, si lo tiene, de su abogado
Una carta de alcance (scope letter) firmada
Límites del trabajo
La última palabra sobre si la directiva le aplica la tienen un abogado o la autoridad competente; nosotros preparamos el análisis técnico y organizativo
Usted designa al representante en la UE; ese papel queda fuera de nuestro trabajo
Su empresa presenta las notificaciones ante el CSIRT o la autoridad
La autoridad nacional del Estado miembro competente comprueba el cumplimiento
Riesgos de afrontar NIS2 por cuenta propia, con un chatbot o con un freelance
Por cuenta propia
La empresa da la directiva por ajena porque su oficina está fuera de la UE. Meses después, un cliente cita el artículo 21 y pide respuestas en dos semanas.
Chatbot
Mezcla la directiva con leyes nacionales y borradores, y entrega un dictamen sin referencias a artículos que ningún cliente acepta.
Freelance
Vende un paquete genérico de políticas NIS2 que omite el Reglamento 2024/2690, justo lo que pregunta un cliente de nube o MSP.
Preguntas frecuentes
Directamente, a los proveedores digitales del artículo 26(1)(b) que prestan servicio en la Unión: nube, centros de datos, CDN, MSP y MSSP, DNS, registro de dominios, mercados en línea, buscadores y redes sociales, que necesitan un representante en la UE. Las demás empresas suelen recibir los requisitos NIS2 en los contratos con sus clientes europeos.
Sí, si su servicio es de uno de los tipos del artículo 26(1)(b), no tiene establecimiento en la UE y ofrece servicios en la Unión. Se designa en uno de los Estados miembros donde presta servicio. Determinamos si su servicio está cubierto; la designación y el contrato los lleva un abogado.
Una descripción de medidas según el artículo 21(2): accesos y autenticación multifactor, gestión de incidentes y plazos de aviso, copias de seguridad, desarrollo seguro, vulnerabilidades y sus propios proveedores, a menudo con evidencias y derechos de auditoría. Construimos la base de respuestas una vez y la reutilizamos con cada cliente.
Los bancos, entidades de pago y de dinero electrónico de la UE trabajan bajo DORA, porque el artículo 4 de NIS2 da prioridad a los actos sectoriales equivalentes. Si presta servicio a una de ellas, los requisitos le llegan por DORA en el contrato y el cuestionario. Con clientes financieros y no financieros, necesita los dos mapas.
El artículo 23(4) exige una alerta temprana en 24 horas desde que se conoce un incidente significativo, una notificación en 72 horas y un informe final a más tardar un mes después. El destinatario y el formato dependen de la ley nacional del Estado competente. Preparamos un procedimiento con una tabla de plazos por país.
Depende de si NIS2 le alcanza directamente o a través de clientes, del número de países y servicios, de las medidas que ya funcionan y de cuántos cuestionarios hay que cerrar. Tras una consulta de pago de 30 minutos fijamos el alcance y un precio cerrado en una carta de alcance, con las preguntas posteriores de los clientes sobre nuestras respuestas incluidas.
