Checklist de cumplimiento NIS2
Una autoevaluación interactiva y gratuita basada en la Directiva (UE) 2022/2555 (NIS2). Analiza las obligaciones de gobernanza, las diez medidas de gestión de riesgos (Artículo 21) y los plazos de notificación (Artículo 23) mientras haces seguimiento de tu progreso.
Esta es una autoevaluación basada en la directiva, no constituye asesoramiento legal. La NIS2 se implementa mediante legislación nacional, que puede añadir detalles y definir quién está sujeto a ella. Consulta la transposición y la autoridad de tu país.
Fuente oficial, revisada el 28 de septiembre de 2026:
Gobernanza (Artículo 20)
- Aprobación y responsabilidad de la direcciónLos órganos directivos aprueban las medidas de gestión de riesgos, supervisan su aplicación y pueden ser considerados responsables.
- Formación de la direcciónLa dirección (y el personal) reciben formación en materia de ciberseguridad.
Medidas de gestión de riesgos (Artículo 21(2))
- Políticas de seguridad y análisis de riesgosPolíticas sobre el análisis de riesgos y la seguridad de los sistemas de información (a).
- Gestión de incidentesDetección, respuesta y recuperación ante incidentes (b).
- Continuidad del negocioGestión de copias de seguridad, recuperación ante desastres y gestión de crisis (c).
- Seguridad de la cadena de suministroSeguridad en las relaciones con los proveedores directos y los prestadores de servicios (d).
- Adquisición y desarrollo segurosSeguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, incluida la gestión y divulgación de vulnerabilidades (e).
- Evaluación de la eficaciaPolíticas y procedimientos para evaluar si las medidas implementadas funcionan realmente (f).
- Higiene cibersegura y formaciónPrácticas básicas de higiene cibersegura y formación en ciberseguridad (g).
- Criptografía y cifradoPolíticas sobre el uso de la criptografía y, cuando proceda, del cifrado (h).
- Seguridad de RR. HH., control de acceso y activosSeguridad de los recursos humanos, políticas de control de acceso y gestión de activos (i).
- MFA y comunicaciones segurasAutenticación multifactor o continua, comunicaciones seguras de voz/vídeo/texto y comunicaciones de emergencia (j).
Notificación de incidentes (Artículo 23)
- Alerta temprana en 24 horasNotificar al CSIRT o a la autoridad competente un incidente significativo en un plazo de 24 horas.
- Notificación en 72 horasPresentar una notificación del incidente con una evaluación inicial en un plazo de 72 horas.
- Informe final en un mesPresentar un informe final en el plazo de un mes a partir de la notificación.
¿Listo para implementar la NIS2? El NIS2 Toolkit (en inglés) te ofrece 12 documentos editables en Word/Excel: las medidas del artículo 21(2), plantillas de notificación de incidentes (24 h/72 h/un mes) y un resumen de autoridades de Francia, España, Países Bajos, Bélgica y Polonia (199 €, pago único).
Preguntas frecuentes
¿Cuáles son las medidas mínimas de la NIS2?
El Artículo 21(2) enumera diez medidas mínimas, desde el análisis de riesgos y la gestión de incidentes hasta la seguridad de la cadena de suministro, la criptografía, el control de acceso y la autenticación multifactor. Esta checklist sigue dicha lista.
¿Cuáles son los plazos de notificación de la NIS2?
El Artículo 23 establece un proceso de tres etapas: una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en el plazo de un mes.
¿Se aplica la NIS2 a mi organización?
El alcance depende de tu sector, del tamaño de tu empresa y de la implementación nacional. Consulta la ley NIS2 y la autoridad competente de tu país.
¿Se guarda mi progreso en algún lugar?
Solo en tu propio navegador. No se sube ningún dato y puedes restablecerlo en cualquier momento.
¿Puedo descargar la checklist para Excel?
Sí. Haz clic en «Descargar para Excel (CSV)» para obtener todos los puntos con tu estado en un archivo que se abre en Excel, Google Sheets o LibreOffice.