¿Qué es NIS y por qué es importante NIS2?
La Directiva sobre la seguridad de las redes y la información (NIS) fue la primera ley de ciberseguridad de la UE, adoptada en 2016. Exigía a los Estados miembros crear autoridades competentes, establecer CSIRT nacionales y aplicar normas mínimas de gestión de riesgos.
La experiencia demostró que NIS1 era demasiado limitada. Muchos sectores no estaban cubiertos y las obligaciones diferían mucho.
Por ello, la UE adoptó la Directiva NIS2 (Directiva (UE) 2022/2555) el 14 de diciembre de 2022. Se publicó en el Diario Oficial el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Todos los Estados miembros debían incorporarla a su legislación nacional antes del 17 de octubre de 2024, sustituyendo a NIS1. Puede consultar el texto oficial de la directiva en EUR-Lex.
¿Quién debe cumplir con NIS2?
NIS2 se aplica a dos categorías de entidades:
- Entidades esenciales: energía, transporte, sanidad, infraestructura digital, administración pública.
- Entidades importantes: servicios jurídicos, servicios postales y de mensajería, suministro de alimentos, plataformas digitales.
En la práctica, la mayoría de las empresas de los sectores cubiertos por NIS2 con más de 50 empleados o una facturación superior a 10 millones de euros entran dentro del ámbito de aplicación. Esto sitúa a miles de empresas medianas de Europa dentro de la directiva. Consulte más información en quién necesita un código LEI.
Obligaciones básicas en virtud de NIS2
La directiva establece obligaciones estrictas:
- Gestión de riesgos: aplicar medidas de seguridad proporcionales a las amenazas.
- Notificación de incidentes: notificar los incidentes significativos en un plazo de 24 horas y presentar un informe completo en un plazo de 72 horas.
- Seguridad de la cadena de suministro: evaluar la ciberseguridad de los proveedores y prestadores de servicios.
- Responsabilidad del consejo de administración: los ejecutivos son responsables del cumplimiento.
- Sanciones: las multas pueden ser de una escala similar a las sanciones del RGPD.
Para obtener una visión general estructurada, consulte el resumen de NIS2 de ENISA.
¿Por qué muchos países siguen retrasados?
NIS2 es una directiva de la UE. Esto significa que establece objetivos, pero cada Estado miembro debe incorporarlos a sus propias leyes. El plazo era el 17 de octubre de 2024, pero muchos países no lo cumplieron.
El 28 de noviembre de 2024, la Comisión Europea envió cartas de emplazamiento a 23 Estados miembros por no haber incorporado la Directiva NIS2 en el plazo establecido en la ley. El 7 de mayo de 2025, la Comisión emitió dictámenes motivados a 19 Estados miembros, entre ellos Estonia, Letonia, Polonia, Finlandia y España, entre otros, que aún no habían incorporado plenamente NIS2. Esta es la fase final antes de una posible acción judicial ante el Tribunal de Justicia de la Unión Europea. Consulte el comunicado de prensa de la Comisión: “La Comisión insta a 19 Estados miembros a que incorporen plenamente la Directiva NIS2”
Esto significa que los Estados miembros están sometidos a una fuerte presión. La transposición se está produciendo ahora a toda velocidad. Para las empresas, el mensaje es claro: las normas de NIS2 pronto se aplicarán en todos los países de la UE, tanto si su legislación nacional está actualizada como si no.
Función del código LEI
El Identificador de Entidad Jurídica (LEI) es un código alfanumérico de 20 caracteres que identifica de forma única a las entidades jurídicas de todo el mundo. Se creó tras la crisis financiera de 2008 para mejorar la transparencia en los mercados mundiales y ahora es ampliamente utilizado por reguladores, bancos y empresas. Obtenga más información en la Fundación Global Legal Entity Identifier (GLEIF).
En el contexto de NIS2, el LEI es una herramienta práctica:
- Identidad clara: los informes y las comunicaciones a través de las fronteras son coherentes.
- Transparencia de la cadena de suministro: el LEI muestra tanto “quién es quién” como “quién es propietario de quién”.
- Pista de auditoría: un identificador estándar reduce los errores y mejora la presentación de informes.
Véase también qué es un LEI para una explicación completa.
Pasos a seguir por las empresas ahora
- Compruebe su estado: ¿está clasificado como entidad esencial o importante?
- Solicite un código LEI: si aún no tiene uno, regístrese ahora. Puede solicitar un LEI directamente en LEI System.
- Integre el LEI en la gobernanza: inclúyalo en los contratos, las auditorías de la cadena de suministro y los informes de incidentes.
- Eduque a su consejo de administración: la dirección es responsable en virtud de NIS2.
- Prepare los flujos de trabajo de notificación: asegúrese de que puede cumplir los plazos de 24h/72h.
Para obtener información detallada sobre los costes, visite nuestra página de precios de LEI.
El panorama general
NIS2 no es opcional. Ya es legislación de la UE. Aunque algunas leyes nacionales aún no estén completas, la aplicación llegará a todas partes.
Y el impacto va más allá de la UE. Las empresas de países como Noruega o México que prestan servicios a clientes de la UE también sentirán la presión de cumplir estas normas.
El código LEI es una forma sencilla pero poderosa de generar confianza y transparencia en esta nueva era de la regulación digital.
Visión general por países
LEI System presta servicios de registro de LEI en más de 170 jurisdicciones de todo el mundo, lo que nos convierte en uno de los agentes de registro con mayor conexión global. A continuación, destacamos una selección de mercados en los que ya operamos sitios web locales específicos. Esta lista no es exhaustiva: se añaden continuamente nuevos dominios de países a medida que nuestra presencia internacional se expande. Los siguientes ejemplos muestran cómo se está desarrollando la aplicación de NIS2 en estos países, lo que significa para las empresas y cómo el código LEI apoya el cumplimiento.
🇪🇪 Estonia
Estado. El 7 de mayo de 2025, la Comisión Europea emitió un dictamen motivado a Estonia porque no se había notificado la transposición completa de NIS2. Estonia ya cuenta con la Ley de Ciberseguridad (2018, modificada en 2022), que ahora se está actualizando en consonancia con NIS2. El Ministerio de Asuntos Económicos y Comunicaciones es el responsable. Véase también la página de la Estrategia Digital de la UE sobre NIS2.
Lo que esto significa. Los actos de ejecución especificarán los requisitos para los controles de riesgo, la responsabilidad del consejo de administración, la evaluación de la cadena de suministro y la notificación de incidentes. Las empresas deben preparar sus procesos ahora.
Función del LEI. Entre otras cosas, el LEI es necesario para una identificación clara en los informes de incidentes y las auditorías de la cadena de suministro. Acelera la cooperación transfronteriza, evita la confusión con los nombres de las empresas y apoya las pistas de auditoría.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Estonia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇱🇻 Letonia
Estado. Letonia adoptó una nueva Ley de Ciberseguridad, que entró en vigor el 1 de septiembre de 2024. Las empresas debían registrar su estado antes del 1 de abril de 2025 y presentar la primera autoevaluación antes del 1 de octubre de 2025. La autoridad competente es CERT.LV.
Lo que esto significa. Las empresas letonas deben nombrar a un responsable, realizar evaluaciones de riesgos y cumplir con las obligaciones de información en virtud de la nueva ley.
Función del LEI. Entre otras cosas, el LEI ayuda a identificar claramente a los socios transfronterizos y mejora la transparencia en el mercado báltico.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Letonia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇱🇹 Lituania
Estado. Lituania modificó su Ley de Ciberseguridad el 11 de julio de 2024, con disposiciones que entraron en vigor el 18 de octubre de 2024. El 11 de noviembre de 2024 se aprobaron reglamentos de aplicación. La autoridad competente es el Centro Nacional de Ciberseguridad (NCSC).
Lo que esto significa. Las empresas lituanas deben cumplir con las nuevas obligaciones en materia de gestión de riesgos, controles de la cadena de suministro y notificación de incidentes.
Función del LEI. Entre otras cosas, el LEI es importante para el mapeo y las auditorías de proveedores, garantizando una identificación coherente a través de las fronteras.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Lituania. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇵🇱 Polonia
Estado. Polonia no cumplió el plazo de octubre de 2024. El 7 de mayo de 2025, la Comisión emitió un dictamen motivado. Se está preparando un proyecto de ley que se espera para 2026. La autoridad competente será el Ministerio de Asuntos Digitales.
Lo que esto significa. Las empresas polacas pronto deberán demostrar el cumplimiento mediante el registro, la gestión de riesgos y los controles de la cadena de suministro.
Función del LEI. Entre otras cosas, el LEI ayuda a estandarizar los controles de los proveedores y simplifica la presentación de informes en los sistemas de la UE.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Polonia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇩🇰 Dinamarca
Estado. Dinamarca recibió un dictamen motivado el 7 de mayo de 2025 por no notificar la transposición completa. Se han publicado proyectos de leyes sectoriales. La Autoridad Danesa de Empresas es la responsable.
Lo que esto significa. Las empresas ya deberían estar estableciendo sistemas para la gestión de riesgos, la notificación de incidentes y la responsabilidad del consejo de administración, ya que estos requisitos pronto serán obligatorios.
Función del LEI. Entre otras cosas, el LEI mejora la transparencia de la cadena de suministro y facilita el cumplimiento de los requisitos de los socios de la UE.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Dinamarca. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇸🇮 Eslovenia
Estado. Eslovenia recibió un dictamen motivado el 7 de mayo de 2025. Los ajustes se incluirán en la Ley de Seguridad de la Información. La autoridad competente es la Administración de Seguridad de la Información.
Lo que esto significa. Se están preparando procedimientos detallados para las notificaciones de incidentes y la gestión de riesgos.
Función del LEI. Entre otras cosas, el LEI aporta claridad en los informes y las evaluaciones de los socios.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Eslovenia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇮🇹 Italia
Estado. Italia ha completado la transposición de NIS2. La autoridad competente es la ACN (Agencia Nacional de Ciberseguridad).
Lo que esto significa. Las empresas italianas deben seguir requisitos claramente definidos en materia de gestión de riesgos, responsabilidad del consejo de administración y notificación de incidentes.
Función del LEI. Entre otras cosas, el LEI ayuda a unificar la presentación de informes en las organizaciones internacionales y reduce los errores en los intercambios transfronterizos.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Italia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇪🇸 España
Estado. España recibió un dictamen motivado el 7 de mayo de 2025. La transposición está en curso. El Ministerio de Asuntos Económicos y Transformación Digital está a cargo.
Lo que esto significa. Las empresas españolas deben prepararse para los procedimientos de notificación actualizados y las evaluaciones más estrictas de la cadena de suministro.
Función del LEI. Entre otras cosas, el LEI simplifica la identificación de los proveedores transfronterizos y mejora la precisión de la presentación de informes.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de España. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇫🇮 Finlandia
Estado. Finlandia recibió un dictamen motivado el 7 de mayo de 2025. Se están preparando reglamentos técnicos. El Centro Nacional de Ciberseguridad es el responsable.
Lo que esto significa. Las empresas deben prepararse para los plazos de notificación de 24 y 72 horas, así como para los controles de seguridad de la cadena de suministro.
Función del LEI. Entre otras cosas, el LEI apoya la diligencia debida de los proveedores y garantiza una identificación coherente en los informes.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Finlandia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇸🇪 Suecia
Estado. Suecia recibió un dictamen motivado el 7 de mayo de 2025. Se está preparando una nueva ley de ciberseguridad. La Agencia Sueca de Contingencias Civiles (MSB) será la autoridad competente.
Lo que esto significa. Las empresas deben esperar una rápida aplicación una vez que se apruebe la ley y comenzar a adaptar los procesos ahora.
Función del LEI. Entre otras cosas, el LEI reduce los errores en la identificación de los proveedores y refuerza las pistas de auditoría.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Suecia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇨🇿 Chequia
Estado. Chequia recibió un dictamen motivado el 7 de mayo de 2025. La autoridad competente es NÚKIB (Agencia Nacional de Ciberseguridad y Seguridad de la Información).
Lo que esto significa. Se están ultimando las listas de entidades esenciales e importantes y los procedimientos de notificación de incidentes.
Función del LEI. Entre otras cosas, el LEI ayuda a evitar la confusión con los nombres de las empresas y apoya la cooperación a través de las fronteras.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Chequia. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇧🇪 Bélgica
Estado. Bélgica ha completado la transposición de NIS2. La autoridad competente es el Centro para la Ciberseguridad de Bélgica (CCB).
Lo que esto significa. Las empresas belgas deben seguir el marco de supervisión y cumplir con las obligaciones de notificación de incidentes.
Función del LEI. Entre otras cosas, el LEI acelera las auditorías y garantiza la precisión en la presentación de informes.
Es muy fácil solicitar un LEI en el sitio web del Sistema LEI de Bélgica. Véase también una visión general detallada de nuestros asequibles precios de LEI.
🇳🇱 Países Bajos
Estado. Los Países Bajos recibieron un dictamen motivado el 7 de mayo de 2025. El Centro Nacional de Ciberseguridad (NCSC) es la autoridad competente.
Lo que esto significa. Las empresas holandesas pronto deberán cumplir con obligaciones detalladas de supervisión y cumplimiento.
Función del LEI. Entre otras cosas, el LEI agiliza los procesos KYC/KYB en las cadenas de suministro internacionales.
Es muy fácil solicitar un LEI en el sitio web de Dutch LEI System. Consulte también una descripción detallada de nuestros asequibles precios de LEI.
🇵🇹 Portugal
Estado. Portugal recibió un dictamen motivado el 7 de mayo de 2025. La transposición aún está incompleta. La autoridad competente es el Centro Nacional de Ciberseguridad (CNCS).
Lo que esto significa. Las empresas portuguesas deben prepararse para requisitos específicos del sector y una notificación de incidentes más estricta.
Función del LEI. Entre otras cosas, el LEI se puede utilizar en contratos y auditorías de proveedores para fortalecer la rendición de cuentas.
Es muy fácil solicitar un LEI en el sitio web de Portuguese LEI System. Consulte también una descripción detallada de nuestros asequibles precios de LEI.
🇫🇷 Francia
Estado. Francia recibió un dictamen motivado el 7 de mayo de 2025. La transposición está parcialmente incompleta. La autoridad competente es ANSSI (Agencia Nacional de Ciberseguridad).
Lo que esto significa. Las empresas francesas están esperando actos de ejecución específicos del sector que definirán los pasos de cumplimiento.
Función del LEI. Entre otras cosas, el LEI respalda la fiabilidad en los contratos transfronterizos y los informes regulatorios.
Es muy fácil solicitar un LEI en el sitio web de French LEI System. Consulte también una descripción detallada de nuestros asequibles precios de LEI.
🇳🇴 Noruega (fuera de la UE)
Estado. Noruega no es miembro de la UE, pero a menudo adopta las normas de la UE a través del EEE. NIS1 ya está en vigor y los preparativos para la alineación con NIS2 están en curso. La Autoridad Nacional de Seguridad (NSM) es responsable.
Lo que esto significa. Las empresas noruegas que trabajan con socios de la UE deben alinearse proactivamente con los estándares NIS2 para seguir cumpliendo y siendo competitivas.
Función del LEI. Entre otras cosas, el LEI reduce los costes en los procesos KYC/KYB y facilita la cooperación con los socios de la UE.
Es muy fácil solicitar un LEI en el sitio web de Norwegian LEI System. Consulte también una descripción detallada de nuestros asequibles precios de LEI.
🇲🇽 México (fuera de la UE)
Estado. México actualmente no tiene una única ley nacional de ciberseguridad. En 2025, continúan las conversaciones sobre la creación de un marco de ciberseguridad. La Ley Federal de Protección de Datos se actualizó recientemente.
Lo que esto significa. Las empresas vinculadas a socios de la UE deben alinearse voluntariamente con los estándares de la UE para mantener la confianza en las cadenas de suministro transfronterizas.
Función del LEI. Entre otras cosas, el LEI fortalece la confianza en las operaciones internacionales, especialmente en finanzas y logística.
Es muy fácil solicitar un LEI en el sitio web de Mexican LEI System. Consulte también una descripción detallada de nuestros asequibles precios de LEI.