Checklist NIS2: Las Áreas del Artículo 21 Explicadas para PYMEs
Muchas listas de “requisitos NIS2” convierten el artículo 21 en un número fijo de controles, con frecuencias y herramientas. La Directiva no lo hace. Esta guía sigue el texto oficial y traduce cada área en preguntas útiles para revisar tu situación.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; a esa fecha solo consta el anteproyecto de 14/01/2025. Antes de invertir tiempo, comprueba si tu empresa está incluida con la guía de alcance. Si no lo está, este checklist sigue siendo una referencia de buenas prácticas.
Qué dice exactamente el artículo 21
El apartado 1 exige medidas técnicas, operativas y de organización “adecuadas y proporcionadas”, teniendo en cuenta el grado de exposición al riesgo, el tamaño de la entidad y la probabilidad y gravedad de los incidentes. El apartado 2 añade que se basarán en un enfoque de “todos los peligros” (incluido el entorno físico) y que incluirán al menos los elementos siguientes. Todo lo que exceda de esa lista es decisión tuya según tu análisis de riesgos, no un mandato de la Directiva.
Las diez áreas y preguntas para tu empresa
| Área (art. 21.2) | Preguntas para revisar | Más información |
|---|---|---|
| a) Políticas de seguridad y análisis de riesgos | ¿Tienes una política aprobada? ¿Has identificado activos y riesgos principales? | Análisis de riesgos |
| b) Gestión de incidentes | ¿Sabes quién decide y cómo se reacciona ante un incidente? | Gestión de incidentes |
| c) Continuidad, copias de seguridad y recuperación, gestión de crisis | ¿Puedes restaurar lo esencial si pierdes los sistemas? ¿Lo has probado? | Backup y continuidad |
| d) Seguridad de la cadena de suministro | ¿Sabes de qué proveedores depende tu seguridad? | Cadena de suministro |
| e) Seguridad en adquisición, desarrollo y mantenimiento, y gestión de vulnerabilidades | ¿Aplicas actualizaciones? ¿Cómo te enteras de vulnerabilidades? | Antivirus y endpoint |
| f) Evaluar la eficacia de las medidas | ¿Revisas si lo que has puesto funciona? | NIS2 vs ISO 27001 |
| g) Ciberhigiene básica y formación | ¿Tu equipo conoce lo básico (phishing, contraseñas)? | Formación |
| h) Criptografía y, en su caso, cifrado | ¿Tienes una política sobre cuándo cifrar y con qué? | VPN y acceso remoto |
| i) Seguridad de recursos humanos, control de acceso y gestión de activos | ¿Sabes quién accede a qué? ¿Qué pasa cuando alguien se va? | Gestión de contraseñas |
| j) Autenticación multifactor o continua, comunicaciones seguras y de emergencia, «cuando proceda» | ¿Dónde tiene sentido añadir un segundo factor? | MFA |
Otros elementos del artículo 21 y del 20
- Proveedores (art. 21.3): al valorar la cadena de suministro hay que tener en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad.
- Medidas correctoras (art. 21.4): si detectas que no cumples las medidas, debes adoptar sin demora indebida las correctoras apropiadas y proporcionadas.
- Dirección (art. 20): los órganos de dirección aprueban las medidas, supervisan su puesta en práctica y responden por su incumplimiento, y sus miembros deben recibir formación.
- Notificación (art. 23): los incidentes significativos deben notificarse al CSIRT o a la autoridad competente designados por cada Estado; en España esa designación depende de la ley pendiente.
Lo que este checklist no incluye a propósito
No hay presupuestos, cronogramas de 6 a 24 meses ni herramientas recomendadas: la Directiva no los establece y cualquier cifra general que se publique sin analizar tu empresa carece de base. El coste y el plazo dependen de tu punto de partida y de tus riesgos. Para elegir apoyo externo, mira cómo contratar una consultora.
Artículos relacionados
- Análisis de riesgos con enfoque NIS2
- Gestión de incidentes: qué dice el artículo 23
- Formación en ciberseguridad y el artículo 20
- MFA como medida posible del artículo 21
- Cómo elegir una consultora NIS2
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículos 20, 21 y 23, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Este checklist es una lista oficial de requisitos?
- No. El artículo 21 de NIS2 enumera áreas que las medidas deben cubrir «como mínimo», pero no fija controles concretos, plazos ni herramientas: exige medidas «adecuadas y proporcionadas» al riesgo, el tamaño y la exposición de cada entidad. Este checklist es una guía de preguntas, no un requisito legal.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Necesito una consultora para cumplir NIS2?
- No existe obligación general de contratar una consultora. Depende del alcance aplicable, de los riesgos, de los recursos internos y de la complejidad técnica de tu empresa.
