La directiva NIS2 introduce una nueva clasificación de los actores afectados por las obligaciones de ciberseguridad. 

Ahora distingue dos categorías de organizaciones: las entidades esenciales y las entidades importantes. Las primeras agrupan a organizaciones públicas o privadas que ejercen una actividad altamente crítica y cuentan con más de 250 empleados o registran una facturación anual superior a 50 millones de euros. Las segundas se refieren a las estructuras de tamaño intermedio (50 a 250 empleados, 10 a 50 millones de euros de facturación anual) cuya interrupción podría, no obstante, afectar al funcionamiento de la ciudadanía.

La NIS2 extiende también el número de sectores afectados. Mientras que la directiva NIS1 regulaba 7 sectores, ahora son 18 los sectores afectados por la NIS2. Entre los nuevos sectores de actividad se encuentran:

En España, la Directiva NIS2 ampliará el número de organizaciones sujetas a obligaciones en materia de ciberseguridad. Entre las entidades potencialmente afectadas se encuentran organizaciones de sectores de alta criticidad y otros sectores críticos, como determinados proveedores de servicios digitales y de computación en la nube, proveedores de redes y servicios de comunicaciones electrónicas, operadores de infraestructuras y otras entidades incluidas en los sectores contemplados por la Directiva.

Además, el desafío ya no es únicamente proteger su propio perímetro, sino garantizar la seguridad informática de toda la cadena digital.

En España, la Directiva NIS2/SRI 2 se incorporará mediante la futura Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto fue aprobado por el Consejo de Ministros el 14 de enero de 2025. Sin embargo, la transposición completa sigue pendiente y, en julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haber notificado las medidas de transposición.

El modelo previsto contempla varias autoridades de control y la creación de un Centro Nacional de Ciberseguridad para coordinar el sistema. Estas autoridades podrán supervisar el cumplimiento de las obligaciones, realizar inspecciones y aplicar las medidas previstas por la normativa.

El cumplimiento de la NIS2 exige un enfoque global: identificación de activos, planes de respuesta a incidentes, auditorías periódicas, formación de los equipos y compromiso de la dirección. Se trata de un proceso continuo de gobernanza del riesgo integrado en la estrategia de la empresa, y no de un mero ejercicio puntual.

El Cyber Resilience Act (CRA) abarca todos los productos que incorporan código o componentes conectados: software, equipos, dispositivos conectados e incluso sistemas industriales.

La idea es simple: ningún producto digital debe comercializarse en el mercado europeo sin una garantía mínima de seguridad. Solo algunos sectores ya regulados (salud, defensa, aeronáutica, etc.) quedan fuera del dispositivo. 

El texto introduce la noción de «seguridad desde el diseño» y de «seguridad a lo largo del ciclo de vida». Cada producto deberá diseñarse para limitar las vulnerabilidades y permitir actualizaciones rápidas cuando sea necesario. Los fabricantes estarán obligados a notificar cualquier vulnerabilidad grave a las autoridades nacionales competentes en un plazo de 24 horas. 

El Cyber Resilience Act refuerza el marcado CE existente integrando criterios de ciberseguridad en los requisitos de seguridad y conformidad ya previstos. Esto implica la elaboración de una documentación técnica completa y una declaración oficial de conformidad. Los fabricantes también estarán obligados a garantizar la disponibilidad de los parches durante toda la vida útil del producto. Esta evolución cambia profundamente las prácticas industriales: introduce una obligación de seguimiento a largo plazo, que se extiende más allá de la mera venta. 

El CRA entró en vigor el 10 de diciembre de 2024. Las principales obligaciones serán aplicables a partir de diciembre de 2027, aunque determinadas obligaciones de notificación de vulnerabilidades e incidentes graves entrarán en aplicación el 11 de septiembre de 2026. 

Será necesario auditar las gamas existentes, revisar los procesos de desarrollo y actualizar los planes de mantenimiento para evitar cualquier incumplimiento de la normativa.

El Reglamento de Resiliencia Operativa Digital (DORA) crea un marco común para la gestión de los riesgos digitales en el sector financiero europeo. 

Bancos, aseguradoras, fintechs y sociedades gestoras deberán demostrar su capacidad para mantener sus operaciones, incluso en caso de un incidente grave. 

Una de las principales novedades del reglamento DORA reside en la supervisión directa de los proveedores terceros críticos (CTPP): grandes plataformas en la nube, proveedores de servicios gestionados y proveedores de infraestructuras digitales. 

Esta supervisión ha sido confiada a tres autoridades de referencia: 

Estos organismos, que supervisan respectivamente los sectores bancario, financiero y asegurador, colaboran ahora en una entidad llamada Joint Oversight Forum. 

Este dispositivo pretende reducir las dependencias excesivas respecto a unos pocos proveedores mundiales y controlar mejor los riesgos de concentración. Los proveedores deberán elaborar informes detallados sobre sus prácticas de seguridad, sus pruebas de penetración, sus planes de continuidad y sus auditorías de resiliencia.

Además, las entidades financieras deben establecer mecanismos detallados de notificación de incidentes de TIC. En caso de perturbación grave, tendrán 24 horas para notificar el evento, precisar la causa y exponer las medidas correctoras. El reglamento DORA exige también la realización regular de pruebas de continuidad y ejercicios de crisis. La gobernanza debe formalizarse: el consejo de administración es directamente responsable del seguimiento y la validación de las estrategias de resiliencia. Esta obligación crea un vínculo directo entre los desafíos tecnológicos y las decisiones de dirección estratégica.

El reglamento europeo sobre la inteligencia artificial (AI Act) establece una clasificación de los sistemas de IA según cuatro niveles de riesgo: inaceptable, alto, limitado y mínimo. 

Las prácticas de riesgo inaceptable, como la puntuación social, la manipulación del comportamiento o ciertas formas de vigilancia biométrica, están prohibidas por principio, salvo excepciones estrictamente reguladas.

Las soluciones clasificadas «de alto riesgo» deben someterse a un proceso de conformidad completo antes de su comercialización. Esto engloba la redacción de documentación técnica, el mantenimiento de registros de los datos de aprendizaje, la garantía de trazabilidad y la implementación de supervisión humana. 

Los sectores afectados incluyen, entre otros, la salud, el transporte, la educación, la seguridad y los recursos humanos. Además, estos sistemas deberán registrarse en la base de datos de la Unión Europea para los sistemas de IA de alto riesgo, con el fin de garantizar su seguimiento y supervisión a lo largo de su ciclo de vida.

Las organizaciones que despliegan sistemas de IA en contextos de alto impacto deberán extremar la vigilancia. Los casos de uso como el reclutamiento automatizado, la ayuda al diagnóstico médico o la vigilancia algorítmica se clasifican como de alto riesgo. Requieren una evaluación de conformidad antes de su comercialización, supervisión humana continua y documentación técnica detallada. 

El objetivo es limitar los sesgos y las discriminaciones, asegurando al mismo tiempo la fiabilidad y la trazabilidad de los resultados. El AI Act impone así un rigor similar al aplicado a la normativa europea sobre la seguridad de los productos.

El AI Act ya ha entrado en su fase de despliegue. Las prohibiciones relativas a determinadas prácticas de IA consideradas de riesgo inaceptable son aplicables desde el 2 de febrero de 2025. Desde el 2 de agosto de 2025 se aplican las normas de gobernanza y las obligaciones para los proveedores de modelos de IA de uso general. 

Más allá de su ámbito propio, estos textos se complementan y enriquecen mutuamente:

Esta convergencia crea un efecto de entramado normativo sin precedentes: cada nivel del ámbito digital (infraestructura, producto, servicio, algoritmo) está ahora cubierto por un requisito europeo de conformidad y responsabilidad. 

Esta evolución va acompañada de una reorientación en torno a tres pilares estratégicos: el cifrado, la soberanía de los datos y el enfoque Zero Trust. 

El cifrado, ahora imprescindible para cualquier cumplimiento normativo, garantiza la confidencialidad de la información crítica a lo largo de todo su ciclo de vida. La gestión soberana de datos, por su parte, busca garantizar el control y la localización de los tratamientos en infraestructuras conformes con los estándares europeos. Por último, el modelo Zero Trust (Confianza cero) se convierte en un marco operativo de referencia para articular seguridad, cumplimiento y confianza digital.

Para las empresas, eso significa el fin de una gestión fragmentada de la ciberseguridad y del cumplimiento. La gestión del riesgo pasa a ser integral: abarca el diseño técnico, la cadena de suministro, la gobernanza interna y los impactos sociales. Los equipos directivos deben considerar ahora la seguridad y el cumplimiento como un mismo eje estratégico, articulado en torno a la confianza, la transparencia y la resiliencia.