NIS2 y el RGPD pueden afectar al mismo sistema y al mismo incidente, pero exigen decisiones diferentes. El RGPD protege a las personas en relación con el tratamiento de sus datos. NIS2 establece un marco de ciberseguridad para determinadas entidades y servicios. Una organización necesita comprobar por separado su ámbito, los riesgos relevantes y las comunicaciones exigibles, aunque utilice equipos y evidencias comunes.
La comparación resulta especialmente útil al preparar un procedimiento de incidentes. No todo ciberataque genera una notificación de protección de datos, ni toda entidad que trata datos personales está incluida en NIS2. Tampoco basta con enviar un único informe sin verificar su destinatario y contenido. Este artículo compara el marco europeo y explica cómo trasladar el análisis a una organización que opera en España.
Diferenciar el texto europeo y su aplicación nacional
El RGPD es un reglamento directamente aplicable, con ámbitos material y territorial y excepciones propios. La Directiva NIS2, 2022/2555, requiere transposición nacional. Su plazo de transposición finalizó el 17 de octubre de 2024; ese vencimiento no permite tratar automáticamente un anteproyecto español como una ley aprobada.
La página de la Comisión Europea consultada el 30 de septiembre de 2026 recoge la decisión de 8 de julio de 2026 de llevar a España, junto con otros Estados, ante el Tribunal de Justicia por no notificar medidas de transposición. Ese hito es más reciente que el dictamen motivado de mayo de 2025, pero no sustituye la comprobación de las publicaciones nacionales posteriores.
Por ello, los plazos y umbrales NIS2 descritos a continuación se atribuyen a la directiva. Antes de incorporarlos como obligaciones nacionales concretas, identifique el texto español vigente, su entrada en vigor, el régimen transitorio y la autoridad designada. El seguimiento de NIS2 en España debe contrastarse con el BOE. Una propuesta, un anuncio gubernamental y una norma publicada son fuentes con efectos distintos.
Esta comprobación no justifica paralizar las medidas de seguridad ni ignorar obligaciones ya aplicables por otras normas o contratos. Permite preparar el marco NIS2 sin inventar un régimen nacional. Registre la fecha y la fuente de la evaluación, y asigne a alguien la revisión de cambios. En un grupo internacional, repita el análisis en cada jurisdicción relevante.
Determinar quién está sujeto a cada régimen
El RGPD se aplica a los tratamientos incluidos en sus artículos 2 y 3, tanto por responsables como por encargados. No depende de que la entidad pertenezca a un sector crítico ni de que tenga un determinado número de empleados. Al mismo tiempo, no abarca cualquier uso de información sin excepciones: hay que considerar su ámbito material, territorial y las exclusiones previstas.
NIS2 utiliza categorías de los anexos I y II y, como regla, criterios de tamaño vinculados a la definición europea de empresa mediana. Existen inclusiones independientes del tamaño, por ejemplo para determinados servicios de confianza, DNS y registros de nombres de dominio, además de supuestos de criticidad y decisiones nacionales. Una empresa pequeña no puede descartarse únicamente por su plantilla.
La distinción entre entidades esenciales e importantes exige revisar el artículo 3, no limitarse a una etiqueta comercial. Ambas categorías están sujetas al marco de gestión de riesgos y notificación previsto en la directiva, aunque existan diferencias de supervisión y sanción. Documente el servicio concreto, el anexo, el tamaño pertinente y cualquier excepción o designación que cambie el resultado.
También importa la jurisdicción. El artículo 26 parte del establecimiento, con reglas específicas para comunicaciones electrónicas, ciertos servicios digitales y administraciones públicas. Para los proveedores digitales allí enumerados, el establecimiento principal sigue criterios relativos a las decisiones y operaciones de ciberseguridad, con reglas adicionales. La sede de un cliente español no determina por sí sola la autoridad competente de todo proveedor extranjero.
Comparar los riesgos sin reducirlos a una sola puntuación
El artículo 32 del RGPD exige seguridad adecuada al riesgo para los derechos y libertades. Una exposición de historias clínicas puede afectar a la intimidad, la discriminación o la seguridad de las personas aunque el servicio continúe funcionando. También una pérdida de disponibilidad puede tener consecuencias personales relevantes, especialmente si impide acceder a un tratamiento o ejercer un derecho.
El artículo 21 de NIS2 contempla medidas técnicas, operativas y organizativas adecuadas y proporcionadas sobre los sistemas y su entorno físico. Tiene en cuenta exposición, tamaño, probabilidad y gravedad, incluidas repercusiones sociales y económicas. Su enfoque incluye continuidad, proveedores, vulnerabilidades, recursos humanos y gestión de crisis, además de controles tecnológicos.
Utilice una descripción común del escenario, pero conserve las dos evaluaciones. Por ejemplo, una interrupción de suministro puede ser grave por su efecto sobre destinatarios y otros servicios aun sin una exposición de datos. Una filtración pequeña en volumen puede ser grave para una persona especialmente vulnerable. El número de registros o las horas de caída, aislados, no resuelven todos los criterios.
El trabajo en el sector energético ilustra esta necesidad: la disponibilidad de un sistema operativo y la confidencialidad de los datos de clientes requieren controles relacionados, pero sus impactos no se calculan exactamente igual. El mismo razonamiento sirve para otros sectores sin trasladar automáticamente sus umbrales o reglas particulares.
Compartir controles con evidencias diferenciadas
Una gestión sólida de identidades, copias de seguridad y vulnerabilidades puede contribuir a ambos marcos. El RGPD menciona expresamente disponibilidad, resiliencia, restauración y evaluación regular de las medidas; no es correcto presentar la continuidad como meramente implícita. NIS2 desarrolla una lista de elementos que deben formar parte de la gestión proporcionada de riesgos.
La lista de NIS2 incluye políticas de análisis de riesgos, incidentes, continuidad, cadena de suministro, adquisición y mantenimiento seguro, evaluación de eficacia, ciberhigiene y formación. Incluye también políticas sobre criptografía y, cuando proceda, cifrado, así como autenticación multifactorial y comunicaciones seguras en los términos de su artículo 21. No convierta cada tecnología mencionada en una solución universal independiente del contexto.
Un informe de restauración puede demostrar que el servicio se recuperó y que los datos conservaron su integridad. Añada quién validó el resultado, el alcance, los tiempos y las deficiencias pendientes. Para protección de datos, conecte esa evidencia con los tratamientos y riesgos personales; para NIS2, con los servicios y sistemas afectados. La misma prueba puede reutilizarse sin afirmar que acredita por sí sola el cumplimiento completo.
El registro de actividades y el inventario técnico tienen funciones distintas. Pueden relacionarse mediante identificadores comunes, pero una lista de servidores no sustituye las finalidades, categorías y destinatarios del registro. Al evaluar software de cumplimiento, compruebe qué documentación necesita gestionar realmente la organización, sin atribuir a una herramienta funciones NIS2 que no se hayan verificado.
Identificar una violación de datos personales
Una violación puede afectar a confidencialidad, integridad o disponibilidad de datos personales. No exige necesariamente una exfiltración. El responsable debe valorar si es improbable que la violación entrañe riesgo para los derechos y libertades: esa es la excepción que puede permitir no notificar a la autoridad conforme al artículo 33.
Cuando procede, la notificación se realiza sin dilación indebida y, si es posible, dentro de las 72 horas desde que se tiene constancia. Si se supera ese plazo, se explican los motivos. Puede facilitarse información por fases sin dilación indebida cuando no sea posible aportarla simultáneamente. La investigación continúa, pero no debe utilizarse como razón automática para esperar a conocer todos los detalles.
Todas las violaciones se documentan, incluidas las no notificadas. La comunicación a los interesados cuando sea probable un riesgo alto se analiza separadamente según el artículo 34, con sus excepciones. La guía de brechas de seguridad desarrolla esta evaluación. Si la organización actúa como encargada, informa al responsable sin dilación indebida; no debe asumir que dispone de un plazo propio de 72 horas para hacerlo.
La autoridad destinataria se determina conforme a las reglas aplicables, incluidas las competencias nacionales y los mecanismos transfronterizos. La AEPD es una referencia central en España, pero no describa toda situación como si excluyera a otras autoridades competentes. Compruebe el papel de la entidad y la competencia antes del incidente, para evitar consultas improvisadas durante la crisis.
Identificar un incidente significativo según NIS2
El artículo 23 considera significativo un incidente que haya causado o pueda causar graves perturbaciones operativas o pérdidas económicas para la entidad, o que haya afectado o pueda afectar a otras personas físicas o jurídicas causando perjuicios materiales o inmateriales considerables. La posibilidad de causar esos efectos también importa. No es necesario esperar a que el daño se haya materializado por completo.
Ese criterio no se reduce a «hay datos personales» ni a una cantidad monetaria única para todos los sectores. Deben revisarse las concreciones aplicables al servicio, incluidos los actos de ejecución pertinentes. El procedimiento debe recoger por qué se considera alcanzado o no el umbral, qué información falta y cuándo se revisará la decisión si cambian los hechos.
La directiva dirige la notificación al CSIRT o, cuando corresponda, a la autoridad competente. No son conceptos intercambiables con cualquier canal de ayuda técnica. Identifique el destinatario y la vía exigida por el marco nacional y sectorial aplicable; conserve una alternativa operativa si el canal habitual falla. La notificación de incidentes NIS2 necesita esa preparación específica.
Aplicar la secuencia de comunicaciones del artículo 23
La alerta temprana se presenta sin demora indebida y, en todo caso, dentro de las 24 horas desde que se tiene constancia del incidente significativo. Incluye, cuando proceda, la sospecha de acción ilícita o malintencionada y posibles repercusiones transfronterizas. Es una primera advertencia, no el informe técnico definitivo.
La notificación posterior se presenta sin demora indebida y, en todo caso, dentro de las 72 horas desde ese conocimiento. Actualiza la información e incluye una evaluación inicial de gravedad e impacto y los indicadores de compromiso disponibles. Como excepción, los prestadores de servicios de confianza deben presentar esta notificación en 24 horas para los incidentes significativos que afecten a la prestación de sus servicios de confianza.
El CSIRT o la autoridad puede pedir un informe intermedio. El informe final se presenta, como máximo, un mes después de la notificación del incidente, con descripción, causa probable, medidas y repercusiones transfronterizas cuando proceda. Si el incidente sigue en curso en ese momento, se presenta un informe de situación y, después, el informe final dentro de un mes desde que se haya gestionado el incidente.
No mezcle estos puntos de partida: el informe final no se cuenta simplemente desde el ataque ni desde la primera alerta. La directiva también prevé, cuando proceda, comunicaciones a destinatarios de servicios afectados y sobre medidas frente a ciberamenazas significativas. Estas comunicaciones tienen una finalidad propia y no sustituyen automáticamente el mensaje del artículo 34 del RGPD a los titulares de datos.
Coordinar un incidente con dos expedientes jurídicos
Imagine un caso hipotético: un ataque cifra sistemas de un prestador sanitario que está incluido en el régimen NIS2 aplicable y bloquea el acceso a datos de pacientes. El equipo técnico preserva evidencias y trabaja en la contención. En paralelo, se evalúan los efectos sobre el servicio y sobre las personas, y se registran los momentos en que existe conocimiento suficiente para cada obligación.
Un único responsable operativo puede coordinar la recopilación de hechos, mientras los responsables de cumplimiento validan destinatarios, contenido y plazos. Mantenga una cronología común con versiones de la información, decisiones de notificar, justificantes y pendientes. Si se descarta una obligación, documente el motivo y las condiciones que provocarían su reevaluación.
Evite incluir datos personales innecesarios en los informes de ciberseguridad. Puede ser suficiente describir categorías o aportar indicadores técnicos depurados. La obligación de informar de un incidente no autoriza difundir libremente expedientes completos. Defina quién puede acceder a las pruebas, cómo se conservan y cómo se comparten con asesores y prestadores sin perder control sobre ellas.
Dirección, régimen sectorial y sanciones
El artículo 20 exige que los Estados garanticen la aprobación y supervisión de las medidas por los órganos de dirección, su responsabilidad por incumplimientos en los términos aplicables y formación de sus miembros. No permite afirmar que cualquier incidente genera automáticamente una multa personal al director. Deben examinarse la conducta, el régimen de responsabilidad y la transposición nacional, incluidas las particularidades de instituciones públicas.
En el sector financiero, DORA debe analizarse como acto sectorial de la Unión en relación con NIS2. El artículo 4 de la directiva evita duplicar las disposiciones pertinentes cuando el acto sectorial exige medidas o notificaciones de efecto al menos equivalente. No significa que toda empresa relacionada con finanzas quede exenta de NIS2, ni que desaparezcan sus obligaciones independientes de protección de datos.
El artículo 34 exige que los máximos nacionales para incumplir los artículos 21 o 23 sean, al menos, diez millones de euros o el 2 % del volumen mundial anual para entidades esenciales, y siete millones o el 1,4 % para importantes, tomando la cifra mayor. Son mínimos exigidos al máximo sancionador nacional, no importes automáticos ni necesariamente un techo idéntico en todos los países.
El RGPD dispone de distintos niveles sancionadores según la infracción, con el nivel superior de veinte millones de euros o el 4 % del volumen mundial anual empresarial, si es mayor. Una comparación de porcentajes no sustituye el análisis de hechos y competencias. La guía de sanciones NIS2 permite profundizar sin convertir cualquier fallo técnico en una sanción predeterminada.
Si la organización incorpora sistemas de IA, revise también su encaje en el Reglamento de Inteligencia Artificial. La coordinación documental ayuda, pero cada marco conserva sus sujetos, supuestos y decisiones. El resultado operativo debe ser un procedimiento que identifique qué se aplica, quién decide y qué prueba queda de cada actuación, con revisiones cuando cambian los servicios o las normas.