Las 10 medidas del artículo 21 de NIS2, explicadas
Publicado el
¿Qué medidas de seguridad exige el artículo 21 de NIS2?
El artículo 21.2 de la Directiva (UE) 2022/2555 enumera diez medidas mínimas que toda entidad esencial o importante debe implantar. Son estas:
- Políticas de seguridad de la información y análisis de riesgos.
- Gestión de incidentes.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, el desarrollo y el mantenimiento, con gestión de vulnerabilidades.
- Evaluación de la eficacia de las medidas.
- Ciberhigiene básica y formación.
- Criptografía y cifrado.
- Recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
No es un catálogo cerrado que se cumpla al 100 %: el art. 21.1 obliga a que las medidas sean proporcionadas al riesgo, al tamaño de la empresa y a su exposición. Y hay un matiz que casi ningún resumen cuenta: el enfoque es “de todos los peligros” y protege también “el entorno físico de dichos sistemas” (art. 21.2). La seguridad física —quién entra al CPD, dónde está el cuadro eléctrico— está dentro. Antes de invertir un euro conviene confirmar si te aplica NIS2.
Las 10 medidas del artículo 21, traducidas a tu empresa
Cada letra del art. 21.2 es una frase corta en la ley. Esto es lo que significa en una pyme de 100 empleados:
- a) Políticas y análisis de riesgos. “Las políticas de seguridad de los sistemas de información y análisis de riesgos.” Un documento marco aprobado por dirección y un análisis que diga qué proteges, de qué y con qué prioridad.
- b) Gestión de incidentes. Detectar, clasificar, responder y aprender. Quién hace qué a las tres de la madrugada cuando salta el ransomware.
- c) Continuidad y crisis. “La continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis.” Backups que se restauran de verdad, un plan para seguir operando y un protocolo para cuando el incidente desborda lo normal.
- d) Cadena de suministro. Controlar la seguridad de tus proveedores directos. Es la medida que más pyme arrastra sin estar obligada; la desarrollamos en seguridad de la cadena de suministro.
- e) Adquisición, desarrollo y vulnerabilidades. Comprar y mantener sistemas con criterios de seguridad y gestionar los agujeros que aparezcan, incluida su divulgación.
- f) Eficacia. “Políticas y procedimientos para evaluar la eficacia” de todo lo anterior. Medir si funciona, no dar por hecho que sí.
- g) Ciberhigiene y formación. Lo básico bien hecho —actualizaciones, contraseñas, limitar cuentas de administrador, copias— y formar a la plantilla, dirección incluida.
- h) Criptografía. Cifrar lo que lo merece —datos en reposo y en tránsito— y gestionar bien las claves.
- i) Recursos humanos, accesos y activos. Quién accede a qué, un inventario de activos vivo y las cautelas de personal.
- j) Autenticación multifactor. MFA (o autenticación continua) y comunicaciones seguras “cuando proceda”. El Reglamento 2024/2690 lo exige en las cuentas privilegiadas del sector digital. Para el resto es la referencia técnica, y la proporcionalidad del art. 21.1 lo vuelve prácticamente obligado en las cuentas de administración.
El checklist real: de la medida a la evidencia
Aquí está lo que ningún listado plano te da. Saber que “hay que gestionar incidentes” no te ayuda: la pregunta real es qué papel o qué registro demuestra que la tienes. Y esa traducción existe.
El Reglamento de Ejecución (UE) 2024/2690 desgrana las diez letras del art. 21.2 en requisitos concretos, y ENISA los acompaña con una guía técnica extensa (2025), con “ejemplos de evidencia” para cada uno. Con eso se arma esta tabla:
| Medida | Evidencia que demuestra que la tienes |
|---|---|
| a) Políticas y riesgos | Política de seguridad con la fecha de aprobación formal de la dirección + análisis de riesgos y plan de tratamiento; ambos revisados al menos una vez al año |
| b) Incidentes | Política con clasificación y roles + manuales de respuesta, cuadros de escalado, listas de contacto y plantillas + registros (logs) definidos |
| c) Continuidad | Plan de continuidad basado en un análisis de impacto + copias fuera de la red principal + registros de pruebas de restauración + protocolo de crisis con canal hacia las autoridades |
| d) Cadena de suministro | Política de proveedores + directorio de proveedores directos + contratos con cláusulas de notificación, auditoría, parcheo y fin de contrato |
| e) Adquisición y vulnerabilidades | Requisitos de seguridad en las compras TIC + escaneos de vulnerabilidades registrados + plan de mitigación (o justificación documentada de no parchear) |
| f) Eficacia | Procedimiento escrito de qué se mide, cómo, cuándo y quién + resultados de las revisiones |
| g) Ciberhigiene y formación | Programa de concienciación recurrente (incluye dirección y nuevas incorporaciones) + formación por roles + hojas de asistencia y evaluación |
| h) Criptografía | Política que diga qué se cifra (reposo y tránsito), con qué algoritmos y cómo se gestionan las claves |
| i) RR. HH., accesos y activos | Inventario de activos actualizado + control de accesos + verificación de antecedentes para roles sensibles + procedimiento disciplinario |
| j) MFA y comunicaciones | Registros que muestren el MFA en uso + configuración de la solución + política que diga dónde se exige (correo, VPN, administración) |
Dos avisos sobre esta tabla. El Reglamento 2024/2690 es jurídicamente vinculante solo para las entidades del sector digital (DNS, nube, centros de datos, MSSP, mercados y buscadores, entre otros; art. 21.5); para el resto es hoy la referencia técnica europea más autorizada sobre cómo aterrizar el art. 21, no una obligación directa. Y la guía de ENISA es explícitamente no vinculante: su propio texto avisa de que exigir todas las evidencias listadas sería un enfoque de supervisión muy estricto.
¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.
Dos reglas que cambian cómo lees la lista
1. Es una tabla que se aplica con distinta intensidad según tu riesgo — no un checklist al 100 %, pero tampoco un menú del que elegir: de las diez, nadie te exime. El art. 21.1 obliga a modular las medidas por tamaño, exposición, probabilidad y coste. Para tu pyme de 100 empleados, la pregunta correcta no es “¿tengo las diez perfectas?”, sino “¿puedo enseñar un papel o un registro por cada una, proporcional a mi riesgo?”. Eso también significa que el gasto se dosifica; hemos desglosado cuánto cuesta implantarlas sin sobredimensionar.
2. Es evidencia viva, no una carpeta muerta. Casi todos los puntos del Reglamento exigen revisión periódica: la política, al menos una vez al año; los riesgos, como mínimo cada año; las pruebas de backup y los planes de crisis, con registros. Y el art. 21.4 obliga a corregir “sin demora indebida” en cuanto detectes que incumples. Un juego de políticas de hace tres años sin registros de revisión no es prueba de cumplimiento: es prueba de lo contrario.
¿Tienes que certificarte para cumplir?
No, la Directiva no lo exige. El art. 25 fomenta usar normas europeas e internacionales “sin imponer ni favorecer” ninguna en concreto, y el art. 24 solo permite a cada Estado exigir productos o servicios TIC certificados bajo esquemas europeos. NIS2 no impone ISO 27001 ni el ENS.
Otra cosa es que certificarse sea el atajo práctico: un certificado ISO 27001 o una conformidad con el ENS producen justo el tipo de evidencia de la tabla de arriba. Son un medio útil, no un deber legal. ¿Y desde cuándo y cómo lo exigirá España en concreto? El estado real es este:
Qué hacer con esto esta semana
- No empieces por comprar tecnología. Empieza por el papel: para cada una de las diez letras, pregúntate qué registro podrías enseñar hoy. Las casillas vacías son tu plan de trabajo.
- Sube el art. 20 a la agenda de dirección. El órgano de dirección debe aprobar estas medidas, supervisar su aplicación y responde por el incumplimiento (art. 20.1), además de formarse (art. 20.2). Sin firma arriba, la medida a) ni siquiera cuenta.
- Prioriza por riesgo, no por letra. Si vives del correo y el ERP, MFA (j), backups restaurables (c) y ciberhigiene (g) van primero. La proporcionalidad del art. 21.1 no es una excusa: es tu criterio de orden.
Preguntas frecuentes
¿Cuáles son las 10 medidas de NIS2?
Las lista el artículo 21.2: políticas de seguridad y análisis de riesgos; gestión de incidentes; continuidad de negocio, copias de seguridad y gestión de crisis; seguridad de la cadena de suministro; seguridad en adquisición, desarrollo y mantenimiento, con gestión de vulnerabilidades; evaluación de la eficacia de las medidas; ciberhigiene y formación; criptografía; recursos humanos, control de acceso y activos; y autenticación multifactor con comunicaciones seguras.
¿NIS2 exige certificarse en algo?
No. La Directiva no obliga a ninguna certificación: el artículo 25 fomenta usar normas europeas e internacionales sin imponerlas, y el artículo 24 solo permite a cada Estado exigir productos o servicios TIC certificados bajo esquemas europeos. Un certificado como ISO 27001 o ENS sirve para demostrar las medidas, pero es un medio, no una obligación de la Directiva.
¿Qué es la gestión de crisis que pide el artículo 21?
Es la parte de la medida c): procesos escritos para operar cuando el incidente desborda lo normal. El Reglamento 2024/2690 la concreta con roles y responsabilidades asignados para la crisis, medios de comunicación con las autoridades y los CSIRT, medidas para mantener la seguridad de los sistemas durante la crisis y pruebas y actualización periódicas del plan.
Fuentes oficiales citadas
¿Te afecta esta normativa?
Pide tu evaluación de aplicabilidad gratuita: en una llamada de 30 minutos te decimos qué obligaciones tienes, qué plazos corren y por dónde empezar.
Pedir mi diagnóstico gratuitoEl contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.