# NIS2 y gestión de vulnerabilidades Guías Qué pide la directiva NIS2 sobre las vulnerabilidades, qué significa en la práctica y dónde ayuda un servicio que te dice cada día cuáles importan. Última actualización: 25 de octubre de 2026 ## A quién afecta La directiva (UE) 2022/2555, conocida como NIS2, obliga a los Estados miembros a imponer medidas de ciberseguridad a las entidades «esenciales» e «importantes» de muchos sectores, entre ellos energía, transporte, banca, sanidad, agua, infraestructuras digitales, servicios gestionados, administración pública, servicios postales, residuos, química, alimentación, fabricación, proveedores digitales e investigación. En general afecta a las medianas y grandes empresas; algunas entidades están incluidas sea cual sea su tamaño. Los Estados miembros debían transponerla a más tardar el 17 de octubre de 2024 y aplicarla desde el 18 de octubre de 2024. Cada uno lo hace con su propia ley, y es la ley nacional la que dice quién está incluido, cómo registrarse y en qué plazos: consulta a tu autoridad nacional. ## Qué pide sobre las vulnerabilidades - **Medidas de gestión de riesgos** (artículo 21): técnicas, operativas y organizativas, adecuadas y proporcionadas. Entre las mínimas está la seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, «incluida la gestión y divulgación de las vulnerabilidades», junto con la seguridad de la cadena de suministro y las prácticas básicas de ciberhigiene. - **Responsabilidad de la dirección** (artículo 20): los órganos de dirección aprueban las medidas, supervisan su aplicación y siguen una formación. - **Notificación de incidentes significativos** (artículo 23): una alerta temprana en las 24 horas siguientes a tener conocimiento, una notificación del incidente en las 72 horas y un informe final como máximo un mes después de la notificación. - **Base de datos europea de vulnerabilidades** (artículo 12): la gestiona la ENISA, con la descripción de las vulnerabilidades, los productos afectados, su gravedad y las correcciones disponibles. - **Multas** (artículo 34): importes máximos de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y de al menos 7 millones de euros o el 1,4 % para las importantes; se aplica el importe más alto. Para algunas entidades del sector digital (servicios de computación en nube y centros de datos, servicios gestionados y servicios de seguridad gestionados, DNS, registros de nombres de dominio, redes de distribución de contenidos, mercados en línea, motores de búsqueda, redes sociales, servicios de confianza), el Reglamento de Ejecución (UE) 2024/2690 entra en detalle, también sobre la gestión de parches de seguridad y de vulnerabilidades. ## Qué significa en la práctica La directiva no dice qué herramientas usar ni fija plazos para cada corrección: pide medidas proporcionadas al riesgo y poder demostrarlas. Normalmente significa: - saber qué sistemas y productos usas, y cuáles están expuestos a internet; - informarte cada día, en fuentes fiables, sobre las vulnerabilidades que les afectan; - tener un criterio de prioridad (explotación, exposición, gravedad) y plazos de actuación; - dejar constancia de las decisiones: corregido, mitigado de otra forma o riesgo aceptado; - asignar responsabilidades e implicar a la dirección. ## Dónde ayuda DefenceLevel - **Cada día a las 05:00 UTC**, solo las vulnerabilidades que importan, con el nivel, los productos afectados, las versiones corregidas y qué hacer; una alerta inmediata en DEFCON 1 y 2. - **[My Defence](https://defencelevel.com/es/#mydefence)**: dibujas tu infraestructura, zona por zona, con los productos que usas, y recibes alertas e informes solo sobre ellos. - **El archivo de los informes**, en el panel: qué se sabía y cuándo, para documentar las decisiones. DefenceLevel no hace que una organización cumpla la NIS2 ni sustituye el análisis de riesgos, los procedimientos internos o el consejo de un consultor: es una de las fuentes para saber, cada día, qué vulnerabilidades importan. ## Preguntas frecuentes ### ¿Mi empresa está incluida en la NIS2? Depende del sector y del tamaño, según la ley de tu país. Tu autoridad nacional publica los criterios y las instrucciones para el registro. ### ¿La NIS2 obliga a usar un servicio de threat intelligence? No. Pide gestionar las vulnerabilidades con medidas adecuadas; de dónde sacar la información lo decide la organización. ### ¿En cuánto tiempo hay que corregir una vulnerabilidad? La directiva no fija plazos para las correcciones: pide tiempos proporcionados al riesgo. Las vulnerabilidades explotadas activamente en sistemas expuestos van primero; la guía sobre [CVSS, EPSS y KEV](https://defencelevel.com/es/guides/cvss-epss-kev) explica cómo establecer un orden. ### ¿Hay que notificar un ataque que ha tenido éxito a través de una vulnerabilidad? Si es un incidente significativo, sí: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes, a la autoridad nacional o al CSIRT. --- Página web: https://defencelevel.com/es/guides/nis2