Paso a paso
1Determine si aplica
Revise si su sector y tamaño la convierten en entidad esencial o importante en un Estado miembro, según la ley nacional de transposición.
En ATLAS: El proyecto del marco fija alcance, responsable y fechas; sin él no avanza la implementación.
2Comprometa a los órganos de dirección (artículo 20)
Los órganos de dirección aprueban las medidas, supervisan su aplicación y reciben formación.
En ATLAS: Responsables elegidos entre las personas de su organización, con roles propios del marco.
3Aplique medidas de gestión de riesgos (artículo 21)
Políticas de riesgo, gestión de incidentes, continuidad, seguridad de la cadena de suministro, desarrollo seguro, criptografía, control de acceso y formación, entre otras.
En ATLAS: Cada medida se evalúa con criterios y evidencias.
4Prepare la notificación de incidentes (artículo 23)
Ante un incidente significativo: alerta rápida al CSIRT o autoridad competente en 24 horas, notificación del incidente en 72 horas, informes intermedios si se los piden e informe final a más tardar un mes después de la notificación.
En ATLAS: Incidentes registrados con fecha y hora.
5Evalúe y mejore
Evalúe la eficacia de las medidas y corrija las brechas.
En ATLAS: Acciones correctivas cerradas solo con verificación de eficacia.
Recomendaciones
Si su organización está fuera de la UE, revise si presta servicios allí o es proveedor de una entidad obligada.
Consulte la ley de transposición de cada Estado miembro donde opera: puede añadir obligaciones.
Preguntas frecuentes
¿Aplica a empresas colombianas?
Directamente, solo si prestan servicios en la Unión Europea dentro de los sectores cubiertos; para algunos servicios digitales deben designar un representante en la UE (artículo 26). Indirectamente, un cliente obligado puede exigirles medidas como proveedor, porque el artículo 21 incluye la seguridad de la cadena de suministro.
¿Desde cuándo se aplica?
Los Estados miembros debían adoptar y publicar sus leyes de transposición a más tardar el 17 de octubre de 2024 y aplicarlas desde el 18 de octubre de 2024 (artículo 41). Lo que obliga a cada entidad es la ley nacional del país donde opera.
Fuentes consultadas el 5 de noviembre de 2026: Directiva (UE) 2022/2555 (EUR-Lex) · Texto en español (BOE, DOUE-L-2022-81963).
Estado de la edición
Propuesta de reforma en trámite. La Directiva (UE) 2022/2555 sigue vigente. En enero de 2026 la Comisión Europea propuso modificarla (alcance, categoría de pequeñas empresas de mediana capitalización, notificación de ransomware); la propuesta está en trámite y no cambia las obligaciones actuales.
Registro verificado de ATLAS, consultado el 2026-10-27 · fuente.
¿Quiere hacerlo con ATLAS?
Vea cómo la plataforma acompaña cada paso y solicite una demostración.
Ver NIS2 en ATLAS →