NIS2 en Polonia: a quién obliga, plazos de la KSC y cómo cumplir

Guía integral para comprender, implementar y aprovechar NIS2 en una organización que opera en Polonia.

1. Introducción: ¿qué es NIS2 y por qué debería importarte?

Imagina que diriges una empresa en Polonia. Tienes clientes, proveedores, empleados, sistemas informáticos, información financiera y probablemente diferentes plataformas tecnológicas que permiten que tu negocio funcione.

Ahora imagina que mañana sufres un ciberataque que provoca que:

• Tus sistemas dejen de funcionar durante varios días.
• Tus empleados pierdan acceso a información necesaria para trabajar.
• Los datos de tus clientes queden expuestos.
• Tus proveedores no puedan comunicarse contigo.
• Tu empresa pierda ingresos, enfrente reclamaciones y deba explicar ante las autoridades cómo ocurrió el incidente.

NIS2 nace precisamente para reducir la probabilidad y las consecuencias de situaciones como estas.

La Directiva NIS2 (Network and Information Security Directive 2) es una normativa de la Unión Europea que busca elevar el nivel de ciberseguridad de organizaciones que prestan servicios importantes para la economía, la sociedad y el funcionamiento de los Estados miembros.

Su propósito no es simplemente obligarte a instalar antivirus, contratar un firewall o adquirir herramientas informáticas.

Busca que tu organización tenga la capacidad de:

1. Identificar los riesgos tecnológicos que podrían afectar sus operaciones.
2. Prevenir incidentes mediante controles adecuados.
3. Detectar y responder oportunamente a posibles ataques.
4. Mantener o recuperar sus servicios cuando ocurra un problema.
5. Demostrar que administra responsablemente su seguridad informática.

La idea fundamental es que la ciberseguridad deje de ser un asunto exclusivo del departamento informático y se convierta en una responsabilidad empresarial.

Esto involucra a la dirección general, los responsables tecnológicos, los abogados, los contadores, los responsables de recursos humanos y, en diferentes grados, a toda la organización.

¿NIS2 ya es obligatoria en Polonia?

Sí. Polonia incorporó NIS2 a su legislación mediante una reforma de la Ustawa o krajowym systemie cyberbezpieczeństwa (Ley del Sistema Nacional de Ciberseguridad), conocida como KSC.

La reforma fue aprobada el 23 de enero de 2026, publicada el 2 de marzo de 2026 y entró en vigor el 3 de abril de 2026.

Su referencia oficial es Dz.U. 2026 poz. 252.

El presidente firmó la ley el 19 de febrero de 2026 y anunció que pediría al Tribunal Constitucional revisar, en control posterior, parte de sus disposiciones, entre ellas el régimen sancionador. Ese control no suspende la vigencia de la ley.

Por tanto, no se trata de una propuesta legislativa ni de una normativa pendiente de aprobación: la norma está vigente y muchas organizaciones se encuentran en fase de adaptación.

Fechas que debes conocer

Estas fechas corresponden al calendario oficial, pero existen reglas particulares según la categoría de entidad, su fecha de incorporación al ámbito regulado y su situación anterior.

Atención: el plazo inicial de inscripción venció el 3 de octubre de 2026. Si tu organización debía inscribirse y todavía no lo ha hecho, debes revisar inmediatamente su clasificación y regularizar la situación. El periodo general de adaptación hasta abril de 2027 no equivale a una prórroga automática de la inscripción.

2. ¿Qué empresas están obligadas a cumplir NIS2 en Polonia?

Una de las primeras preguntas que probablemente te harías es:

¿Mi empresa realmente está obligada a implementar NIS2?

La respuesta depende de tres elementos fundamentales:

• El sector económico en el que operas.
• El tamaño y las características de tu organización.
• La importancia de los servicios que proporcionas.

La normativa polaca distingue entre dos categorías de organizaciones.

Entidades esenciales (podmioty kluczowe)

Son organizaciones cuya actividad tiene especial importancia para el funcionamiento del país, sus servicios fundamentales o su infraestructura.

Por ejemplo, determinadas empresas de energía, instituciones financieras, operadores de infraestructura digital y organizaciones sanitarias.

Están sujetas a obligaciones de seguridad, supervisión y auditoría más exigentes.

Entidades importantes (podmioty ważne)

Son organizaciones cuya actividad también puede tener consecuencias relevantes si sufren un incidente, aunque su clasificación y régimen de supervisión sean diferentes.

Por ejemplo, determinadas empresas de fabricación, distribución alimentaria, servicios postales y servicios digitales.

Ambas categorías tienen obligaciones de ciberseguridad. La clasificación no significa que las entidades importantes puedan prescindir de controles; influye especialmente en el régimen de supervisión y en determinadas obligaciones de auditoría.

Sectores considerados por la normativa

Esta tabla es una simplificación. Los anexos 1 y 2 de la KSC identifican actividades y tipos específicos de entidades; no todas las empresas de un sector quedan automáticamente incluidas.

¿Influye el tamaño de tu empresa?

Sí, aunque no es el único criterio.

En términos generales, la normativa utiliza la definición europea de tamaño empresarial, que considera empleados, facturación, balance y, en determinados casos, empresas vinculadas o asociadas.

Como orientación:

No debes utilizar esta tabla como una prueba definitiva de clasificación. La KSC polaca establece excepciones relevantes.

Por ejemplo, los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel (TLD), quienes prestan servicios de registro de nombres de dominio y los prestadores cualificados de servicios de confianza son entidades esenciales independientemente de su tamaño (art. 5, apartado 1, punto 4, de la KSC). También existen reglas específicas para proveedores de ciberseguridad gestionada, servicios de comunicaciones electrónicas y ciertas entidades públicas.

Además, la clasificación puede depender de la relación con otras empresas.

¿Y qué pasa con una pequeña empresa de tecnología?

Supongamos que tienes una empresa que ofrece alojamiento web, administración de servidores, respaldos y servicios de ciberseguridad.

No sería correcto afirmar que estás automáticamente exento porque solamente tienes cinco empleados.

Debes revisar si tu actividad encaja jurídicamente en categorías como:

• MSP (Managed Service Provider): proveedor que administra sistemas, redes, aplicaciones o infraestructura tecnológica de terceros.
• MSSP (Managed Security Service Provider): proveedor que administra servicios relacionados con la seguridad informática de terceros.
• Cloud Provider: proveedor de servicios de computación cloud (cloud computing).
• DNS Provider: proveedor de servicios DNS.

Estas categorías pueden tener tratamientos distintos. Por ejemplo, la legislación polaca contempla expresamente a proveedores de servicios de ciberseguridad gestionada dentro de sus reglas particulares de clasificación.

También debes distinguir entre revender un servicio, administrar activamente la infraestructura de un cliente y operar una infraestructura propia. No siempre representan la misma actividad regulada.

Conclusión: antes de contratar cualquier implementación NIS2, necesitas determinar formalmente si tu empresa está obligada, por qué actividad y bajo qué categoría.

A. NIS2 desde la perspectiva del empresario

3. ¿Qué significa implementar NIS2 en tu empresa?

Desde una perspectiva empresarial, implementar NIS2 significa establecer un sistema organizado para identificar, prevenir, gestionar y reducir los riesgos informáticos que podrían interrumpir tus operaciones.

No consiste exclusivamente en comprar tecnología.

De hecho, una organización podría invertir una cantidad considerable en seguridad informática y seguir incumpliendo si carece de políticas, responsabilidades definidas, procedimientos o evidencia de que sus controles funcionan.

Ejemplo práctico

Imagina que administras una empresa de distribución de productos alimenticios.

Tienes almacenes, empleados, sistemas de inventario, pedidos y facturación.

Tu infraestructura tecnológica podría estar alojada en servidores de un tercero.

Un ataque de ransomware bloquea el sistema de inventarios y la operación comercial durante tres días.

Sin una estrategia de seguridad, posiblemente no sepas:

• Cuáles fueron los sistemas afectados.
• Si las copias de seguridad funcionan.
• Quién debe autorizar la recuperación.
• Qué proveedores necesitan intervenir.
• Qué autoridades deben recibir información.
• Cuánto tiempo tardarás en recuperar las operaciones.

Con una implementación adecuada, deberías contar con procedimientos que reduzcan esa incertidumbre.

La empresa tendría identificados sus sistemas importantes, personas responsables, protocolos de emergencia, alternativas operativas y mecanismos para recuperar sus servicios.

NIS2 busca que tu negocio sea capaz de resistir y superar incidentes, no que puedas garantizar que nunca ocurrirán.

4. ¿Qué necesitas implementar realmente?

La KSC exige que las entidades incluidas establezcan un System Zarządzania Bezpieczeństwem Informacji, conocido como SZBI, que puede traducirse como Sistema de Gestión de Seguridad de la Información.

Se trata de un conjunto de políticas, procesos, responsabilidades, controles y evidencias para administrar los riesgos de seguridad de forma continua.

Los principales componentes pueden explicarse así:

Estos componentes reflejan las obligaciones de gestión de riesgos de la KSC, especialmente su artículo 8.

¿Tienes que implementar todo desde cero?

No necesariamente.

Si ya utilizas Microsoft 365, Google Workspace, un sistema ERP, un proveedor de hosting administrado o soluciones profesionales de seguridad, probablemente cuentes con determinadas capacidades aprovechables.

Sin embargo, tendrás que comprobar:

Primero, si las herramientas existentes proporcionan el nivel de seguridad necesario.

Segundo, si están correctamente configuradas.

Tercero, si existen políticas y procedimientos para utilizarlas.

Cuarto, si puedes demostrar que esos procedimientos se cumplen.

Por ejemplo, tener copias de seguridad no demuestra por sí solo que puedas recuperar tus operaciones. Necesitas comprobar que funcionan y definir cuánto tiempo puedes permanecer sin servicio.

5. ¿Qué beneficios empresariales puedes obtener?

Aunque la implementación responda a una obligación regulatoria, sus beneficios pueden superar el cumplimiento formal.

Reducción de riesgos operativos

Menos exposición a ataques, errores humanos, pérdida de información e interrupciones.

Protección de ingresos

Si tus servicios dependen de sistemas digitales, cualquier interrupción puede representar pérdidas económicas.

Una estrategia de continuidad puede reducir la duración y el impacto financiero de esas interrupciones.

Mayor confianza comercial

Cada vez que una organización grande contrata servicios tecnológicos, logísticos o industriales, necesita entender los riesgos de sus proveedores.

Contar con controles documentados puede facilitar sus procesos de evaluación.

Mejores condiciones para crecer

Una empresa que tiene procedimientos definidos, accesos organizados, infraestructura documentada y controles verificables suele encontrarse mejor preparada para crecer sin multiplicar desordenadamente sus riesgos.

Menor dependencia de personas concretas

Es habitual encontrar organizaciones donde solamente una persona conoce las contraseñas, servidores o procedimientos importantes.

NIS2 impulsa mecanismos para reducir esa dependencia mediante documentación, responsabilidades y continuidad operativa.

6. ¿Cuánto cuesta implementar NIS2?

No existe una tarifa oficial única para implementar NIS2.

El presupuesto dependerá de las características de tu organización y del estado actual de su seguridad.

Para determinarlo conviene separar tres conceptos:

Por ejemplo, una empresa con sistemas centralizados y controles maduros podría necesitar principalmente documentación, ajustes y evidencia.

Otra empresa con servidores obsoletos, accesos compartidos, respaldos deficientes y ausencia de procedimientos necesitaría un proyecto considerablemente mayor.

La implementación debe dimensionarse por riesgos y obligaciones reales, no por la cantidad de productos tecnológicos que alguien quiera venderte.

B. NIS2 desde la perspectiva del director técnico

7. ¿Qué debe evaluar un CTO, CIO o responsable de tecnología?

Ahora imaginemos que eres responsable de tecnología.

La dirección general te comunica que necesita implementar NIS2 y te pregunta cuánto costará y cuánto tiempo tomará.

Tu primer trabajo no debería ser seleccionar herramientas.

Deberías determinar si la organización puede cumplir sus obligaciones con la infraestructura, los procesos y el equipo que ya posee.

Esto se conoce como evaluación de viabilidad y análisis de brechas, frecuentemente llamado Gap Analysis.

8. Etapa inicial: conocer tu infraestructura

Necesitas identificar los componentes tecnológicos de los que dependen tus servicios.

Por ejemplo:

El resultado debería ser un inventario suficientemente completo para comprender las dependencias de los servicios importantes.

Ejemplo

Una clínica utiliza:

• Un sistema médico alojado en un servicio cloud.
• Una base de datos de pacientes.
• Un sistema de facturación.
• Computadoras de recepción.
• Una red inalámbrica para empleados.
• Un proveedor externo que administra la infraestructura.

Todos estos componentes presentan riesgos diferentes.

Es posible que perder acceso al correo electrónico durante treinta minutos sea tolerable, pero perder acceso a historiales médicos durante varias horas tenga consecuencias importantes.

NIS2 requiere identificar estas diferencias para asignar controles proporcionales.

9. Evaluación de riesgos: el centro de la implementación

No todos los riesgos son iguales.

Por ejemplo, considera tres situaciones:

El objetivo no consiste en eliminar absolutamente todos los riesgos, algo prácticamente imposible.

Consiste en identificarlos, valorar su probabilidad e impacto, establecer controles proporcionados y documentar las decisiones.

También necesitas determinar quién puede aceptar un riesgo residual.

En una organización regulada, esa decisión no debería quedar informalmente en manos del administrador del servidor.

10. Controles tecnológicos recomendados

La siguiente tabla traduce los principales ámbitos de seguridad a tecnologías y prácticas conocidas.

No significa que cada producto sea obligatorio por su nombre. La decisión debe estar fundamentada en la evaluación de riesgos.

Dos conceptos merecen especial atención.

BCP (Business Continuity Plan): es el plan que explica cómo seguirá funcionando el negocio cuando ocurra una interrupción.

DRP (Disaster Recovery Plan): explica cómo recuperarás los sistemas tecnológicos después de un incidente importante.

No son equivalentes.

El BCP se preocupa por mantener las operaciones empresariales; el DRP se concentra en recuperar los sistemas que las soportan.

Dos indicadores importantes

RTO (Recovery Time Objective) indica cuánto tiempo máximo deseas tardar en recuperar un sistema después de una interrupción.

RPO (Recovery Point Objective) indica qué cantidad de información, medida como tiempo transcurrido, puedes permitirte perder.

Imagina que una empresa establece para su sistema de pedidos un RTO de cuatro horas y un RPO de una hora.

Esto significa que diseña su recuperación para reanudar el servicio dentro de cuatro horas y para no perder, como objetivo, más de una hora de información.

Son objetivos definidos por la organización, no valores universales establecidos por NIS2.

11. ¿Puedes implementar NIS2 utilizando proveedores externos?

Sí.

De hecho, no necesitas necesariamente construir internamente un departamento completo de ciberseguridad.

La legislación polaca contempla que las entidades establezcan estructuras internas responsables de la ciberseguridad o contraten a proveedores de servicios de ciberseguridad gestionada para ejecutar determinadas funciones.

Esto permite diferentes modelos:

• Modelo interno: tu equipo administra los controles, la infraestructura y los procedimientos.
• Modelo externo: especialistas contratados ejecutan actividades técnicas y de seguridad.
• Modelo híbrido: conservas internamente el gobierno, las decisiones y la supervisión, mientras delegas determinadas actividades operativas.

Para muchas organizaciones medianas, el modelo híbrido puede resultar práctico.

Sin embargo, hay una distinción fundamental:

Externalizar actividades técnicas no elimina las obligaciones ni la responsabilidad legal de tu organización.

Los contratos deben definir qué hace cada proveedor, cómo se notifican incidentes, qué evidencias proporciona, cómo gestiona los accesos y cómo se recuperan los servicios.

Esto adquiere especial importancia cuando contratas proveedores ubicados fuera de Polonia.

¿Se puede administrar la ciberseguridad desde otro país?

En principio, determinadas funciones técnicas pueden prestarse de manera remota desde otro Estado miembro o desde fuera de la Unión Europea, siempre que el modelo cumpla las obligaciones aplicables.

Debes revisar, entre otros aspectos, la protección de datos, el acceso a información sensible, las condiciones contractuales, la disponibilidad para responder a incidentes y las restricciones sectoriales.

No existe una regla general según la cual todo el personal técnico de un proveedor NIS2 deba encontrarse físicamente en Polonia.

Pero eso no elimina posibles exigencias específicas de determinados sectores, contratos o sistemas.

12. ISO 27001, NIST y otras normas: ¿son obligatorias?

Probablemente hayas escuchado hablar de ISO/IEC 27001.

Es una norma internacional que establece requisitos para un Sistema de Gestión de Seguridad de la Información.

También existen otros marcos útiles:

La pregunta importante es:

¿Necesitas una certificación ISO 27001 para cumplir NIS2?

No existe una obligación general de obtener esa certificación solamente por quedar sujeto a la KSC.

Sin embargo, utilizar ISO 27001 como marco de gestión puede facilitar significativamente la organización y documentación del proyecto.

El Ministerio de Digitalización polaco publicó el 10 de septiembre de 2026 un conjunto actualizado de referencias normativas para ayudar a implementar el SZBI. Aclaró expresamente que esa relación tiene carácter orientativo y no convierte automáticamente cada norma incluida en una obligación legal.

¿Y los proveedores de servicios tecnológicos?

Aquí hay un requisito adicional.

El Reglamento de Ejecución (UE) 2024/2690 establece requisitos técnicos y metodológicos específicos para categorías como proveedores de computación cloud, centros de datos, DNS, servicios gestionados y servicios de ciberseguridad gestionada.

La legislación polaca remite expresamente a ese reglamento para las categorías correspondientes.

Por ello, no sería suficiente entregar a todos los clientes exactamente el mismo paquete documental NIS2.

Una empresa industrial y un proveedor de servicios administrados pueden necesitar controles y criterios de evaluación diferentes.

13. Detección y notificación de incidentes

Otro componente fundamental es la obligación de identificar y reportar determinados incidentes graves.

La normativa establece etapas diferenciadas.

Secuencia general de notificación de un incidente grave

En la KSC, la alerta temprana y la notificación se cuentan desde la detección del incidente, y el informe final, desde la notificación. Existen particularidades para determinados proveedores (por ejemplo, los prestadores de servicios de confianza notifican el incidente grave en un máximo de 24 horas) y entidades públicas.

El mecanismo operativo polaco utiliza S46 Cyber Hub, que permite comunicar y dar seguimiento a incidentes ante los equipos CSIRT correspondientes.

No cualquier alerta informática constituye automáticamente un incidente grave notificable. Debes aplicar los criterios legales y los umbrales sectoriales pertinentes.

¿Por qué importa al director técnico?

Porque no basta con disponer de un protocolo de notificación.

Necesitas capacidades para:

Detectar que algo anormal está ocurriendo, determinar rápidamente su gravedad, conservar evidencia, activar a las personas adecuadas y proporcionar información verificable.

Si tu empresa no monitorea sus sistemas, quizá descubras un ataque cuando ya sea demasiado tarde para responder correctamente.

14. ¿Cómo se ve un proyecto real de implementación?

Un proyecto bien estructurado puede dividirse en cinco fases.

¿Cuánto tiempo puede tomar?

Depende de la complejidad.

Como referencia de planificación, no como plazo legal garantizado, una organización con infraestructura sencilla podría desarrollar un proyecto inicial en algunos meses.

Una entidad con numerosos sistemas heredados, instalaciones industriales, múltiples proveedores y dependencias internacionales probablemente requiera más tiempo.

Un calendario ejecutivo debe establecer responsables, dependencias, presupuesto y criterios de aceptación.

La fecha límite general del 3 de abril de 2027 hace especialmente importante que las entidades obligadas que todavía no han empezado prioricen los controles de mayor riesgo y las obligaciones pendientes.

C. NIS2 desde la perspectiva jurídica

15. ¿Por qué debería interesarle NIS2 a un departamento legal?

Porque NIS2 no se limita a la tecnología.

También modifica la forma en que las empresas deben gestionar responsabilidades, contratos, supervisión y determinados acontecimientos que pueden generar consecuencias jurídicas.

Desde la perspectiva de un abogado corporativo, NIS2 introduce una pregunta esencial:

¿Puede la organización demostrar que sus responsables tomaron decisiones razonables para proteger los servicios bajo su responsabilidad?

Eso significa que el cumplimiento necesita sostenerse con hechos y documentación.

16. Responsabilidad de los administradores y directivos

Uno de los aspectos más relevantes de la reforma polaca es la responsabilidad de la dirección.

Los responsables de una entidad obligada deben intervenir en la preparación, implantación y supervisión de la gestión de seguridad.

El artículo 8d de la KSC incluye obligaciones relacionadas con la adopción de decisiones, la asignación de responsabilidades, los recursos financieros y la supervisión.

Además, el artículo 8e contempla formación anual documentada para la dirección y las personas a quienes se deleguen determinadas responsabilidades de ciberseguridad.

Y hay un detalle especialmente importante:

El hecho de contratar a un proveedor externo no elimina por sí solo la responsabilidad de la dirección.

¿Qué significa jurídicamente?

Imagina que una empresa contrata a un proveedor para administrar la seguridad de sus servidores.

El proveedor comete un error y ocurre un incidente grave.

La empresa podrá tener acciones contractuales contra el proveedor si corresponde, pero no puede dar por cumplidas sus obligaciones regulatorias simplemente mostrando la factura del servicio.

Necesita demostrar que seleccionó adecuadamente al proveedor, definió responsabilidades, estableció controles de supervisión y gestionó los riesgos pertinentes.

Por ello, el departamento legal debe colaborar con la dirección y con tecnología.

17. Contratos con proveedores: un área crítica

Los proveedores tecnológicos pueden representar riesgos importantes para una organización.

Esto incluye proveedores de hosting, plataformas SaaS, operadores de servicios cloud, empresas de soporte, administradores de redes y desarrolladores que acceden a sistemas críticos.

Desde la perspectiva jurídica, conviene revisar que los contratos contemplen aspectos como:

No existe una cláusula única que automáticamente convierta un contrato en compatible con NIS2.

Los compromisos deben adaptarse al servicio, los riesgos y las disposiciones legales correspondientes.

Ejemplo

Una empresa polaca utiliza una plataforma de almacenamiento administrada desde otro país.

Sus sistemas son seguros y funcionan correctamente.

Sin embargo, nunca ha establecido contractualmente cuánto debe tardar el proveedor en notificarle un incidente.

Si ocurre un ataque, podría perder horas esperando información.

Ese retraso puede dificultar que la empresa cumpla sus propios plazos regulatorios.

Una buena revisión contractual reduce ese riesgo.

18. ¿Cómo se relaciona NIS2 con RODO/GDPR?

Es importante distinguir ambas normas.

RODO, denominación polaca del Reglamento General de Protección de Datos (GDPR), se concentra en el tratamiento y protección de los datos personales.

NIS2 se ocupa de la ciberseguridad y de la resiliencia de los sistemas y servicios de las entidades incluidas.

Pueden coincidir, pero no son lo mismo.

Por ejemplo, un ransomware podría detener una operación empresarial sin provocar necesariamente una violación de confidencialidad de datos personales.

A la inversa, una exposición limitada de datos podría exigir una evaluación bajo RODO aunque no alcance el umbral de incidente grave de NIS2.

En consecuencia, los procesos de notificación deben coordinarse, pero no confundirse.

19. Sanciones: ¿qué puede pasar si no cumples?

La KSC contempla sanciones económicas relevantes.

La ley contempla también mínimos sancionadores para determinadas infracciones: 20 000 PLN para entidades esenciales y 15 000 PLN para entidades importantes.

Estas cifras son límites legales, no multas automáticas. La aplicación depende de la conducta, las circunstancias, el procedimiento y las disposiciones específicas.

¿Se pueden imponer multas desde ahora?

El artículo 35 de la reforma establece que las sanciones económicas contempladas en determinadas disposiciones podrán imponerse por primera vez una vez transcurridos dos años desde la entrada en vigor, es decir, desde abril de 2028. Esa disposición no menciona la multa de hasta 100 millones de PLN del artículo 73, apartado 5, de la KSC.

Sin embargo, esto no significa que puedas ignorar los plazos anteriores.

La obligación de inscripción ya existe, la implantación tiene su propio calendario y las autoridades disponen de mecanismos de supervisión que deben analizarse independientemente del inicio del régimen sancionador económico.

20. ¿Qué puede aportar un abogado a la implementación?

Un equipo jurídico puede participar desde el inicio y no solamente cuando ocurra un incidente.

Sus aportaciones principales incluyen determinar el alcance legal de la empresa, revisar contratos, establecer procedimientos de comunicación, distribuir responsabilidades, armonizar la protección de datos y comprobar las obligaciones de conservación documental.

También puede verificar la legalidad de los procesos relacionados con el personal.

Por ejemplo, la KSC establece requisitos específicos de comprobación de antecedentes para quienes realicen determinadas funciones de gestión de seguridad e incidentes.

No significa que debas solicitar indiscriminadamente antecedentes penales a todos tus empleados. Debes aplicar el alcance legal correspondiente y proteger los datos tratados.

El beneficio jurídico principal

La implementación crea una estructura de diligencia empresarial verificable.

Una organización que puede mostrar decisiones aprobadas, riesgos evaluados, contratos revisados, procedimientos utilizados y medidas correctivas documentadas está en mejor posición para responder ante inspecciones y controversias.

Esto no garantiza ausencia de responsabilidad, pero proporciona evidencia relevante de la gestión realizada.

D. NIS2 desde la perspectiva contable y financiera

21. ¿Qué tiene que ver un contador con la ciberseguridad?

Más de lo que podría parecer inicialmente.

Aunque NIS2 no convierte a todos los despachos contables en entidades obligadas, las funciones de contabilidad y finanzas dependen cada vez más de sistemas digitales.

Pensemos en una empresa que utiliza:

• Facturación electrónica.
• Sistemas ERP.
• Plataformas bancarias.
• Sistemas de nómina.
• Almacenamiento de documentos fiscales.
• Software contable.
• Integraciones con proveedores.

Una interrupción de estos servicios puede dificultar el cobro, los pagos, la presentación de declaraciones y la conservación de documentación.

Por eso, el área contable debe participar en la gestión de los riesgos que afectan a esos procesos.

22. Beneficios directos para la función contable

Protección de documentos financieros

La implementación de controles de acceso, respaldos y recuperación puede ayudar a proteger facturas, contratos, documentos fiscales y registros contables.

Esto reduce la exposición a pérdidas de información o modificaciones no autorizadas.

Continuidad de los procesos financieros

La empresa puede definir procedimientos para operar durante interrupciones.

Por ejemplo, si falla temporalmente el sistema contable, conviene tener documentado cómo se registrarán operaciones pendientes y cómo se reconciliarán al recuperar el servicio.

Reducción del riesgo de fraude

Los controles de identidad, la separación de responsabilidades y el registro de actividades pueden ayudar a detectar o prevenir operaciones financieras no autorizadas.

Imagina que un atacante logra acceder al correo de un proveedor e intenta modificar los datos bancarios a los que se envían pagos.

Un procedimiento que exija verificar estos cambios mediante un canal independiente puede disminuir considerablemente ese riesgo.

Mayor capacidad de auditoría

Tener documentación actualizada, responsables identificados y registros de actividad puede facilitar la revisión de determinados controles internos.

No sustituye una auditoría financiera ni garantiza la integridad de los estados financieros, pero puede fortalecer el entorno de control.

23. ¿Cómo participa el departamento financiero en el proyecto NIS2?

La legislación polaca establece expresamente que la dirección debe planificar recursos financieros adecuados para cumplir las obligaciones de ciberseguridad.

Por tanto, una implementación bien administrada requiere coordinación entre tecnología y finanzas.

Conviene distinguir los siguientes componentes presupuestarios:

La clasificación contable y fiscal efectiva depende de las reglas aplicables, la naturaleza de cada adquisición y sus condiciones contractuales. NIS2 no determina por sí misma cómo contabilizar estos desembolsos.

¿Cómo valorar financieramente el proyecto?

Puedes utilizar un análisis de costos y riesgos.

Por ejemplo:

Una empresa estima que una interrupción grave de sus operaciones podría ocasionar pérdidas de ventas, costos de recuperación, horas extraordinarias y penalizaciones contractuales.

El equipo técnico propone controles para reducir la probabilidad de ese escenario o limitar su duración.

Finanzas compara el costo de las medidas con los impactos estimados y ayuda a priorizar las inversiones.

Esto no significa que puedas calcular con certeza matemática cuánto ahorrará cada control.

Significa que puedes tomar decisiones presupuestarias mejor fundamentadas.

¿Y las empresas de contabilidad externas?

Un despacho contable que no esté directamente sujeto a NIS2 puede beneficiarse indirectamente si trabaja con clientes obligados.

Es posible que esos clientes soliciten garantías adicionales sobre el tratamiento de información, control de accesos, continuidad, incidentes y seguridad de los servicios contratados.

Esta circunstancia crea una oportunidad para mejorar los servicios, pero también puede generar nuevas exigencias contractuales.

24. ¿Cómo se relaciona NIS2 con KSeF, la facturación electrónica polaca?

En Polonia conviene distinguir dos proyectos regulatorios diferentes.

KSeF (Krajowy System e-Faktur) se relaciona con la emisión y recepción de facturas electrónicas estructuradas.

NIS2/KSC establece obligaciones de ciberseguridad para las entidades incluidas en su ámbito.

Una empresa puede estar obligada a utilizar KSeF sin estar directamente obligada por NIS2.

De la misma manera, una entidad alcanzada por NIS2 puede utilizar KSeF como uno de sus sistemas empresariales.

Desde la perspectiva técnica y contable, hay puntos de conexión importantes.

Si el funcionamiento de tus operaciones depende de una integración con KSeF, deberías evaluar la seguridad de sus credenciales, la disponibilidad de esa integración, la protección de los registros y los procedimientos ante fallos.

Sin embargo, ser usuario o integrador de KSeF no te convierte automáticamente en entidad obligada por NIS2.

La clasificación depende de las actividades y criterios establecidos por la KSC.

25. Tres situaciones empresariales que ayudan a comprender la implementación

Caso 1. Una empresa mediana de distribución alimentaria

La organización depende de inventarios, pedidos, almacenes y distribución.

Su principal preocupación es que un incidente tecnológico interrumpa el flujo de mercancías.

Para ella, la implementación se concentraría en proteger los procesos operativos, documentar dependencias, gestionar proveedores tecnológicos y preparar mecanismos de continuidad.

Desde la perspectiva jurídica, sería importante revisar las responsabilidades de los proveedores y la notificación de incidentes.

Desde la perspectiva financiera, el interés principal estaría en reducir las pérdidas provocadas por interrupciones.

La clasificación legal debe verificarse según la actividad específica y los criterios de la KSC.

Caso 2. Un proveedor de alojamiento web y servicios administrados

La empresa administra servidores y sitios web para clientes.

En este caso, puede ser particularmente importante examinar su posible clasificación como proveedor de servicios gestionados, infraestructura digital u otra categoría aplicable.

Su infraestructura necesita controles de acceso, gestión de vulnerabilidades, continuidad, monitoreo y procedimientos de respuesta.

Además, sus clientes podrían solicitarle evidencias que respalden sus propias obligaciones NIS2.

El contrato de servicio se convierte en una pieza fundamental de la gestión de riesgos.

Para ciertas categorías tecnológicas también resulta directamente relevante el Reglamento de Ejecución (UE) 2024/2690.

Caso 3. Un despacho de contabilidad pequeño

La empresa administra información financiera de numerosos clientes.

Por su actividad ordinaria y tamaño podría no estar directamente sujeta a la KSC, aunque eso debe analizarse y no presumirse.

Aun así, podría recibir cuestionarios de seguridad de clientes regulados.

Al establecer autenticación multifactor, respaldos probados, procedimientos de acceso y reglas de tratamiento de información, mejora su seguridad y puede responder con más solidez a esos requisitos comerciales.

En este ejemplo, el principal beneficio de aplicar buenas prácticas NIS2 es contractual y operativo, no necesariamente el cumplimiento de una obligación directa.

26. Preguntas frecuentes

¿NIS2 significa que debo contratar una empresa de ciberseguridad?

No necesariamente. La organización puede combinar recursos internos y externos según el alcance de las funciones, sus obligaciones y su capacidad.

Lo importante es que existan responsabilidades claras y controles eficaces.

¿Puedo cumplir solamente con antivirus y firewall?

No. Esas herramientas pueden formar parte de los controles, pero la gestión de riesgos, continuidad, documentación, supervisión y gestión de incidentes requiere medidas adicionales.

¿Tengo que contratar a un CISO?

La normativa exige responsabilidades y capacidades de gestión, pero no establece una obligación general de utilizar el título laboral de CISO para todas las entidades.

La estructura elegida debe cumplir las funciones exigidas.

¿Cuántas personas de contacto debo designar?

La regla general polaca es designar al menos dos personas de contacto con el sistema nacional de ciberseguridad. Existen excepciones para determinadas microempresas, pequeñas empresas y entidades públicas importantes, donde puede bastar una persona.

¿Necesito auditorías externas?

Las entidades esenciales están sujetas, como regla general, a una auditoría periódica al menos cada tres años.

Para nuevas entidades esenciales comprendidas en las disposiciones transitorias, el primer plazo general vence el 3 de abril de 2028.

Las entidades importantes no tienen automáticamente esa misma obligación periódica, aunque una autoridad competente puede ordenar auditorías en determinadas circunstancias.

La auditoría legal requiere cumplir condiciones de independencia y calificación; no necesariamente puede realizarla la misma persona que implementó y administra los controles.

¿Tengo que contratar herramientas fabricadas en Europa?

No existe una regla general de NIS2 que obligue a que todas las herramientas o servidores procedan de fabricantes europeos.

Sin embargo, deben considerarse obligaciones específicas sobre proveedores, transferencias de datos, riesgos de la cadena de suministro y restricciones sectoriales.

¿Puedo usar servidores fuera de Polonia?

En principio, sí, dependiendo del sector, del servicio, de los datos y de las reglas aplicables.

Pero debes evaluar los riesgos legales, operativos y contractuales, así como el nivel de control que mantienes sobre tus proveedores.

¿NIS2 sustituye RODO?

No. Ambas regulaciones pueden aplicarse simultáneamente.

¿NIS2 sustituye DORA?

No exactamente. Para determinadas entidades financieras, el Reglamento DORA constituye una normativa sectorial especial que desplaza parte de las obligaciones generales NIS2.

DORA es aplicable desde el 17 de enero de 2025. La KSC polaca establece expresamente reglas de coordinación para el sector bancario y las infraestructuras de mercados financieros.

¿Puedo obtener un certificado que diga que mi empresa cumple NIS2?

Puedes obtener determinadas certificaciones de seguridad y someterte a evaluaciones independientes.

Sin embargo, no debes confundir una certificación privada, una certificación ISO 27001 y una auditoría regulatoria de KSC.

Ninguna declaración comercial genérica de «certificación NIS2» sustituye automáticamente tus obligaciones legales.

27. Plan de actuación recomendado para una empresa en Polonia

Si comenzaras hoy el proyecto desde cero, esta sería una hoja de ruta razonable.

Los periodos representan una planificación orientativa. Deben ajustarse al estado actual de la organización y a los plazos jurídicos aplicables.

28. ¿Cómo sabrás si tu organización está preparada?

La mejor forma de evaluar el avance es comprobar resultados, no simplemente contar documentos.

Una organización razonablemente preparada debería poder responder afirmativamente, con evidencia, a cuestiones como estas:

• ¿Conoces tu clasificación y las obligaciones legales aplicables?
• ¿Tienes identificados los servicios, sistemas y proveedores importantes?
• ¿Existe una evaluación documentada de riesgos?
• ¿La dirección ha aprobado responsabilidades y recursos?
• ¿Puedes demostrar que los controles están funcionando?
• ¿Tus respaldos y planes de recuperación han sido probados?
• ¿Sabes quién debe actuar y notificar cuando ocurre un incidente?
• ¿Puedes demostrar formación, revisiones y acciones correctivas?
• ¿Están documentadas las responsabilidades de tus proveedores?
• ¿Tienes un mecanismo para supervisar el cumplimiento de manera continua?

Estas preguntas no sustituyen una auditoría legal, pero permiten valorar la madurez inicial de tu organización.

29. ¿Quién gana más con NIS2 dentro de la empresa?

Cada responsable obtiene beneficios diferentes.

La implementación resulta más efectiva cuando estos departamentos trabajan conjuntamente y no como iniciativas independientes.

30. Marco jurídico y recursos oficiales

Para profundizar en la implementación, estas son las referencias principales.

El Ministerio de Digitalización también mantiene materiales de autoidentificación, guías de registro y referencias para diseñar el SZBI. Conviene revisar la versión vigente de los actos de desarrollo correspondientes al sector antes de cerrar un proyecto.

31. Conclusión: implementar NIS2 es transformar la gestión del riesgo empresarial

NIS2 representa un cambio importante en la manera en que las organizaciones deben entender la ciberseguridad.

Ya no es suficiente pensar que la seguridad consiste en mantener equipos actualizados o instalar determinadas herramientas.

La empresa necesita comprender los riesgos de sus servicios, asignar responsabilidades, establecer controles, preparar su continuidad y demostrar que esas medidas funcionan.

Desde la mirada empresarial, representa una oportunidad para proteger operaciones y fortalecer la confianza comercial.

Desde la mirada tecnológica, impulsa una infraestructura más controlada, documentada y resistente.

Desde la perspectiva jurídica, exige una gestión más rigurosa de responsabilidades, contratos y evidencia.

Y desde la perspectiva contable, permite vincular las inversiones de seguridad con la protección de activos, la continuidad financiera y la reducción de pérdidas.

La diferencia entre cumplir formalmente y estar realmente preparado es importante: una organización puede tener cientos de páginas de políticas y continuar siendo vulnerable si sus controles no funcionan.

Por eso, una implementación adecuada de NIS2 debe combinar cumplimiento legal, gestión empresarial, seguridad tecnológica y supervisión continua.

En Polonia, donde la reforma de la KSC ya se encuentra vigente, la prioridad inmediata para una entidad potencialmente obligada es determinar correctamente su clasificación, verificar su situación registral y desarrollar un proyecto de adaptación antes de sus plazos aplicables.

El objetivo final no debería limitarse a evitar sanciones, sino a construir una organización capaz de seguir prestando sus servicios incluso cuando sufra un incidente de ciberseguridad.