Desde el 1 de octubre de 2026 rige en Austria la nueva Ley de Seguridad de las Redes y Sistemas de Información, abreviada NISG 2026 (Netz- und Informationssystemsicherheitsgesetz). Transpone la Directiva europea NIS2 y convierte la ciberseguridad en una obligación legal para miles de empresas. Según la Cámara de Comercio austriaca (Wirtschaftskammer), unas 4.000 empresas y entidades de 18 sectores se ven afectadas directamente, a las que se suman muchos proveedores que quedan obligados a través de sus clientes.
Uno de los mejores resúmenes en lengua alemana sobre el tema lo ha elaborado el jurista y consultor de empresas vienés Franz Kopp en https://nis-2-ready.at como complemento a su libro „Quick Guide NIS-2 in Österreich“ (Guía rápida de NIS-2 en Austria, Springer Gabler). He revisado a fondo la web y sus guías y resumo aquí lo que los gerentes y las gerentes deben saber ahora: quién está afectado, qué plazos corren, qué hay que notificar en caso de incidente y qué sanciones se aplican. Mi propia empresa está recorriendo este camino ahora mismo, por eso en algunos puntos añado lo que hemos aprendido en la práctica.
¿Qué es NIS2 y qué es la NISG 2026?
NIS2 es la segunda directiva de la UE sobre seguridad de las redes y de la información (Directiva (UE) 2022/2555). Obliga a los Estados miembros a introducir estándares mínimos vinculantes de ciberseguridad para los ámbitos críticos e importantes de la economía. Austria lo ha hecho con la NISG 2026, publicada en el Boletín Oficial Federal (BGBl. I Nr. 94/2025). Las disposiciones operativas se aplican desde el 1 de octubre de 2026 y el reglamento correspondiente, la NISV 2026, desde el 2 de octubre de 2026.
El núcleo de la ley se resume en cuatro frases. Las empresas afectadas deben registrarse. Deben implantar una gestión de riesgos para su TI que abarque diez ámbitos definidos. Deben notificar los incidentes de seguridad significativos en un plazo de 24 horas. Y la dirección es personalmente responsable de que todo esto se cumpla.
¿Estoy afectado? Las tres preguntas clave
Que una empresa quede sujeta a la NISG 2026 no depende solo del sector ni solo del tamaño, sino de ambos a la vez. A ello se suman algunos casos especiales que se aplican con independencia del tamaño.
La primera pregunta es el tamaño. En principio quedan incluidas las medianas empresas a partir de 50 empleados o con más de 10 millones de euros de volumen de negocio anual y, al mismo tiempo, más de 10 millones de euros de balance total. Se considera grande una empresa a partir de 250 empleados o con más de 50 millones de euros de volumen de negocio y más de 43 millones de euros de balance total. Importante: tener menos de 50 empleados no excluye automáticamente la afectación, porque también cuentan las cifras financieras. En los grupos empresariales se computan en principio las empresas asociadas y vinculadas, salvo que la sociedad sea realmente independiente a nivel organizativo, técnico y operativo.
La segunda pregunta es la actividad. La ley enumera en dos anexos qué servicios están incluidos. El anexo 1 comprende los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio. El anexo 2 comprende otros sectores críticos: servicios postales y de mensajería, gestión de residuos, química, alimentación, industria manufacturera, por ejemplo de productos sanitarios, electrónica, maquinaria y vehículos, servicios digitales e investigación. Lo decisivo es el servicio concreto tal como lo describe la ley, no una etiqueta sectorial genérica.
La tercera pregunta se refiere a los clientes. También quien no está incluido directamente puede quedar obligado a través de sus clientes, porque estos deben proteger su cadena de suministro. Más sobre ello a continuación.
¿Entidad esencial o importante?
La NISG 2026 distingue dos clases. Las grandes empresas de un sector del anexo 1 son por regla general entidades esenciales. Las medianas empresas de ambos anexos, así como las grandes empresas del anexo 2, son entidades importantes. Las obligaciones son en esencia las mismas, pero las entidades esenciales están sujetas a una supervisión más estricta y a un marco sancionador más elevado.
Con independencia del tamaño quedan incluidos los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel, los proveedores de servicios DNS y determinados proveedores de servicios de comunicaciones públicas. Además, la autoridad de ciberseguridad puede clasificar a una empresa mediante resolución, por ejemplo si es el único proveedor de un servicio crítico en Austria. Precisamente este caso afecta a mi propia empresa: como operamos servicios DNS, somos una entidad esencial a pesar de nuestro tamaño. Quien ofrezca alojamiento web, dominios o infraestructura TI debería revisar este punto con especial atención.
Los plazos: registro hasta el 31 de diciembre de 2026
Para las empresas que ya cumplían los requisitos el 1 de octubre de 2026, la hoja de ruta tiene cuatro etapas.
Primero, el registro conforme al § 29 ante la autoridad de ciberseguridad. Debe realizarse en un plazo de tres meses desde la entrada en vigor, es decir, hasta finales de 2026. Hay que indicar, entre otros datos, el nombre y los datos de contacto, el sector y el tipo de entidad, los Estados de la UE afectados, el establecimiento principal y los umbrales. Además, debe designarse un punto de contacto con número de teléfono y dirección de correo electrónico. Si estos datos cambian más adelante, el cambio debe comunicarse en un plazo de dos semanas o de tres meses, según el caso. En la práctica, el registro se realiza a través del portal austriaco de servicios para empresas, el Unternehmensserviceportal (USP), en el apartado „NIS2 Services“. Quien cumpla los requisitos más tarde, por ejemplo por crecimiento, debe registrarse a más tardar tres meses después de ese momento.
Segundo, la gestión de riesgos conforme al § 32. Aquí no hay un periodo transitorio general, por lo que las medidas deben implantarse en paralelo al registro.
Tercero, la autodeclaración conforme al § 33, apartado 1. En un plazo de doce meses desde que nace la obligación de registro, la empresa debe comunicar a la autoridad de forma estructurada qué medidas ha implantado, incluida la seguridad de la cadena de suministro y los resultados del análisis de riesgos. Para la mayoría de las empresas ya incluidas, esto significa: hasta finales de septiembre de 2027.
Cuarto, la auditoría independiente conforme al § 33, apartado 2. No se produce de forma automática, sino a requerimiento de la autoridad, como muy pronto dos años después de la entrada en vigor. En principio, la implantación debe acreditarse entonces en un plazo de dos años mediante un organismo independiente. Las entidades esenciales, en cambio, deben acreditar la parte operativa y organizativa en un plazo de dos meses. Los certificados vigentes solo pueden cubrir esta parte operativa y organizativa, no la técnica.
Los diez ámbitos de medidas del § 32
El corazón de la ley es el § 32. Exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas, basadas en un enfoque que abarque todos los riesgos. Deben cubrirse al menos diez ámbitos.
Primero, un análisis de riesgos y la seguridad de los sistemas de información: ¿qué sistemas, servicios y amenazas determinan el propio riesgo? Segundo, la gestión de incidentes de seguridad, es decir, detección, evaluación, escalado y tratamiento. Tercero, la continuidad de las operaciones con copias de seguridad, recuperación y gestión de crisis. Cuarto, la seguridad de la cadena de suministro y de los proveedores de servicios. Quinto, la seguridad en la adquisición, el desarrollo y el mantenimiento, incluida la gestión de vulnerabilidades. Sexto, procedimientos para evaluar la eficacia de las medidas, como indicadores, pruebas de control y auditorías. Séptimo, ciberhigiene y formación. Octavo, criptografía y cifrado. Noveno, seguridad del personal, control de acceso y gestión de activos. Décimo, autenticación multifactor, comunicaciones seguras y, en su caso, comunicaciones de emergencia.
Lo que significa „proporcionado“ depende de la exposición al riesgo, el tamaño, la probabilidad de que ocurra y la posible gravedad de un incidente, incluidas sus consecuencias sociales y económicas. Los costes por sí solos no son motivo de excepción. La NISV 2026 añade que el análisis de riesgos debe contemplar riesgos tecnológicos, humanos, relacionados con la cadena de suministro y relacionados con la ubicación. Quien no pueda cumplir un requisito de forma temporal o debido a su tamaño debe justificar y documentar medidas alternativas y revisar su eficacia al menos una vez al año.
Obligación de notificación: 24 horas, 72 horas, un mes
Si se produce un incidente de seguridad significativo, se aplica un procedimiento de notificación en tres fases ante el CSIRT (equipo de respuesta a incidentes de seguridad informática) sectorial competente o, si no lo hay, ante el CSIRT nacional. Los plazos corren desde que se tiene conocimiento del incidente.
En un plazo de 24 horas debe enviarse una alerta temprana, indicando si se sospecha de un ataque y si podrían verse afectados otros países. En un plazo de 72 horas sigue la notificación propiamente dicha, con una primera evaluación de la gravedad y del impacto y, en su caso, indicadores de compromiso. Como muy tarde un mes después debe presentarse un informe final que describa las causas, el tipo de amenaza, las medidas correctoras y los efectos transfronterizos. Si el incidente sigue en curso, se presenta primero un informe de situación. Además, los clientes cuyos servicios se vean afectados deben ser informados sin demora. El CSIRT, por su parte, responde en un plazo de 24 horas y ofrece apoyo si se solicita.
¿Cuándo es significativo un incidente? La NISV 2026 establece criterios con los que lo es en todo caso: una pérdida financiera directa superior a 500.000 euros o al 5 por ciento del volumen de negocio del año anterior (cuenta el valor más bajo), la fuga de secretos comerciales, la muerte o un daño grave para la salud de una persona, un acceso exitoso y presuntamente malintencionado que probablemente cause graves perturbaciones operativas, una interrupción para más de 100.000 usuarios o el 10 por ciento de los usuarios durante más de 24 horas, una interrupción en el territorio de al menos un estado federado austriaco durante más de 24 horas, así como la activación de planes de crisis o de emergencia. También varios incidentes menores repetidos con la misma causa pueden sumarse y resultar significativos. Los mantenimientos planificados no cuentan.
Por experiencia propia: estos criterios no deberían leerse por primera vez en plena emergencia. Para nuestro equipo hemos introducido un proceso de notificación por escrito con una guardia claramente definida y un ejercicio llamado „¿significativo o no?“. En la noche del sábado al domingo nadie quiere ponerse a consultar la ley.
Asunto de la dirección: obligaciones de los gerentes
El § 31 convierte expresamente NIS2 en una tarea de liderazgo. La gerencia o el consejo de administración debe garantizar que se implanten las medidas del § 32 y supervisarlo de forma continua. El trabajo operativo puede delegarse en TI, seguridad de la información, compras o proveedores externos, pero la responsabilidad sigue estando arriba.
Además, los miembros de los órganos de dirección deben participar en formaciones de ciberseguridad diseñadas específicamente para el nivel directivo. Una formación general de concienciación para empleados no basta para ello. La ley no fija la duración, la frecuencia ni la forma de acreditar la participación. Contenidos útiles son, por ejemplo, la situación de riesgo actual, las obligaciones legales, situaciones de decisión durante un incidente, los riesgos de la cadena de suministro y la cuestión de qué demuestra realmente una evidencia. Para los empleados, la ley exige además formaciones periódicas y adecuadas.
Como prueba, Franz Kopp recomienda adoptar acuerdos sobre funciones y presupuesto, recibir informes con regularidad y documentar las decisiones. Un buen informe de gestión incluye la situación de riesgo, el estado de implantación de los diez ámbitos de medidas, los proveedores críticos, los incidentes, las medidas atrasadas, los resultados de las auditorías y el estado de la formación.
Sanciones y responsabilidad
Las multas son considerables. Para las entidades esenciales alcanzan hasta 10 millones de euros o el 2 por ciento del volumen de negocio mundial del año anterior; para las entidades importantes, hasta 7 millones de euros o el 1,4 por ciento, en cada caso el importe más alto. También la omisión del registro o los datos incorrectos constituyen una infracción administrativa, al igual que no presentar una notificación.
Se sanciona en primer lugar a la propia empresa. La ley no prevé una multa personal automática para los gerentes. No obstante, las consecuencias en el ámbito societario, civil y de seguros deben examinarse por separado, y quien no pueda documentar su deber de supervisión tendrá las de perder en caso de litigio. Para las entidades esenciales existe además un nivel de escalada conforme al § 39: si la empresa no cumple a tiempo una resolución de subsanación, la autoridad puede prohibir temporalmente a los órganos de dirección ejercer sus funciones directivas hasta que se hayan implantado las medidas. No se trata de una inhabilitación profesional general. Aun así, recomiendo revisar en este contexto también el propio seguro D&O y el seguro cibernético.
NIS2 en la cadena de suministro: lo que espera a los proveedores
Muchas empresas más pequeñas no notarán NIS2 a través de la ley, sino a través de sus clientes. Las entidades esenciales e importantes deben tener en cuenta en su propia gestión de riesgos la seguridad de su cadena de suministro y de sus proveedores directos de servicios. Esto no convierte automáticamente a un proveedor en una entidad sujeta a la NISG. Pero sí le surgen obligaciones vinculantes a través de contratos y licitaciones.
El grado de exigencia depende del riesgo. Un servicio en la nube con acceso administrativo se examina de forma distinta que un proveedor de material de oficina. Pruebas habituales son una descripción del servicio y de sus dependencias técnicas, un punto de contacto para incidentes de seguridad, normas de acceso y de autenticación multifactor, un proceso de parches y vulnerabilidades, un concepto de copias de seguridad y recuperación probado, un proceso de incidentes con información al cliente, una lista de los subcontratistas esenciales, así como informes de auditoría o certificados con el alcance adecuado.
Una frase como „El contratista cumple NIS2“ es demasiado imprecisa como cláusula contractual. Los buenos contratos regulan de forma concreta qué medidas de seguridad se aplican, quién informa a quién sobre incidentes y en qué plazo, qué pruebas se aceptan, cómo se desarrollan las auditorías y cómo se gestionan los subcontratistas y las deficiencias. Nosotros hemos pasado exactamente por esto con grandes clientes: cuestionarios, pruebas de penetración, pruebas de verificación. Quien se prepara pronto gana confianza y, a veces, también contratos.
Lo que debería hacer ahora en concreto
Compruebe y documente si está afectado: tamaño incluidas las empresas vinculadas, actividades según los anexos 1 y 2, casos especiales independientes del tamaño. Deje constancia escrita del resultado y hágalo firmar por la gerencia.
Si está afectado, regístrese a través del USP hasta el 31 de diciembre de 2026 y designe un punto de contacto localizable.
Elabore un plan de medidas siguiendo los diez ámbitos del § 32, hágalo aprobar por la gerencia y archive desde el principio la prueba de cada medida. Este expediente es la base para la autodeclaración en otoño de 2027.
Redacte un proceso de notificación y escalado para 24 y 72 horas y practíquelo. Forme a la gerencia y al equipo. Y revise sus principales proveedores de servicios y contratos con clientes en cuanto a requisitos de seguridad.
Mi conclusión
NIS2 no es un proyecto de TI que se delega en el departamento técnico, sino una tarea de liderazgo con plazos claros. La buena noticia: quien ya gestiona su TI de forma ordenada tiene mucho hecho y, sobre todo, debe hacerlo demostrable. La mala: sin documentación, nada de eso cuenta en caso de incidente.
Para empezar, recomiendo la web https://nis-2-ready.at con su breve comprobación de afectación y sus seis guías. Vinculantes son las fuentes primarias del sistema federal austriaco de información jurídica (RIS). Este artículo es mi resumen como empresario y no sustituye el asesoramiento jurídico.
Le asesoro con mucho gusto
Mi empresa acaba de implantar la NISG 2026 como entidad esencial: clasificación, registro, plan de medidas, proceso de notificación y de emergencia, formación de la gerencia y del equipo, pruebas para la cadena de suministro. Comparto esta experiencia con mucho gusto. Si quiere saber si su empresa está afectada o busca una vía pragmática para la implantación, le asesoro personalmente con mucho gusto. Escríbame sin más: https://www.mariokoerbler.com/es/contacto