Cómo te llega igualmente por contrato y qué ordenar primero
1. Por qué esperar a la ley no es una estrategia
La directiva europea (Directiva (UE) 2022/2555) está en vigor y la mayoría de los Estados miembros ya la han traspuesto.
España no: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y no llegó a las Cortes, el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por este retraso, y el 6 de octubre el BOE publicó la disolución de las Cortes (Real Decreto 806/2026).
Mientras tanto, los grandes clientes trasladan sus obligaciones a sus proveedores mediante contrato: cláusulas de seguridad, cuestionarios y derecho de auditoría.
2. Cómo te llega por contrato
- Un cuestionario de seguridad en la renovación del contrato.
- Cláusulas de notificación de incidentes con plazos concretos.
- Petición de evidencias: políticas, inventario de activos, copias de seguridad, control de accesos.
3. Qué ordenar primero (sin prometer cumplimiento)
- Inventario de sistemas y de proveedores críticos.
- Quién decide qué ante un incidente y cómo se avisa al cliente.
- Copias de seguridad probadas, no solo configuradas.
- Accesos: quién tiene acceso a qué y cuándo se revisa.
- Una carpeta única de evidencias, actualizada.
4. Qué NO damos por hecho
No todas las empresas están dentro del ámbito de NIS2. Depende del sector (anexos I y II de la directiva) y del tamaño de la empresa. Conviene comprobarlo antes de invertir.
5. Cómo lo abordamos en Qaroní
Trabajamos con equipos de ingeniería e industria para ordenar la información y los procesos que piden los clientes, partiendo de lo que ya tenéis. Nuestra categoría ALTA del ENS fue auditada en junio de 2025.