El plazo ha vencido. La obligación, no.
El 30 de junio de 2026 marcó un momento importante para las organizaciones europeas incluidas en el ámbito de aplicación de la Directiva NIS2: la fecha límite para completar una primera auditoría de cumplimiento. Para muchos equipos de cumplimiento fue una carrera contrarreloj - evaluar controles, subsanar carencias y reunir documentación bajo presión.
Pero superar la primera auditoría no es la línea de meta. Es el pistoletazo de salida. NIS2 no es una certificación puntual. Es una obligación continua, y las autoridades nacionales competentes de los Estados miembros de la UE están entrando ahora en una fase de supervisión activa. Las organizaciones que trataron el plazo de junio como una simple casilla que marcar quedarán expuestas en los próximos meses.
Este artículo describe lo que viene a continuación - y cómo conseguir que su postura de cumplimiento sea realmente defendible, y no solo documentada periódicamente.
Qué cubrió realmente la primera auditoría
La primera auditoría de cumplimiento de NIS2 se centró en las diez medidas mínimas de ciberseguridad definidas en el artículo 21. Entre ellas figuran las políticas de gestión de riesgos, los procedimientos de gestión de incidentes, las medidas de continuidad de las actividades, la seguridad de la cadena de suministro y las prácticas de control de acceso.
Para muchas organizaciones, en especial las recién clasificadas como entidades esenciales o importantes en virtud de las leyes nacionales de transposición, la auditoría fue su primera evaluación estructurada de la gobernanza de la ciberseguridad. El portal de registro del BSI alemán entró en funcionamiento en enero de 2026. En Portugal, el Decreto-ley n.º 125/2025 hizo entrar en vigor sus propias obligaciones en abril de 2026. En toda la UE, los reguladores pasaron de la directiva a la aplicación efectiva.
La auditoría determinó si una organización tenía implantadas las políticas y los controles adecuados en un momento dado. Lo que no podía verificar fácilmente era si esos controles se mantendrían día tras día, sistema tras sistema.
Carencias habituales detectadas tras la primera ronda
En la comunidad de cumplimiento, las primeras auditorías NIS2 han puesto de manifiesto varias debilidades recurrentes:
Calidad de la evidencia. Muchas organizaciones tenían políticas y procedimientos implantados, pero carecían de registros verificables y con marca de tiempo que demostraran que esos controles se aplicaban de forma efectiva. Un documento de política no es una evidencia. Un registro de auditoría con integridad criptográfica sí lo es.
Cobertura de la cadena de suministro. El artículo 21 exige expresamente que las organizaciones evalúen y gestionen los riesgos de ciberseguridad de sus cadenas de suministro. Muchas comprobaron que sus inventarios de proveedores estaban incompletos o que sus evaluaciones de terceros carecían de contenido real.
Preparación para la detección y notificación de incidentes. NIS2 exige que los incidentes significativos se notifiquen a las autoridades competentes en un plazo de 24 horas desde la notificación inicial, seguidos de un informe completo en un plazo de 72 horas. Muchas organizaciones descubrieron que su flujo de trabajo desde la detección hasta la notificación no estaba ensayado.
Monitorización continua. Una evaluación puntual le indica cuál era su situación un día concreto. No le dice si un archivo se modificó el martes pasado, si una configuración se desvió la semana pasada o si la integridad de sus copias de seguridad se ha degradado desde su última prueba.
De la auditoría periódica al cumplimiento continuo
El cambio que señalan los reguladores - y que los equipos de cumplimiento más avanzados ya están haciendo - es pasar de la auditoría periódica a la evidencia continua de cumplimiento.
Esto significa contar con sistemas que no se limiten a registrar políticas, sino que verifiquen de forma continua la integridad de los activos que esas políticas están diseñadas para proteger. Cada archivo, base de datos y configuración crítica debería tener una huella digital criptográfica - un registro sellado y con marca de tiempo de su estado exacto en cada momento. Cualquier desviación respecto a ese registro genera una alerta, no un descubrimiento seis meses después durante la siguiente auditoría.
La infraestructura de confianza verificable de ROOTKey se creó precisamente para este entorno. Al anclar sus activos de datos críticos en un registro público independiente y mantener una verificación continua de la integridad, su organización puede demostrar el cumplimiento no solo el día de la auditoría - sino todos los días.
Empiece su camino hacia el cumplimiento continuo con ROOTKey - plan gratuito disponible, sin necesidad de tarjeta de crédito.
- Anclar criptográficamente todos los activos de datos críticos - archivos, bases de datos, resultados de API y registros de configuración - para que cualquier modificación se detecte al instante.
- Crear una capa de monitorización continua de la integridad que alerte de las desviaciones en tiempo real, no solo en el momento de la auditoría.
- Asegurarse de que el flujo de notificación de incidentes está ensayado y respaldado por evidencia verificada, no reconstruido de memoria.
- Mapear los activos de la cadena de suministro y exigir integridad verificable a los principales proveedores tecnológicos.
- Documentar la evidencia de cumplimiento en un formato que las autoridades nacionales competentes puedan verificar de forma independiente - no solo en hojas de cálculo internas.
Qué buscarán ahora los reguladores
Las autoridades nacionales competentes no esperan a 2027. La supervisión ya está activa. En Alemania, el BSI ha señalado un mayor escrutinio de las entidades esenciales de los sectores de la energía y la sanidad. En Portugal, el CNCS está poniendo en marcha su marco de aplicación tras el DL 125/2025. En toda la UE, el foco está pasando de «¿tiene una política?» a «¿puede demostrar que funciona?».
Las organizaciones que se desenvolverán con más seguridad en este entorno son las que puedan responder a los requerimientos de supervisión con evidencia verificable y legible por máquina - no reuniendo documentación a posteriori tras la solicitud de un regulador.
El cumplimiento de NIS2 ya no es un proyecto. Es una capacidad operativa.