Guía NIS2 · 9 min
RGPD vs NIS2: solapamiento, diferencias y cuándo un incidente activa ambos
El RGPD y NIS2 tocan ambos la seguridad y conllevan fuertes multas, por lo que se confunden, pero protegen cosas distintas y responden ante autoridades distintas. El riesgo no es elegir el equivocado; es no ver que un solo incidente puede activar ambos, con plazos distintos. Esta guía traza la frontera, muestra el solapamiento, explica la interacción (cooperación y sin doble multa) y da una respuesta clara a los equipos que sirven a clientes bajo ambos.
Compruebe su dominio ahora
Vea qué es públicamente visible sobre la seguridad de su organización, sin registrarse.
Esta vista previa instantánea comprueba:
- HTTPS accesible
- HSTS activado
- Redirección HTTP → HTTPS
- SPF configurado
- DMARC aplicado
- Correo (MX) configurado
El informe completo añade ransomware, dark web, certificados, información empresarial y más de 100 controles adicionales.
Puntos clave
- El RGPD protege los datos personales y se aplica a casi cualquier organización; NIS2 protege la ciberresiliencia y solo se aplica a entidades esenciales e importantes designadas.
- Un incidente puede exigir dos notificaciones: una notificación de brecha de datos personales a su autoridad de control en 72 horas (RGPD art. 33) y un informe a su CSIRT a 24h/72h/un mes (NIS2 art. 23).
- Están diseñados para encajar: las autoridades cooperan (NIS2 art. 35) y no se sanciona dos veces por la misma conducta, pero usted evalúa y notifica igualmente bajo cada uno donde aplique.
Qué regula cada uno
El RGPD y NIS2 son ambos normas de la UE que tocan la seguridad, y se confunden, pero protegen cosas distintas. El RGPD protege los datos personales; NIS2 protege la continuidad y la seguridad de los servicios esenciales. Una organización puede estar sujeta fácilmente a ambos a la vez.
La distinción más clara: el RGPD pregunta «¿protege los datos personales de las personas?» y se aplica a casi cualquier organización que los trate. NIS2 pregunta «¿es su organización resiliente operativa y cibernéticamente?» y solo se aplica a entidades esenciales e importantes designadas en sectores concretos.
RGPD: datos personales, casi todos
Reglamento (UE) 2016/679, aplicable desde 2018. Regula el tratamiento de datos personales por responsables y encargados: base jurídica, derechos de los interesados y seguridad del tratamiento (art. 32). Aplicado por las autoridades de protección de datos.
NIS2: ciberseguridad, entidades designadas
Directiva (UE) 2022/2555, transpuesta al derecho nacional (plazo 17 de octubre de 2024). Regula la gestión de riesgos de ciberseguridad (art. 21) y la notificación de incidentes (art. 23) para entidades esenciales e importantes. Aplicada por las autoridades nacionales de ciberseguridad y los CSIRT.
La trampa: un incidente, dos notificaciones
Una sola brecha puede activar ambos regímenes: ante autoridades distintas, con plazos distintos. Conozca ambos:
Si un incidente de seguridad afecta a datos personales, notifique a su autoridad de control sin dilación indebida y, de ser factible, en un plazo de 72 horas desde que tenga conocimiento: salvo que sea improbable que la brecha entrañe un riesgo para los derechos y libertades de las personas.
Si es un incidente significativo, envíe a su CSIRT una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes.
Un ataque de ransomware que cifra datos personales es, simultáneamente, un incidente significativo de NIS2 y una brecha de datos personales del RGPD: dos presentaciones, dos autoridades, dos plazos.
Dónde se solapan
Implemente bien uno y partes del otro se siguen. Ambos exigen:
- Seguridad del tratamiento / medidas de gestión de riesgos: controles técnicos y organizativos proporcionados.
- Notificación de incidente o brecha en plazos definidos, con documentación de lo ocurrido y de la respuesta.
- Responsabilidad: la dirección debe asumirla, y ambos regímenes conllevan multas administrativas importantes.
- Registros y evidencia: debe poder demostrar, no solo afirmar, que los controles existen y funcionan.
- Garantía de terceros: RGPD mediante contratos de encargo (art. 28), NIS2 mediante seguridad de la cadena de suministro (art. 21.2.d).
Vea su puntuación real y la de sus proveedores
7 días gratuitos · sin tarjeta de crédito · cancele cuando quiera
La interacción clave: cooperación y sin doble multa
NIS2 se redactó para encajar con el RGPD, no para duplicarlo. Según el artículo 35 de NIS2, cuando una autoridad de ciberseguridad tenga conocimiento de que un incidente en una entidad puede entrañar una brecha de datos personales notificable conforme al art. 33 del RGPD, debe informar a la autoridad de protección de datos sin dilación indebida. Las dos autoridades cooperan e intercambian información.
Crucial: no se sanciona dos veces por la misma conducta. Cuando una autoridad de protección de datos impone una multa del RGPD por una infracción, la autoridad NIS2 no puede imponer además una multa NIS2 (art. 34) derivada de la misma conducta. Pero es una protección frente a la doble sanción por un acto: no fusiona las dos obligaciones. Usted sigue evaluando, documentando y notificando bajo cada régimen donde aplique.
Qué obligaciones aplican depende de los hechos: ¿había datos personales implicados, y es usted una entidad esencial o importante? Confirme los detalles con su autoridad de protección de datos, su autoridad nacional de ciberseguridad y asesoramiento cualificado.
¿Cuál se le aplica?
La mayoría de las organizaciones responden ante uno; muchas ante ambos:
Trata datos personales pero no es entidad esencial/importante
El RGPD aplica; NIS2 no aplica directamente: aunque la diligencia debida de un cliente NIS2 sobre su cadena de suministro puede alcanzarle a través de sus contratos.
Es una entidad esencial/importante que trata pocos datos personales
NIS2 aplica en su totalidad; el RGPD aplica a los datos personales que sí trate (empleados, clientes).
Está sujeto a ambos (el caso común)
Opere un único proceso de respuesta a incidentes que satisfaga ambos plazos: su autoridad de protección de datos en 72 h para brechas de datos, su CSIRT en la vía 24h/72h/un mes para incidentes significativos.
Es proveedor o encargado
Espere tanto cláusulas de encargo del RGPD (art. 28) como escrutinio NIS2 de la cadena de suministro (art. 21.2.d) de sus clientes: cuestionarios, solicitudes de evidencia y monitoreo continuo.
Fuentes: Reglamento (UE) 2016/679 (RGPD) y Directiva (UE) 2022/2555 (NIS2), en particular el art. 35 sobre la interacción con el RGPD. Confirme cómo aplican ambos a su situación con su autoridad de protección de datos y su autoridad nacional de ciberseguridad.
Cómo ayuda norppa.io
Ambos regímenes esperan ahora una garantía continua y respaldada por evidencia sobre sus proveedores y encargados: RGPD mediante la supervisión de encargados (art. 28), NIS2 mediante la seguridad de la cadena de suministro (art. 21.2.d). norppa.io monitoriza cada dominio de proveedor en más de cien puntos de control cada día, con cada hallazgo asignado al artículo NIS2 que afecta y exportable para sus registros.
Los cuestionarios de autoevaluación captan los controles contractuales y de proceso que ni una autoridad de protección de datos ni un auditor de ciberseguridad ven desde fuera, y cada respuesta se coteja con el perfil técnico en vivo. De modo que, venga la pregunta desde el ángulo de protección de datos o de NIS2, puede mostrar evidencia actual y corroborada en lugar de afirmaciones.