En resumen: la directiva europea NIS2 obliga a muchas más empresas que antes a adoptar medidas de gestión de riesgos y a notificar los incidentes de seguridad significativos. En Alemania se transpone mediante la ley de transposición de NIS2 y de refuerzo de la ciberseguridad (NIS2UmsuCG, ley alemana); la autoridad competente es el BSI (Oficina Federal Alemana de Seguridad de la Información). Para los servidores web significa sobre todo: las actualizaciones, la gestión de vulnerabilidades y el tratamiento de incidentes deben estar organizados y poder demostrarse. Esta página es información general y no constituye asesoramiento jurídico.
No es asesoramiento jurídico: si su empresa entra en el ámbito de NIS2 y qué obligaciones concretas se aplican, lo aclara a partir de las indicaciones del BSI y con asesoramiento jurídico. Deliberadamente no indicamos umbrales ni plazos que dependan de su clasificación.
Qué es NIS2
NIS2 es la segunda directiva de la UE sobre seguridad de las redes y de la información. Amplía de forma considerable el círculo de empresas obligadas respecto de la regulación anterior y distingue entre entidades esenciales y entidades importantes. Qué sectores y tamaños de empresa quedan incluidos lo determina la ley.
En Alemania, el NIS2UmsuCG transpone la directiva y, para ello, reformula entre otras cosas la ley del BSI. El BSI es el interlocutor para el registro, las notificaciones y la supervisión, y ofrece en su sitio web información y ayudas para la clasificación. Allí, y no en resúmenes generales, encontrará indicaciones fiables y actualizadas sobre plazos y procedimientos.
Las obligaciones NIS2 de las empresas, de un vistazo
Para las empresas afectadas, las obligaciones pueden resumirse a grandes rasgos en tres ámbitos:
Gestión de riesgos. Las empresas deben adoptar medidas técnicas y organizativas adecuadas y proporcionadas. Por lo general, esto incluye conceptos de análisis de riesgos y de seguridad de la información, gestión de los incidentes de seguridad, continuidad de la actividad con copias de seguridad y gestión de crisis, seguridad de la cadena de suministro, seguridad en la adquisición, el desarrollo y el mantenimiento, incluido el tratamiento de las vulnerabilidades, el control de acceso y la criptografía.
Notificaciones. Los incidentes de seguridad significativos deben notificarse al BSI. La directiva prevé para ello un procedimiento por fases, desde una primera notificación temprana hasta un informe final. Los plazos y las vías de notificación exactos para Alemania figuran en las indicaciones del BSI.
Responsabilidad de la dirección. La dirección debe aprobar las medidas, supervisar su aplicación y formarse en cuestiones de ciberseguridad. Más sobre esto en Responsabilidad de la dirección.
Qué significa para los servidores web
Los servidores web suelen ser el sistema más abierto de una empresa. PHP2Shell muestra con qué rapidez una vulnerabilidad en un componente básico puede afectar a todas las aplicaciones que funcionan sobre él. Las dos vulnerabilidades CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código sin autenticación; el BSI ha declarado el nivel de alerta 3 (naranja) y ha recomendado una actualización inmediata.
Para una empresa sujeta a NIS2 surgen de ahí preguntas prácticas: ¿sabemos qué servidores usan PHP y en qué versión? ¿Quién sigue los avisos de seguridad y decide sobre las actualizaciones de emergencia? ¿Podemos detectar un ataque y quién valora si un incidente es significativo y, por tanto, notificable? ¿Está regulado qué asumen el proveedor de hosting y los proveedores de servicios?
Un parche no elimina el software malicioso introducido antes ni demuestra que no haya pasado nada. Eso también forma parte de la valoración del incidente.
Medidas concretas para la infraestructura web
Los puntos siguientes no son una lista exhaustiva, pero cubren las lagunas más frecuentes:
| Medida | Relación |
|---|---|
| Inventario de todos los servidores web, versiones de PHP y aplicaciones | Análisis de riesgos |
| Procedimiento fijo para las actualizaciones de seguridad, con reinicio y prueba documental | Gestión de vulnerabilidades |
| Supervisión y conservación de registros | Gestión de incidentes |
| Copias de seguridad probadas y plan de reanudación | Continuidad de la actividad |
| Reparto de tareas por escrito con el proveedor de hosting y las agencias | Cadena de suministro |
| Autenticación multifactor para los accesos de administrador | Control de acceso |
| Vías de notificación y responsabilidades preparadas | Obligaciones de notificación |
Como marco metodológico es adecuado el IT-Grundschutz (protección básica de TI) del BSI. Un plan de emergencia informática para servidores web une la técnica, las responsabilidades y las vías de notificación.
Pensar juntos NIS2 y protección de datos
Un ataque a un servidor web puede ser a la vez un incidente NIS2 y una violación de la protección de datos. Entonces se desarrollan dos procedimientos en paralelo, con autoridades y requisitos distintos. La notificación a la autoridad de protección de datos según el art. 33 del RGPD se describe en Obligación de notificación del RGPD: 72 horas. Planifique ambas vías con antelación, para que en caso de emergencia nadie tenga que improvisar.
Otro punto se refiere a los proveedores de servicios. Muchas empresas encargan a agencias el mantenimiento de sus sitios web y a proveedores de hosting la operación de sus servidores. La obligación de tener en cuenta los riesgos de la cadena de suministro significa en la práctica: regular por contrato quién instala las actualizaciones de seguridad, con qué rapidez se tratan las vulnerabilidades críticas, cómo se le informa de los incidentes y qué pruebas recibe. La situación en torno a PHP2Shell es una buena piedra de toque para ver si estas regulaciones ya existían y han funcionado en un caso real. Si falta una respuesta, es un punto para su gestión de riesgos.
¿Cómo ayuda PHP SOS en concreto?
- Registramos su infraestructura web y valoramos riesgos y lagunas de una forma que usted puede utilizar para su gestión de riesgos.
- Establecemos un procedimiento demostrable para las actualizaciones de seguridad y, si lo desea, lo asumimos mediante un contrato de mantenimiento de seguridad.
- Con monitorización de seguridad y conservación de registros creamos la base para detectar y valorar incidentes.
- En un incidente aportamos los hechos técnicos para su notificación al BSI; la clasificación jurídica queda en manos de usted y de su asesoramiento jurídico.
Preguntas frecuentes
¿Afecta NIS2 a mi empresa?
Depende, entre otras cosas, del sector y del tamaño de la empresa. Los criterios exactos resultan de la ley alemana de transposición. El BSI (Oficina Federal Alemana de Seguridad de la Información) ofrece en su sitio web información sobre quién está afectado; en caso de duda, aclare la cuestión con asesoramiento jurídico.
¿Qué significa NIS2 para el sitio web de una empresa?
Los servidores web, los portales de clientes y las tiendas forman parte de los sistemas cuyos riesgos debe gestionar una empresa afectada. Esto incluye las actualizaciones, la gestión de vulnerabilidades, el control de acceso y la capacidad de detectar y notificar incidentes.
¿Qué plazos de notificación rigen según NIS2?
La directiva prevé un procedimiento de notificación por fases para los incidentes de seguridad significativos. Los plazos, vías y formularios vinculantes para Alemania figuran en las indicaciones del BSI y en el texto legal. Aquí no indicamos deliberadamente plazos sin referirlos a su situación.
¿Se aplica NIS2 también a los proveedores?
NIS2 exige a las entidades afectadas que tengan en cuenta también la seguridad de su cadena de suministro. Por eso muchos clientes preguntan a sus proveedores de servicios y suministradores por las medidas de seguridad, aunque estos no queden directamente bajo la ley.