NIS2 está en vigor y la obligación de formación ya se aplica

Desde el 1 de octubre de 2026, NIS2 está en vigor en Austria. La pregunta ya no es si llegarán los requisitos, sino si su empresa ya los cumple. Hay un punto que se subestima una y otra vez: la obligación de formar con regularidad en ciberseguridad a los empleados y también a la propia dirección. Este artículo explica a quién afecta NIS2, qué dice concretamente la directiva sobre la formación y por dónde conviene empezar ahora.

A quién afecta NIS2

NIS2 distingue dos grupos: entidades “esenciales” y entidades “importantes”. Entre las entidades esenciales se cuentan, entre otras, la energía, el transporte, la banca, la sanidad, el agua potable y la infraestructura digital. Se consideran entidades importantes, por ejemplo, los servicios postales y de mensajería, la gestión de residuos, la química, la alimentación, la industria manufacturera y determinados servicios digitales. Para ambos grupos rigen en gran medida las mismas obligaciones. Las diferencias están sobre todo en la supervisión y las sanciones.

Por lo general quedan incluidas en el ámbito de aplicación las empresas medianas y grandes de estos sectores, dicho a grandes rasgos, a partir de 50 empleados o con más de diez millones de euros de facturación anual. Algunas entidades están incluidas con independencia de su tamaño. E incluso quien formalmente no está afectado suele notar NIS2 a través de la cadena de suministro: las empresas afectadas deben evaluar la seguridad de sus proveedores y trasladan los requisitos por contrato.

Qué significan los artículos 20 y 21 para la formación

Dos pasajes de la directiva hacen obligatorias las formaciones de concienciación:

• Artículo 20 (gobernanza): los órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su aplicación. Además, están obligados a participar ellos mismos en formaciones y deben ofrecer con regularidad formaciones similares también a sus empleados.
• Artículo 21 (gestión de riesgos): el catálogo de medidas mínimas menciona expresamente las prácticas básicas de ciberhigiene y la formación en materia de ciberseguridad, al mismo nivel que temas como la gestión de copias de seguridad, el control de acceso y la seguridad de la cadena de suministro.

La formación de concienciación deja así de ser algo voluntario y pasa a formar parte del paquete de medidas exigido por ley. Una instrucción única al incorporarse a la empresa claramente no cumple la exigencia de “regularidad”: se trata de un programa continuo que llegue a todos los empleados y cuya realización se pueda acreditar.

Responsabilidad de la dirección

El artículo 20 prevé que los órganos de dirección puedan ser considerados responsables de las infracciones de las obligaciones de gestión de riesgos. Cómo se configura esa responsabilidad en cada caso se deriva del derecho nacional y depende de las circunstancias. Este artículo no constituye, expresamente, asesoramiento jurídico. Para valorar su situación concreta debería recabar asesoramiento jurídico.

Lo que sí se puede afirmar es que la obligación de formación es uno de los pocos puntos en los que NIS2 se dirige personalmente a la dirección. Quien puede acreditar su propia participación y un programa documentado para la plantilla está en una posición claramente mejor que una empresa sin pruebas.

Primeros pasos concretos

1. Aclarar si está afectado: compruebe el sector y el tamaño de la empresa, y si clientes de sectores regulados le trasladan requisitos.
2. Hacer un inventario: ¿qué formaciones ha habido hasta ahora, quién ha participado, qué está documentado? Aquí las lagunas suelen salir a la luz enseguida.
3. Poner en marcha un programa recurrente: combine cursos de e-learning con simulaciones de phishing periódicas. Así, el cumplimiento de una obligación se convierte en una ganancia de seguridad medible. Por qué funciona esta combinación lo explica nuestro artículo sobre la concienciación en ciberseguridad.
4. Implicar a la dirección: planifique desde el principio la participación del nivel directivo, porque se exige expresamente.
5. Asegurar las pruebas: las tasas de participación, las finalizaciones y los resultados de las simulaciones deben documentarse con orden, para poder responder ante las autoridades y los clientes.

Empezar ahora en lugar de reaccionar tarde

NIS2 es derecho vigente, y la obligación de formación se puede cumplir con un esfuerzo razonable si se empieza de forma estructurada. Cómo apoya Protectly a las empresas en ello, desde cursos de concienciación listos para usar hasta el informe de participación, lo muestra nuestra visión general de NIS2. O vea la plataforma directamente: solicite una demo, sin compromiso y adaptada a su sector.