NIS2 · NISG 2026 · BSIG · RGPD

Cumpla la obligación de formación NIS2 y demuéstrelo.

NIS2 está en vigor en Austria desde el 1 de octubre de 2026 y en Alemania desde el 6 de diciembre de 2025. En España la ley de transposición sigue en tramitación. En Austria y Alemania la dirección debe asistir a formaciones en ciberseguridad, y la formación de los empleados forma parte de las obligaciones de la entidad. Protectly le ofrece la formación y el justificante de participación como exportación, alojado en la UE, a petición exclusivamente en Alemania, y con informes compatibles con el comité de empresa.

Fuentes: BGBl. I n.º 94/2025 (Austria), BGBl. 2025 I n.º 301 (Alemania)

Reservar cita

Qué exige la ley

Austria y Alemania ya han transpuesto NIS2 a su Derecho nacional. En España la transposición sigue en tramitación. Suiza no es miembro de la UE y tiene sus propias normas.

Una directiva de la UE, leyes nacionales

La base es la Directiva NIS2 (UE) 2022/2555. No se aplica directamente: cada Estado miembro la incorpora a su propia ley y fija por sí mismo los detalles sobre ámbito de aplicación, autoridades competentes, registro y sanciones. Dos requisitos de la directiva valen para todos los Estados miembros: el art. 20, apartado 2, exige formación para los órganos de dirección, y el art. 21, apartado 2, letra g, menciona las prácticas básicas de ciberhigiene y la formación en ciberseguridad como parte de la gestión de riesgos.

Transposición de NIS2 en los países de la UE (Comisión Europea, en inglés)

España

La ley española de transposición aún no se ha aprobado. El Gobierno presentó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que sigue en tramitación. El texto prevé crear un Centro Nacional de Ciberseguridad que dirija y coordine el sistema y actúe como autoridad de gestión de las crisis de ciberseguridad.

Situación
En julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE porque aún no había notificado la transposición completa de la directiva.
Organismos
Según la Comisión Europea, INCIBE-CERT es el CSIRT de referencia para el sector privado y CCN-CERT para el sector público.

Presentación del anteproyecto (La Moncloa)

Comunicado de la Comisión Europea de julio de 2026 (en inglés)

Austria

Ley de seguridad de redes y sistemas de información 2026 (NISG 2026), BGBl. I n.º 94/2025, en vigor desde el 1 de octubre de 2026.

Dirección
§ 31 apartado 2 NISG 2026: los miembros de los órganos de dirección deben participar en formaciones de ciberseguridad diseñadas para ellos.
Empleados
§ 31 apartado 2 NISG 2026: la entidad debe ofrecer a sus empleados formaciones equivalentes de forma periódica.

NISG 2026 en el Sistema de Información Jurídica federal austriaco (RIS, en alemán)

Alemania

Ley de la BSI (BSIG) en la versión de la ley alemana de transposición de NIS2, BGBl. 2025 I n.º 301, en vigor desde el 6 de diciembre de 2025.

Dirección
§ 38 apartado 3 BSIG: la dirección de las entidades especialmente importantes e importantes debe asistir regularmente a formaciones.
Empleados
§ 30 apartado 2 n.º 7 BSIG: las medidas de gestión de riesgos incluyen formaciones básicas y medidas de concienciación en materia de seguridad informática.

Ley de la BSI en gesetze-im-internet.de (en alemán)

Si su organización se ve afectada, y en qué medida, se desprende de la ley aplicable. Esta página no constituye asesoramiento jurídico.

Obligación, aplicación, justificante

Así se asignan los requisitos a lo que ofrece Protectly y este es el justificante que usted recibe.

Requisito Cómo lo cumple con Protectly Su justificante
Formación de los órganos de dirección§ 31 Abs. 2 NISG 2026, § 38 Abs. 3 BSIG Formaciones propias para el nivel directivo, por ejemplo los cursos en alemán «NIS2 Management Training (3D)» e «Informationssicherheit für Führungskräfte» (seguridad de la información para directivos). Justificante de participación como exportación
Formación periódica de los empleados§ 31 Abs. 2 NISG 2026, § 30 Abs. 2 Nr. 7 BSIG Más de 80 formaciones, entre otras sobre seguridad de la información, protección de datos y compliance, como microlearning, 2D o 3D. Exportación del avance de formación y de la participación
Ciberhigiene en el día a díaArt. 21(2)(g) NIS2 Simulaciones de phishing con botón de aviso en MS365, para notificar correos sospechosos con un clic. Tasas anonimizadas de clics y avisos como informe

Ver cursos adecuados (en alemán): NIS2 Management Training (3D), Informationssicherheit für Führungskräfte, Todos los cursos

Seguridad y protección de datos en Protectly

Le decimos con exactitud qué se aplica hoy y qué está aún en preparación.

Ámbito Estado actual
ISO 27001Seguridad de la información Nuestra seguridad de la información se orienta a los principios de ISO 27001. La certificación está en preparación.
BSI IT-GrundschutzConcepto de seguridad Existe un concepto de seguridad técnico basado en el BSI IT-Grundschutz. Lo recibe a petición.
RGPDProtección de datos Contrato de encargo de tratamiento y concepto de supresión a petición, informes solo anonimizados y agregados.
AlojamientoCentros de datos de la UE, a petición solo Alemania Operación con proveedores certificados según ISO 27001 o BSI C5: Open Telekom Cloud de Deutsche Telekom (región eu-de) y Hetzner.

Sus datos permanecen en la UE, a petición exclusivamente en Alemania.

Hoy Protectly funciona en centros de datos alemanes de Open Telekom Cloud (Deutsche Telekom, región eu-de) y de Hetzner. Están certificados según ISO 27001 o BSI C5 estos proveedores, no Protectly. Las copias de seguridad se guardan cifradas en una ubicación separada.

Medidas técnicas y organizativas

Esto es lo que su equipo de seguridad informática suele comprobar primero.

  • Transmisión cifrada

    Transmisión cifrada mediante HTTPS con TLS 1.2 y 1.3.

  • Copias de seguridad cifradas

    Copias de seguridad nocturnas cifradas con AES-256 en una ubicación separada, conservadas como máximo unos seis meses.

  • Roles y permisos

    Sistema de roles y permisos, para que cada persona vea solo lo que necesita para su tarea.

  • Inicio de sesión único

    Inicio de sesión único a través de su proveedor de identidad mediante SAML u OIDC.

  • Bloqueo de cuenta

    Bloqueo de la cuenta tras varios intentos de acceso fallidos.

  • Análisis de software malicioso

    Los archivos subidos se analizan en busca de software malicioso.

  • Accesibilidad

    Diseñada según WCAG 2.1 AA y auditada externamente en octubre de 2026: en gran medida conforme. Certificación prevista para 2027, declaración de conformidad bajo petición.

    Preguntas sobre accesibilidad: barrierefreiheit@protectly.eu

Anonimizado por diseño y compatible con el comité de empresa.

  • Solo valores de grupo

    Sin evaluación individual de personas, solo cifras agregadas a nivel de grupo o departamento.

  • Acordado con el comité de empresa

    Puede acordar la implantación junto con su comité de empresa.

  • Concepto de eliminación documentado

    La conservación y la supresión siguen un concepto de supresión documentado, que recibe a petición.

Documentación para su revisión

Para licitaciones, protección de datos y seguridad informática le facilitamos a petición estos documentos:

  • Concepto de seguridad técnico basado en el BSI IT-Grundschutz
  • Concepto de supresión
  • Contrato de encargo de tratamiento
  • Resumen de subencargados del tratamiento
  • Declaración de conformidad WCAG 2.1 AA
Solicitar documentación Reservar cita

O escríbanos directamente a office@protectly.eu.

Quién está detrás de Protectly

Protectly es un producto de Smart-Study GmbH, con sede en Graz y una oficina en Viena. Más de 60.000 personas utilizan los productos de Smart-Study.

Aviso legal Sobre nosotros

Referencia

Ministerio de Finanzas de Hesse

Ver el caso de éxito

Otros clientes

  • Hessisches Ministerium der Finanzen
  • HSE365AT Health-Services 365 AT
  • PBeaKK
  • SVD Informationssicherheit
  • Leins Aktenvernichtung
  • PFINDER

Preguntas frecuentes de licitaciones

¿Dónde se almacenan nuestros datos y qué subencargados intervienen?

Sus datos permanecen en la UE, a petición exclusivamente en Alemania. Hoy la operación se realiza en centros de datos alemanes de Open Telekom Cloud (Deutsche Telekom) y de Hetzner. Ambos proveedores están certificados según ISO 27001 o BSI C5. Un resumen actualizado de subencargados lo recibe a petición.

¿Existe un contrato de encargo de tratamiento?

Sí. Le enviamos el contrato de encargo de tratamiento a petición. Los informes están anonimizados y agregados.

¿Cuánto tiempo se conservan los datos y cómo se suprimen?

La conservación y la supresión las regula nuestro concepto de supresión, que recibe a petición. Las copias de seguridad cifradas se conservan como máximo unos seis meses.

¿Son los informes compatibles con el comité de empresa?

Sí. Los informes están anonimizados y agregados a nivel de grupo o departamento, no hay evaluación individual de personas. Puede acordar la implantación con su comité de empresa.

¿Qué justificantes recibimos para auditorías y licitaciones?

El avance de la formación y la participación pueden exportarse en un formato apto para auditoría. Los documentos sobre nuestras medidas de seguridad, por ejemplo el concepto de seguridad técnico, se los facilitamos a petición.

Seguir leyendo

Hablemos de su formación NIS2.

Reservar cita

Siguiente: casos de éxito