Qué exigen NIS2 y DORA a una web corporativa y a sus proveedores
Casi ninguna web de marketing entra por sí sola en el ámbito de NIS2 ni de DORA. La obligación llega por el cliente: seguridad de la cadena de suministro, cláusulas de contrato y un reloj de notificación.
Contenido
Casi ninguna web pública entra por sí sola en NIS2 ni en DORA. La obligación llega por el cliente: una entidad cubierta por la Directiva (UE) 2022/2555 debe gestionar la seguridad de sus proveedores directos, y una entidad financiera sujeta al Reglamento (UE) 2022/2554 debe poner cláusulas concretas en cada contrato TIC. Llega como cuestionario.
Puntos clave
- NIS2 cubre las entidades de los anexos I y II con 50 empleados o más, o con más de 10 millones de euros de facturación o balance.
- El artículo 21.2.d) convierte la seguridad de los proveedores en obligación de la entidad cubierta: por ahí llega el cuestionario al proveedor web.
- DORA se aplica desde el 17 de enero de 2025; su artículo 30 enumera qué debe contener un contrato TIC, y un incidente grave se notifica cuatro horas tras clasificarlo.
- España incumplió el plazo de transposición del 17 de octubre de 2024 y fue llevada al Tribunal de Justicia el 8 de julio de 2026.
A quién obligan realmente NIS2 y DORA
NIS2 aplica un test de sector y tamaño. El artículo 2.1 de la Directiva (UE) 2022/2555 cubre las entidades de los anexos I o II consideradas medianas o mayores: 50 empleados o más, o más de 10 millones de euros de facturación o balance.
El anexo I incorporó un sector que alcanza a los proveedores tecnológicos: la gestión de servicios TIC. El artículo 6.39 define proveedor de servicios gestionados como la entidad que instala, gestiona, explota o mantiene productos, redes o aplicaciones TIC mediante asistencia o administración activa. Un estudio que diseña y entrega una web queda fuera; un proveedor que administra hosting, CMS y DNS por cuota mensual queda dentro.
DORA funciona al revés. El Reglamento (UE) 2022/2554 obliga a las entidades financieras, no a sus proveedores TIC ordinarios: a estos los alcanza por el contrato que su cliente ya debe redactar.
Por qué la obligación llega igualmente al proveedor web
El artículo 21.2.d) sitúa la seguridad de la cadena de suministro entre las medidas de gestión de riesgos de la entidad cubierta, y el 21.3 le pide valorar las vulnerabilidades de cada proveedor directo. La obligación es del cliente; las pruebas las aporta el proveedor.
DORA es prescriptivo con el papel. El artículo 30 fija qué debe contener todo contrato TIC: descripción del servicio, países de prestación, recuperación de datos al terminar, niveles de servicio, asistencia en incidentes a precio pactado y derechos de terminación. El 30.3 añade objetivos de rendimiento, auditoría, pruebas de penetración y plan de salida si la función es crítica o importante.
El artículo 30.3 de DORA exige que los contratos sobre funciones críticas o importantes incluyan derechos ilimitados de acceso, inspección y auditoría, y una estrategia de salida con periodo de transición obligatorio. Fuente: Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025.
Los relojes de notificación que hay que sostener
El artículo 23 de NIS2 fija tres plazos para un incidente significativo: alerta temprana en 24 horas, notificación completa en 72 horas e informe final un mes después.
El Reglamento de Ejecución (UE) 2024/2690, de 17 de octubre de 2024, precisa cuándo se cruza ese umbral para nube, centros de datos, CDN, DNS y servicios gestionados. Un criterio general es una pérdida directa superior a 500.000 € o al 5 % de la facturación anual, lo que sea menor.
Según el Reglamento Delegado (UE) 2025/301, una entidad financiera notifica un incidente grave de TIC en las cuatro horas siguientes a clasificarlo y nunca más tarde de 24 horas desde que lo conoció, con informe intermedio a las 72 horas. Fuente: Diario Oficial, 20 de febrero de 2025.
España: la ley llega tarde, la obligación no
El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, con tres autoridades de supervisión. No ha llegado al BOE.
Tras las cartas de emplazamiento de noviembre de 2024 y los dictámenes motivados de mayo de 2025, la Comisión llevó a Irlanda, España, Francia y Países Bajos ante el Tribunal de Justicia el 8 de julio de 2026, pidiendo suma a tanto alzado y multas diarias.
De ahí salen dos consecuencias. DORA ya se aplica en España, porque un reglamento no necesita norma nacional. Y las sanciones del artículo 34 — 10 millones de euros o el 2 % de la facturación mundial para las esenciales, 7 millones o el 1,4 % para las importantes — esperan a la ley. Compras, no.
De qué responde quien opera el sitio
No de los sistemas centrales del cliente, sino del conjunto que realmente se opera: más pequeño de lo que sugieren los cuestionarios.
Es un inventario de dominios, registros DNS, certificados, versiones de CMS y plugins, y cada script de terceros que cargan las páginas. Es control de acceso con multifactor, una cadencia de parches con responsable, copias restauradas al menos una vez, logs suficientes para reconstruir un incidente y un contacto localizable.
Los scripts de terceros merecen revisión aparte, por la misma razón por la que decidir qué crawlers y bots se permiten es una decisión y no un valor por defecto. La regla que convirtió la Ley Europea de Accesibilidad en requisito de construcción vale aquí.
Preguntas frecuentes
¿Entra una web corporativa en el ámbito de NIS2?
Pocas veces por sí sola. El ámbito depende del sector del anexo I o II y del tamaño. Se llega por el titular, si está cubierto, o por el proveedor, si administra sistemas y encaja en el artículo 6.39.
¿Se aplica DORA a una agencia web?
No de forma directa, salvo que las Autoridades Europeas de Supervisión la designen proveedor tercero crítico de TIC. Llega por el contrato con la entidad financiera, que debe llevar las cláusulas del artículo 30: niveles de servicio, auditoría, incidentes y salida.
¿Qué cambia en España cuando se publique la ley?
La supervisión y las sanciones pasan a ser exigibles en España, y el registro de entidades esenciales e importantes tiene titular. Como los artículos 21 y 23 son la referencia en compras desde 2024, un entorno bien llevado cambiará poco.
Por dónde empezar
Conviene empezar por el inventario: nadie responde un cuestionario sobre activos que nunca se listaron. Después, control de acceso y parches; después, el contacto de incidentes en el contrato. El alcance se solapa con lo que financia el Kit Digital y con el calendario del Reglamento europeo de IA. Dentro de seis meses el Tribunal de Justicia pondrá precio al retraso español; las obligaciones ya se exigen por pedido de compra.
