Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA
Fecha y vigencia tomadas de la base de datos de la Oficina de Publicaciones de la UE el 28 de agosto de 2026. Esta página explica cómo se cumple, no sustituye al texto oficial ni constituye asesoramiento jurídico.
Cuatro fases. La primera es la que casi nadie hace y la que evita reclamar durante semanas a quien no emite el documento.
Fijar de quién sale cada documento antes de pedir nada. Es lo que evita reclamar durante semanas a quien no lo emite.
La petición sale sola por el canal donde esa persona sí contesta, insiste cuando toca y cambia de canal si no hay respuesta.
Qué se mira de cada documento cuando llega: vigencia, alcance y que corresponde al lote, la obra o el envío.
Dónde queda archivado, atado a qué expediente, y con qué aviso antes de que caduque.
¿Es este tu caso? Cuéntanoslo y lo montamos contigo — el proceso se define una vez y sirve para los siguientes cien.
La referencia 32022L2555 se convierte en un control distinto cuando se separan su objeto, quién aporta cada evidencia y qué decisión debe poder reconstruirse después.
En NIS2, IT/CISO debe delimitar este ámbito antes de automatizarlo. La evidencia se vincula a 32022L2555, a su versión vigente y a la decisión tomada sobre este punto concreto.
En NIS2, IT/CISO debe documentar este ámbito antes de automatizarlo. La evidencia se vincula a 32022L2555, a su versión vigente y a la decisión tomada sobre este punto concreto.
En NIS2, IT/CISO debe contrastar este ámbito antes de automatizarlo. La evidencia se vincula a 32022L2555, a su versión vigente y a la decisión tomada sobre este punto concreto.
| Evidencia o dato | Quién lo aporta | Momento del control | Rastro que debe quedar |
|---|---|---|---|
| Certificación de seguridad vigente | Proveedor | A quién le toca | NIS2 · 32022L2555 · control 1: origen, fecha, versión y resultado de revisión. |
| Informe de auditoría o pentest | Auditor | A quién le toca | NIS2 · 32022L2555 · control 2: origen, fecha, versión y resultado de revisión. |
| Contrato de encargado del tratamiento | Proveedor | A quién le toca | NIS2 · 32022L2555 · control 3: origen, fecha, versión y resultado de revisión. |
| Plan de continuidad y recuperación | Proveedor | Recogida | NIS2 · 32022L2555 · control 4: origen, fecha, versión y resultado de revisión. |
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Comprueba en 32022L2555 qué productos, actividades, territorios y fechas afectan realmente a la organización.
IT/CISO suele coordinar este control, con apoyo jurídico o técnico cuando la interpretación lo requiera.
La propuesta de proceso identifica qué información habría que confirmar antes de implantar un flujo para NIS2.
Registra fuente, versión, vigencia, decisión y fecha de próxima revisión; un cambio normativo no debe quedar oculto en una plantilla antigua.
Completa los campos entre corchetes y pégalo para empezar a configurar el proceso con tu contexto.
OPERATIVA — NIS2
La fuente oficial define la obligación. El proceso interno debe traducirla en información, responsables, revisión y evidencia sin sustituir la interpretación profesional.
Fase 1 — Delimitar la operación
Documentos: referencia normativa o contractual aplicable y descripción de la actividad que se revisa.
Datos: operación [referencia], objeto [producto, servicio o centro], mercado [país], responsable [rol] y fecha objetivo [fecha].
Control: confirmar el alcance con el responsable competente; no tratar todas las evidencias de esta plantilla como obligaciones universales.
Fase 2 — Certificación de seguridad vigente
Documentos o evidencias: Certificación de seguridad vigente.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Certificación de seguridad vigente» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 3 — Informe de auditoría o pentest
Documentos o evidencias: Informe de auditoría o pentest.
Origen de la información: Auditor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Informe de auditoría o pentest» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 4 — Contrato de encargado del tratamiento
Documentos o evidencias: Contrato de encargado del tratamiento.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Contrato de encargado del tratamiento» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 5 — Plan de continuidad y recuperación
Documentos o evidencias: Plan de continuidad y recuperación.
Origen de la información: Proveedor.
Datos para Trackline: referencia de la evidencia, objeto al que corresponde, emisor, fecha, versión y enlace al archivo o registro. Identificar el alcance y los elementos cubiertos por esta evidencia.
Control: contrastar «Plan de continuidad y recuperación» con la operación identificada y registrar discrepancias o ausencias.
Condición de avance: el rol revisor [asignar] acepta la evidencia o deja la excepción abierta con motivo y fecha de resolución.
Fase 6 — Cerrar y conservar
Documentos: conjunto de evidencias revisadas y decisiones sobre las excepciones.
Datos: estado de cada requisito, aprobación, fecha de cierre y próxima revisión.
Destino: expediente de NIS2.
Control: separar lo exigible por norma, contrato o política interna. Esta configuración operativa no sustituye una evaluación jurídica ni acredita por sí sola el cumplimiento.Code Contract lo pide por donde esa persona sí contesta, insiste solo, lo lee al entrar y lo deja demostrable. Y quien lo manda no se registra en nada.