NIS2, DORA y CRA: separa la seguridad de la entidad, del servicio y del producto
NIS2 regula entidades en sectores críticos, DORA la resiliencia operativa de entidades financieras y CRA productos con elementos digitales. Pueden cruzarse, pero su alcance, responsable y calendario son diferentes.
Entidad y cadena de suministro
Medidas de riesgo, gobierno e incidentes conforme a la transposición nacional.
DORA aplicable
Gestión del riesgo TIC, incidentes, pruebas, terceros y cooperación financiera.
Reporting CRA
Empiezan las obligaciones de notificar vulnerabilidades explotadas activamente e incidentes graves.
Una respuesta para cada decisión
Diferencias entre NIS2, DORA y CRA
La pregunta decisiva es qué se regula: la organización y sus sistemas, la resiliencia financiera o el producto hardware/software comercializado.
Leer →Ámbito NIS2Quién está obligado por NIS2
Como regla, NIS2 alcanza entidades medianas y grandes de 18 sectores, pero existen inclusiones por criticidad y detalles nacionales.
Leer →Gestión de riesgosMedidas de ciberseguridad NIS2: checklist
Las medidas deben ser adecuadas y proporcionadas al riesgo y abarcar sistemas, personas, instalaciones y terceros.
Leer →Reporting de incidentesCómo notificar un incidente NIS2: 24 horas, 72 horas y cierre
NIS2 prevé una comunicación escalonada: alerta temprana en 24 horas, notificación en 72 horas y, normalmente, informe final en un mes.
Leer →Resiliencia operativaDORA: obligaciones para entidades financieras
DORA se aplica desde el 17 de enero de 2025 y exige integrar el riesgo TIC en el gobierno y la continuidad de la entidad financiera.
Leer →Terceros tecnológicosRegistro de proveedores TIC y contratos DORA
El registro de información no es una lista de proveedores: relaciona cada contrato y servicio TIC con entidad, función y criticidad.
Leer →Ámbito CRAQué productos cubre el Cyber Resilience Act
CRA cubre hardware y software puestos en el mercado cuya finalidad o uso razonablemente previsible incluye una conexión lógica o física con un dispositivo o red.
Leer →Fechas CRACalendario del Cyber Resilience Act 2026–2027
CRA no entra de una vez: en 2026 ya comienzan reporting y piezas institucionales, mientras las obligaciones principales llegan en diciembre de 2027.
Leer →Reporting de productoNotificación de vulnerabilidades e incidentes CRA
Desde el 11 de septiembre de 2026, fabricantes deben activar procesos y plazos de comunicación aunque la aplicación general llegue después.
Leer →Conformidad de producto digitalExpediente CRA, SBOM y gestión de vulnerabilidades
La seguridad debe sostenerse durante el periodo de soporte: diseño seguro, componentes conocidos, vulnerabilidades tratadas y actualizaciones distribuidas.
Leer →Lista de comprobaciónChecklist NIS2, DORA y CRA
La lista empieza separando entidad y producto para evitar aplicar controles correctos al objeto regulado equivocado.
Leer →Actualización regulatoriaNovedades NIS2, DORA y CRA en 2026
En 2026 convergen implementación nacional, supervisión financiera y el primer reporting obligatorio de productos digitales.
Leer →El registro conecta activo, proveedor, control, incidente y decisión
Code Contract puede solicitar evidencias, controlar contratos y versiones, organizar incidentes y mantener la trazabilidad de terceros y productos. La entidad o fabricante mantiene la evaluación del riesgo y la responsabilidad regulatoria.
Estado oficial y fecha de revisión
Directiva NIS2
Sectores, medidas, supervisión y cooperación.
Fuente oficial ↗Comisión EuropeaPreguntas frecuentes NIS2
Alcance, sectores, cadena y notificación de incidentes.
Fuente oficial ↗EUR-LexDirectiva (UE) 2022/2555
Texto jurídico de NIS2.
Fuente oficial ↗EUR-LexReglamento (UE) 2022/2554
Texto jurídico de DORA.
Fuente oficial ↗Comisión EuropeaCyber Resilience Act
Alcance, calendario y obligaciones de ciclo de vida.
Fuente oficial ↗EUR-LexReglamento (UE) 2024/2847
Texto jurídico del CRA.
Fuente oficial ↗Comisión EuropeaImplementación CRA
Hitos, guías, reporting y aplicación completa.
Fuente oficial ↗Uso informativo: comprueba transposición nacional de NIS2, sector, tamaño, designación, tipo de entidad financiera, producto, clase CRA, fechas y actos de ejecución aplicables.
De entender NIS2, DORA y CRA a operarlo
Compara opciones, diseña el flujo y prueba el expediente con un caso y una plantilla propios de esta regulación.
Software para evidencias NIS2, DORA y CRA
El software adecuado conecta entidad, activo, servicio, función crítica, riesgo, control, evidencia, proveedor, contrato, ubicación, vulnerabilidad, versión, incidente, impacto, plazo, notificación y remediación; no convierte un repositorio o formulario en cumplimiento automático.
Abrir →Comparación de alternativasGRC, ITSM, hojas o plataforma de ciberseguridad
La decisión no es “Excel o software”: puede combinar sistemas maestros, especialistas y una capa que coordine terceros y excepciones.
Abrir →Automatización paso a pasoCómo automatizar evidencias e incidentes regulatorios
Automatizar significa que los datos correctos avanzan y las excepciones llegan al responsable con contexto suficiente.
Abrir →Caso prácticoEjemplo de expediente de un proveedor TIC crítico
El escenario muestra el flujo y los controles sin presentarse como caso de cliente ni inventar métricas de ahorro.
Abrir →Plantilla operativaPlantilla de control NIS2, DORA y CRA
Úsala para modelar el proceso antes de configurarlo en una hoja, sistema interno o plataforma; adapta los campos al caso y la fuente oficial.
Abrir →