NIS2

Relevancia cuántica

Marco de ciberseguridad de sectores críticos. Los proveedores cloud figuran entre los tipos cubiertos, pero alojar una plataforma cuántica no determina por sí solo la inclusión: hay que verificar actividad, tamaño, establecimiento, excepciones y transposición nacional.

Criterios de aplicación (4)

• O

  Las entidades esenciales e importantes comprendidas en NIS2 deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad, incluidas políticas sobre criptografía y, cuando proceda, cifrado, sin que ello convierta ninguna tecnología concreta en obligación universal.

  Roles entidades esenciales e importantes

• I

  La migración a criptografía poscuántica o a soluciones híbridas puede formar parte de las medidas exigibles bajo NIS2 cuando el análisis de riesgo, la vida útil de los datos, el estado de la técnica y la criticidad del servicio lo justifiquen, pero NIS2 no impone literalmente PQC a toda entidad ni a todo sistema.

  Roles entidades incluidas

• O

  Las entidades incluidas deben gestionar la seguridad de la cadena de suministro respecto de proveedores directos, incluidos proveedores de computación, componentes o servicios cuánticos cuando soporten redes y sistemas relevantes, con alcance condicionado por actividad, tamaño, sector, establecimiento, excepciones y norma nacional aplicable.

  Roles entidades incluidas

• O

  Las entidades incluidas notificarán incidentes significativos conforme al art. 23.4 NIS2: alerta temprana sin demora indebida y a más tardar24h, notificación a más tardar72h desde conocimiento y actualización/informe intermedio a solicitud. El informe final se presenta a más tardar un mes tras la notificación; si el incidente continúa, informe de situación y final en un mes desde haberlo gestionado. Para incidentes significativos de prestadores de servicios de confianza que afecten a sus servicios, la notificación de la letra b) se adelanta a24h. Estos relojes se distinguen del aviso contractual del proveedor al cliente.

  Roles entidades incluidas

Riesgo si se incumple

Transposición en España

No cerrada por el contraste documental a03-10-2026: para una conclusión individual deben comprobarse BOE/expediente, régimen sancionador y autoridad. No se afirma ausencia absoluta de transposición por una búsqueda incompleta.

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

• Sensores cuánticos como sistemas OT críticos

  Los sensores cuánticos conectados que controlen infraestructuras críticas pueden tratarse como sistemas OT dentro de un marco NIS2 o ENS cuando la entidad, el sistema y el servicio estén dentro del ámbito aplicable, pero el mero hecho de ser sensor OT o tecnología cuántica no incluye automáticamente a su proveedor u operador en NIS2. En ese supuesto condicionado, el contenido final conserva segmentación de red, monitorización de integridad, respuesta a incidentes, control de acceso robusto y actualización segura de firmware como controles exigibles o esperables según riesgo, categoría y norma aplicable. La mención a comunicaciones cifradas, PQC o híbridas, SCADA seguro y VPNs entre plantas debe quedar como recomendación o interpretación por riesgo, no como obligación tecnológica universal.

  Manual QT-QMS §1.4, §4.4

  Directiva (UE)2022/2555 ↗ · Arts.2–3,21,23.4,34.4–5

  Reglamento de Ejecución (UE)2024/2690 ↗ · Art.1 y Anexo §9

  Real Decreto311/2022 ↗ · Art.2,DA2,AnexoII

• Plazos NIS2 trasladados al contrato con el proveedor

  La cláusula tipo puede exigir al proveedor que informe al cliente por canal 24/7 en un plazo interno de 12 horas, pero ese plazo es una propuesta contractual del manual y no un plazo legal de NIS2. La obligación legal NIS2 del art. 23.4 se computa desde que la entidad tenga conocimiento del incidente significativo, exige alerta temprana en 24 horas, notificación en 72 horas, informes intermedios a solicitud y un informe final no más tarde de un mes desde la notificación del incidente. Si el incidente siguiera en curso al vencimiento del informe final, la formulación contractual debe prever un informe de evolución y un informe final posterior cuando se gestione el incidente, y debe contemplar la especialidad de prestadores de servicios de confianza cuando el supuesto encaje. El contrato debe obligar al proveedor a facilitar al cliente la información necesaria para cumplir esos plazos legales, pero no debe transformar la periodicidad interna del manual en ley. La excepción de servicios de confianza adelanta a24h la notificación del art.23.4.b; para incidentes en curso, el final se presenta dentro de un mes desde su gestión. Las12h contractuales no suspenden el reloj legal ni permiten esperar si una comunicación anterior es necesaria.

  Manual QT-QMS, Cláusula tipo 4

  Directiva (UE)2022/2555 ↗ · Arts.2–3,21,23.4,34.4–5

  Reglamento de Ejecución (UE)2024/2690 ↗ · Art.1 y Anexo §9

  Real Decreto311/2022 ↗ · Art.2,DA2,AnexoII

• Nota España: la palanca real hoy es el ENS

  Mientras no se cierre editorialmente la transposición española de NIS2 con BOE o expediente suficiente al corte, el ENS es el anclaje vinculante para sector público y determinados proveedores privados en su ámbito propio, especialmente cuando presten servicios o provean soluciones a entidades del sector público en virtud de relación contractual. Las Instrucciones Técnicas de Seguridad del ENS son de obligado cumplimiento, pero no toda guía CCN-STIC debe tratarse automáticamente como norma obligatoria salvo incorporación por ITS, contrato, pliego o perfil de cumplimiento. Además, para las categorías de entidades cubiertas por el Reglamento de Ejecución (UE) 2024/2690, existen requisitos técnicos y metodológicos UE directamente aplicables que desarrollan NIS2, por lo que no debe afirmarse que toda exigencia técnica operativa dependa exclusivamente de la futura transposición española.

  Revisión del consejo (ronda 2) sobre §4.2

  Directiva (UE)2022/2555 ↗ · Arts.2–3,21,23.4,34.4–5

  Reglamento de Ejecución (UE)2024/2690 ↗ · Art.1 y Anexo §9

  Real Decreto311/2022 ↗ · Art.2,DA2,AnexoII

Puntos abiertos de actualización

Historial de cambios

• 28-09-2026Punto abierto cerrado: COM(2026) 13 final (20-01-2026, procedimiento 2026/0012(COD)) propone añadir al art. 7(2) NIS2 una letra k) sobre políticas nacionales de transición a PQC. Es una propuesta legislativa [P], no derecho vigente.

Fuentes

Fuentes verificadas

• Directiva (UE) 2022/2555 — Seguridad de las redes y sistemas de información ↗
  https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• COM(2026) 13 final — Propuesta de modificación de la Directiva (UE) 2022/2555 ↗
  https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:52026PC0013