La NIS2 en Estonia: qué exige la Ley de Ciberseguridad modificada

Estonia transpuso la NIS2 modificando su Ley de Ciberseguridad (Küberturvalisuse seadus, KüTS). Las modificaciones se publicaron en el Riigi Teataja a finales de 2025 y se aplican desde el 1 de enero de 2026. La Autoridad del Sistema de Información (RIA) calcula que unas 6500 organizaciones están ahora dentro del ámbito de aplicación, aproximadamente la mitad de ellas por primera vez.

Inscripción

Las entidades incluidas en el ámbito de aplicación deben inscribirse ante la RIA, indicando su nombre y código de registro, sus datos de contacto, incluidos los rangos de IP públicas, su sector y los países en los que prestan servicios. Las organizaciones que ya estaban dentro del ámbito de aplicación el 1 de enero de 2026 tenían de plazo hasta el 1 de abril de 2026; las que entren en él más adelante disponen de tres meses. Los cambios deben comunicarse en un plazo de dos semanas. La inscripción se realiza a través de eesti.ee.

El órgano de dirección es responsable

Al menos un miembro del órgano de dirección debe ser designado responsable de aprobar y supervisar las medidas de ciberseguridad, y debe seguir una formación periódica. Si no se designa a nadie, la responsabilidad recae en todo el órgano de dirección.

Medidas de seguridad y E-ITS

Las medidas deben basarse en un análisis de riesgos y abarcar los ámbitos enumerados en el artículo 21 de la Directiva: políticas, gestión de incidentes, continuidad y copias de seguridad, seguridad de la cadena de suministro, desarrollo seguro y gestión de vulnerabilidades, evaluación de la eficacia, formación, criptografía, control de accesos y gestión de activos, y autenticación multifactor.

En Estonia, la referencia detallada es la norma estonia de seguridad de la información (E-ITS), salvo que la organización disponga de un certificado ISO/IEC 27001 válido. Las normas para las organizaciones más pequeñas se han flexibilizado desde octubre de 2025. Confirme con la RIA qué referencia se le aplica, ya que los reglamentos de desarrollo se han modificado varias veces.

Notificación de incidentes a la RIA

Los incidentes significativos se notifican a la RIA: una notificación inicial en un plazo de 24 horas, una notificación del incidente en un plazo de 72 horas y un informe final en el plazo de un mes. La ley estonia también exige a las organizaciones que externalizan o alojan sus sistemas que se aseguren de que el proveedor les informe de los incidentes en un plazo de 24 horas.

Plazos

• 1 de enero de 2026: se aplica la ley modificada, incluida la notificación de incidentes.
• 1 de abril de 2026: plazo de inscripción para las organizaciones que ya estén dentro del ámbito de aplicación.
• 1 de enero de 2029: plazo para que las organizaciones existentes tengan implantadas las medidas de seguridad exigidas.

Por dónde empezar

Si no se ha inscrito, hágalo primero. Después, obtenga la aprobación de la dirección para una política de seguridad y un procedimiento de notificación de incidentes, porque las obligaciones de notificación ya se aplican. Nuestra evaluación NIS2 está redactada para la ley estonia y genera la resolución del órgano de dirección, la política y el procedimiento de notificación precumplimentados para su empresa.