Aplique el artículo 21 de NIS2 hasta las máquinas de su planta.
NIS2 obliga a los operadores industriales a aplicar a su OT las diez medidas del artículo 21. Deben notificar los incidentes significativos en 24 horas. Access Gate controla y registra cada acceso a sus máquinas, on-premise.
Última actualización:
El problema
El artículo 21 se aplica a todos los activos incluidos, también a los PLC, HMI, máquinas CNC, servidores SCADA y sensores de planta. Muchos funcionan con firmware propietario o un sistema operativo sin soporte y no admiten agentes de endpoint. La directiva no prevé ninguna exención para estas máquinas.
¿Qué exige NIS2 para la OT y los sistemas de control industrial?
NIS2 no distingue entre IT y OT. Un operador industrial incluido en el ámbito gestiona el riesgo con las diez medidas del artículo 21 y notifica los incidentes significativos según el artículo 23. Su dirección aprueba y supervisa esas medidas según el artículo 20. Los PLC, los HMI, los servidores SCADA y las estaciones de ingeniería son redes y sistemas de información en el sentido de la directiva, así que las obligaciones les afectan.
Quién está incluido
NIS2 abarca los 11 sectores del anexo I (energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio) y los 7 del anexo II (servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación, proveedores digitales e investigación). La fabricación del anexo II incluye productos sanitarios, productos informáticos, electrónicos y ópticos, material eléctrico, maquinaria y equipo, vehículos de motor y otro material de transporte.
La regla de tamaño incluye a las medianas y grandes empresas: 50 empleados o más, o más de 10 M€ tanto de volumen de negocios anual como de balance general. Algunas entidades están incluidas sea cual sea su tamaño, como los proveedores de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los proveedores de servicios DNS o la entidad que es la única proveedora en su Estado miembro de un servicio esencial para la sociedad.
Las grandes empresas de los sectores del anexo I son entidades esenciales. La mayoría de las demás entidades incluidas son entidades importantes. Ambas aplican las mismas medidas. Las entidades esenciales tienen una supervisión proactiva y multas más altas.
Las diez medidas del artículo 21, apartado 2
El artículo 21, apartado 2, fija las medidas mínimas que cada entidad incluida aplica en proporción a su riesgo.
- a) Políticas de análisis de riesgos y de seguridad de los sistemas de información
- b) Gestión de incidentes
- c) Continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y gestión de crisis
- d) Seguridad de la cadena de suministro, incluidas las relaciones con proveedores y prestadores de servicios directos
- e) Seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluida la gestión y divulgación de vulnerabilidades
- f) Políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos
- g) Prácticas básicas de ciberhigiene y formación en ciberseguridad
- h) Políticas y procedimientos relativos a la criptografía y, en su caso, al cifrado
- i) Seguridad de los recursos humanos, políticas de control de acceso y gestión de activos
- j) Autenticación multifactor o continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicación de emergencia, cuando proceda
Notificación de incidentes según el artículo 23
La entidad notifica cada incidente significativo a su CSIRT o autoridad competente en tres pasos: una alerta temprana en las 24 horas siguientes a tener conocimiento de él, una notificación del incidente en 72 horas y un informe final como máximo un mes después de la notificación. Los registros de sesión de Access Gate guardan quién accedió a qué máquina y cuándo. Su equipo saca de ellos los datos de cada informe.
Responsabilidad de la dirección según el artículo 20
Los órganos de dirección aprueban las medidas del artículo 21, supervisan su aplicación y pueden ser considerados responsables de los incumplimientos. Sus miembros deben seguir formación en ciberseguridad. Más información sobre la responsabilidad de la dirección en NIS2.
Multas según el artículo 34
La directiva obliga a los Estados miembros a fijar multas máximas de al menos 10 M€ o el 2 % del volumen de negocios anual mundial total del ejercicio anterior para las entidades esenciales, y de al menos 7 M€ o el 1,4 % para las importantes, si esta cifra es superior. Fuente: Directiva (UE) 2022/2555, artículo 34.
Las partes del artículo 21 que Access Gate aplica en la red
Estas partes del artículo 21 dependen de quién y qué puede llegar a sus máquinas. Access Gate aplica la parte de red en sus instalaciones.
- Seguridad de la cadena de suministro (d). Proveedores e integradores solo llegan a las máquinas que usted autoriza, durante un tiempo limitado y con MFA, y cada sesión queda grabada. Vea el acceso remoto seguro para OT.
- Control de acceso y MFA (i, j). Cada usuario se autentica con MFA en Access Gate antes de que una sesión llegue a un PLC o un HMI. La máquina no tiene que admitir MFA.
- Gestión de activos (i). El inventario de activos registra cada máquina a partir del tráfico que ya circula por su red. No se instala nada en las máquinas.
- Zonas entre OT e IT (a, g, i). Access Gate divide la OT en zonas y bloquea toda conexión que usted no haya autorizado, según el modelo de zonas y conductos de la IEC 62443. El considerando 89 incluye la segmentación de la red entre las prácticas de ciberhigiene.
- Registro para la gestión de incidentes (b). Cada conexión queda registrada con usuario, máquina y hora. Su equipo usa ese registro para la alerta temprana de 24 horas.
Lo que sigue siendo responsabilidad suya
Access Gate no hace que una entidad cumpla por sí solo. Su equipo redacta el análisis de riesgos y las políticas de seguridad, gestiona y notifica los incidentes, planifica la continuidad, aplica los parches, fija la seguridad en los contratos con proveedores y forma al personal. Access Gate aporta la aplicación técnica y las evidencias de la parte de red de las medidas.
Tres cifras de NIS2 y sus fuentes.
Cada cifra enlaza con el texto original.
- 24 h, 72 h, 1 mes
- Alerta temprana, notificación del incidente e informe final tras un incidente significativo.
- Directiva (UE) 2022/2555, artículo 23(4)
- 18 sectores
- 11 sectores de alta criticidad en el anexo I y otros 7 sectores críticos en el anexo II.
- Directiva (UE) 2022/2555, anexos I y II
- 15 o 20 objetivos
- Objetivos de seguridad del ReCyF francés, publicado por la ANSSI el 17 de marzo de 2026. Las entidades importantes tienen 15. Las esenciales, los 20.
- ANSSI, Référentiel Cyber France (ReCyF)
Cómo transponen NIS2 Francia y Alemania
NIS2 es una directiva, así que cada Estado miembro la incorpora a su derecho nacional y designa su autoridad. El plazo de transposición terminó el 17 de octubre de 2024.
Francia: la ANSSI y el proyecto de ley Résilience
Francia transpone NIS2 mediante el proyecto de ley sobre la resiliencia de las infraestructuras críticas y el refuerzo de la ciberseguridad, conocido como projet de loi Résilience. El Senado lo aprobó en marzo de 2025. Su examen en la Asamblea Nacional, previsto para octubre de 2026, se retiró del orden del día. El texto vuelve a estar inscrito a partir del 9 de noviembre de 2026. La ANSSI es la autoridad nacional. Indica que las obligaciones NIS2 se aplicarán en Francia cuando se promulgue la ley y se publiquen sus decretos de desarrollo. La ANSSI sigue el avance en su página sobre la transposición. A la espera de esos textos, su ReCyF prevé 15 objetivos de seguridad para las entidades importantes y 20 para las esenciales.
Alemania: la NIS2UmsuCG y el registro ante el BSI
Alemania transpuso NIS2 con la ley NIS2UmsuCG, que reescribe la ley del BSI (BSIG). La ley se promulgó el 5 de diciembre de 2025 y se aplica desde el 6 de diciembre de 2025. El BSI supervisa unas 29.500 entidades, clasificadas como especialmente importantes o importantes. Cada entidad incluida se registra ante el BSI en un plazo de tres meses desde que entra en el ámbito, primero en Mein Unternehmenskonto y después en el portal del BSI. El artículo 30, apartado 2, de la BSIG recoge las diez medidas mínimas.
Cómo aplica Access Gate el artículo 21 a máquinas sin agentes.
Access Gate aplica las medidas en la red, delante de las máquinas. Usted lo conecta a su cortafuegos o router actual y añade una regla que le envía el tráfico de las máquinas. No se instala nada en las máquinas y su firmware no cambia.
Los operadores con varias plantas despliegan un Access Gate por planta, sin dependencias entre ellas. Cada planta tiene sus propias zonas IEC 62443, y usted gestiona las políticas de todas desde un solo lugar.
Segmentación sin recablear
Access Gate separa las zonas OT de IT y entre sí. Sus VLAN y switches siguen como están.
MFA delante de cada máquina
Access Gate verifica el MFA antes de que una sesión llegue a la máquina, y el PLC no tiene que admitirlo. Así se cubren las medidas de control de acceso y MFA de las letras i y j.
Un registro encadenado por hash de cada sesión OT
Cada conexión a un activo OT queda registrada con usuario, hora y protocolo, y las sesiones se pueden reproducir. El registro está encadenado por hash, así que cualquier alteración es detectable.
¿Exige NIS2 la segmentación OT?
Sí, en la práctica. El artículo 21, apartado 2, de la directiva no usa esa palabra. Exige políticas de análisis de riesgos y de seguridad de los sistemas de información (letra a), prácticas básicas de ciberhigiene (letra g) y control de acceso (letra i). El considerando 89 incluye la segmentación de la red entre las prácticas de ciberhigiene.
Las normas de ejecución son explícitas. El punto 6.8 del anexo del Reglamento de Ejecución (UE) 2024/2690 exige a las entidades del sector digital dividir sus sistemas en zonas y mantener los sistemas críticos para la seguridad en zonas protegidas. La guía técnica de implementación de ENISA (junio de 2025, en inglés) explica cómo aplicarla y comprobarla.
La normativa francesa también exige la segmentación. El objetivo 7 del ReCyF publicado por la ANSSI exige a las entidades esenciales dividir sus sistemas en zonas de seguridad y controlar el tráfico entre ellas. La obligación incluye el tráfico de proveedores y subcontratistas.
Access Gate segmenta la OT sin recablear. Usted lo conecta a su cortafuegos o router actual y añade una regla. Aplica las políticas de zona en la red y no se instala nada en las máquinas.
Access Gate se conecta junto a su red.
Conéctelo a su cortafuegos o router actual y añada una regla. No hace falta recablear.
Políticas de acceso entre OT e IT.
Decida cómo se conectan servidores, PLC y HMI a los sistemas corporativos. Las políticas se aplican en la red, sin instalar nada en las máquinas.
Evidencias para cada medida del artículo 21.
Los registros de acceso y los informes de políticas están listos cuando el auditor los pide.
Cómo responde Access Gate a cada medida del artículo 21.
Para cada una de las diez medidas, verá qué exige la directiva, qué hace Access Gate en la red y qué sigue siendo responsabilidad suya. Aplicado significa que Access Gate ejecuta el control técnico. Apoya significa que cubre parte de la medida o aporta evidencias.
| Artículo | Medida | Control de Access Gate | Cobertura |
|---|---|---|---|
| Art. 21(2)(a) | Análisis de riesgos y políticas de seguridad de los sistemas de información | El inventario de activos y la denegación por defecto alimentan su análisis de riesgos. Redactar la política sigue siendo tarea suya. | Apoya |
| Art. 21(2)(b) | Gestión de incidentes | Registros de sesión, alertas y reproducción para la alerta temprana de 24 h. La notificación sigue siendo tarea suya. | Apoya |
| Art. 21(2)(c) | Continuidad de negocio y gestión de crisis | Access Gate se conecta junto a la red, así que la producción sigue si se detiene. La recuperación ante desastres sigue siendo tarea suya. | Apoya |
| Art. 21(2)(d) | Seguridad en la cadena de suministro | Acceso de proveedores por sesión, con MFA, grabación y revocación automática. Los contratos con proveedores siguen siendo tarea suya. | Aplicado |
| Art. 21(2)(e) | Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas | Descubrimiento pasivo de máquinas no gestionadas y denegación por defecto alrededor de las que no tienen parche. La gestión de vulnerabilidades sigue siendo tarea suya. | Apoya |
| Art. 21(2)(f) | Evaluación de la efectividad | Auditorías de políticas de acceso y paquetes de evidencias bajo demanda. | Apoya |
| Art. 21(2)(g) | Higiene en ciberseguridad y formación | MFA, mínimo privilegio y caducidad de sesiones impuestos por política. La formación sigue siendo tarea suya. | Apoya |
| Art. 21(2)(h) | Criptografía y cifrado | Cada ruta de acceso se cifra con TLS. La política sigue siendo tarea suya. | Aplicado |
| Art. 21(2)(i) | Control de acceso y gestión de activos | Inventario pasivo de activos y acceso por identidad, por usuario, máquina y protocolo. La seguridad de los recursos humanos sigue siendo tarea suya. | Aplicado |
| Art. 21(2)(j) | Autenticación multifactor | MFA en la pasarela antes de que una sesión llegue a la máquina, con TOTP sin conexión. La voz y el vídeo seguros siguen siendo tarea suya. | Aplicado |
Establecer y mantener políticas de gestión de riesgos para todos los sistemas de información.
Access Gate proporciona descubrimiento continuo de activos, cartografía de la red y aplicación de políticas. El riesgo se gestiona mediante microsegmentación y reglas de denegación por defecto. Los cambios de política están versionados. La redacción del análisis de riesgos y de la política de seguridad sigue siendo responsabilidad suya.
Prevenir, detectar y gestionar incidentes, y enviar una alerta temprana en las 24 horas siguientes a tener conocimiento de un incidente significativo.
Access Gate detecta anomalías en las sesiones, envía alertas y reproduce sesiones para el análisis forense. Cada conexión se registra con la identidad del usuario, la marca de tiempo, el origen y el destino. La evidencia de incidentes se guarda de forma continua y se exporta cuando se necesita. La respuesta y la notificación a la autoridad siguen siendo tarea de su equipo.
Mantener las operaciones durante y después de un incidente de seguridad. Gestionar las copias de seguridad y la recuperación ante desastres.
Access Gate se conecta junto a la red. Si el equipo no está disponible, el tráfico de producción continúa. Las configuraciones de políticas se exportan para copias de seguridad. Los planes de recuperación ante desastres siguen siendo responsabilidad suya.
Gestionar los riesgos de ciberseguridad en las relaciones con proveedores y prestadores de servicios.
El acceso de proveedores se limita por sesión a activos, protocolos y franjas horarias concretos, con MFA. Cada sesión de proveedor se graba con una pista de auditoría completa. La VPN termina en la pasarela y no queda ningún acceso permanente. El acceso se revoca automáticamente al terminar la sesión. Los contratos y la evaluación de proveedores siguen siendo responsabilidad suya.
Asegurar la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información. Gestionar y divulgar las vulnerabilidades.
Access Gate no gestiona vulnerabilidades. Su descubrimiento pasivo detecta dispositivos no gestionados que su proceso de vulnerabilidades debe cubrir. No usa escaneo activo, que podría interrumpir la OT. La denegación por defecto limita qué conexiones llegan a una máquina pendiente de parche. El desarrollo seguro, los parches y la divulgación de vulnerabilidades siguen siendo responsabilidad suya.
Evaluar la efectividad de las medidas de gestión de riesgos de ciberseguridad.
Las líneas base de segmentación, las revisiones de políticas de acceso y el análisis de registros de sesión aportan datos para evaluar las medidas. Los paquetes de evidencias se generan bajo demanda para auditores y reguladores. La evaluación en sí sigue siendo tarea de su equipo.
Aplicar prácticas básicas de ciberhigiene y formar al personal en ciberseguridad.
Las políticas de Access Gate exigen MFA, acceso de mínimo privilegio y tiempos de espera de sesión. El contenido y la impartición de formación siguen siendo responsabilidad del cliente.
Definir políticas y procedimientos sobre el uso de la criptografía y, en su caso, del cifrado.
Todas las rutas de acceso usan TLS, con AES-128/256 GCM e intercambio de claves ECDHE. El cifrado se aplica en el proxy, sin modificar los equipos de producción. Su política de criptografía sigue siendo responsabilidad suya.
Garantizar la seguridad de los recursos humanos, definir políticas de control de acceso y gestionar los activos.
El artículo 21(2)(i) menciona la gestión de activos. El inventario de activos registra cada máquina a partir del tráfico que ya circula por su red, con el historial de sus cambios. El acceso se basa en la identidad, con MFA y RBAC por usuario, por activo y por protocolo. Las políticas de acceso se aplican en la capa de red.
Usar autenticación multifactor o continua y comunicaciones seguras, cuando proceda.
El MFA se aplica en el proxy antes de que una sesión llegue al activo. Los tokens TOTP funcionan sin conexión, también en instalaciones aisladas. Cada ruta de acceso se cifra con TLS. Las comunicaciones seguras de voz, vídeo y emergencia siguen siendo responsabilidad suya.
Cómo Guichon Valves aseguró OT e IT para NIS2.
de flujos OT-IT segmentados y auditables para cumplimiento NIS2. Desplegado sin interrupción de producción.
Confiado por empresas líderes
Descargar la Ficha Técnica del Access Gate.
Obtenga la descripción completa del producto con capacidades técnicas, modelo de despliegue, alineación de cumplimiento y referencias de clientes.
Contenido
Arquitectura del producto, modelo de despliegue, capacidades clave (aplicación proxy, micro-DMZ, acceso basado en identidad), alineación de cumplimiento y despliegues reales de clientes.
Verlo en Acción
Solicite una demo en vivo para ver cómo el Access Gate se despliega en su red sin recableado ni tiempo de inactividad.
Preguntas frecuentes sobre NIS2 para OT.
medidas en el artículo 21, apartado 2. Access Gate aplica o apoya en sus instalaciones la parte de red de cada una.
Están incluidas las entidades medianas y grandes de los 18 sectores de los anexos I y II: 50 empleados o más, o más de 10 M€ tanto de volumen de negocios anual como de balance general. La fabricación del anexo II incluye productos sanitarios, productos informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos de motor y otro material de transporte. Las sustancias químicas y la alimentación son sectores aparte del anexo II. Las grandes empresas de sectores del anexo I, como la energía o el agua, son entidades esenciales, y la mayoría de las demás son entidades importantes. Algunas entidades están incluidas sea cual sea su tamaño.
El artículo 21, apartado 2, exige a) políticas de análisis de riesgos y de seguridad de los sistemas de información, b) gestión de incidentes, c) continuidad de las actividades y gestión de crisis, d) seguridad de la cadena de suministro, e) seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades, f) evaluación de la eficacia de las medidas, g) ciberhigiene y formación, h) criptografía y cifrado, i) seguridad de los recursos humanos, control de acceso y gestión de activos, y j) autenticación multifactor y comunicaciones seguras. Se aplican a la OT igual que a la IT.
El artículo 23 fija tres pasos para un incidente significativo: una alerta temprana al CSIRT o a la autoridad competente en las 24 horas siguientes a tener conocimiento de él, una notificación del incidente en 72 horas y un informe final en el mes siguiente a la notificación. Access Gate registra quién accedió a qué máquina y cuándo. Su equipo saca de ese registro los datos de cada informe. La notificación sigue siendo tarea suya.
El artículo 21, apartado 2, letra d), exige la seguridad de la cadena de suministro, incluida la de las relaciones con proveedores y prestadores de servicios directos. Las letras i) y j) añaden el control de acceso y el MFA. Con Access Gate, cada fabricante de maquinaria o integrador que se conecta en remoto solo llega a las máquinas autorizadas, durante un tiempo definido y con MFA. Cada sesión queda grabada. El acceso termina con la sesión. Vea el acceso remoto seguro para OT.
Basta con un cambio. Usted conecta Access Gate a su cortafuegos o router actual y añade una regla que le envía el tráfico de las máquinas. Quitar esa regla deshace el cambio. No hay que recablear ni cambiar direcciones IP, y no se instala nada en las máquinas. Access Gate se instala en un día.
Sí. NIS2 no exige ningún servicio en la nube. Access Gate funciona por completo dentro de su perímetro, sin dependencia SaaS ni plano de control remoto. Sus registros y políticas permanecen en su red. Así los datos de acceso a su OT siguen bajo su propia jurisdicción.
Sí, en la práctica. El artículo 21, apartado 2, no usa esa palabra, pero exige medidas de seguridad de las redes y los sistemas de información, ciberhigiene básica y control de acceso. El considerando 89 incluye la segmentación de la red entre esas prácticas. El Reglamento de Ejecución (UE) 2024/2690 la hace explícita para las entidades del sector digital. Access Gate aplica las políticas de zona en la red, sin instalar nada en las máquinas.
La directiva obliga a los Estados miembros a fijar multas máximas de al menos 10 M€ o el 2 % del volumen de negocios anual mundial total del ejercicio anterior para las entidades esenciales, y de al menos 7 M€ o el 1,4 % para las importantes, si esta cifra es superior. Según el artículo 20, los órganos de dirección aprueban y supervisan las medidas y pueden ser considerados responsables. En las entidades esenciales, el artículo 32, apartado 5, permite a las autoridades, si las medidas de ejecución siguen sin surtir efecto, solicitar la prohibición temporal de funciones de dirección para un director general o representante legal.
NIS2 fija las obligaciones, y la IEC 62443 es la norma industrial que muchos equipos OT usan para cumplirlas. Access Gate aplica el modelo de zonas y conductos de la IEC 62443. Por eso las mismas políticas y registros sirven de evidencia para el artículo 21 y para un programa IEC 62443. Más información sobre la IEC 62443 para OT.
La pasarela es el primer servicio que despliega, no el último.
Proteja sus plantas hoy. Controle su digitalización mañana.
Access Gate pone la capacidad de cómputo en la red, junto a sus activos. Una vez instalada la pasarela, el mismo equipo aloja los servicios que integran el OT de forma segura: acceso remoto, pasarelas de protocolo, DNS y hora, historian, servidor de actualizaciones. Acelere su digitalización, sin perder el control.
Guías NIS2 y recursos relacionados.
Lectura detallada para equipos de IT y OT que se preparan para una auditoría NIS2.