Introducción
La transposición polaca de NIS2 se aplica desde el 3 de abril de 2026. Trae una definición que describe lo que hace cualquier taller de mantenimiento: instalación, explotación y conservación de sistemas de información, prestadas en remoto. A continuación lo que dice el texto legal, citado literalmente, con marca clara de los puntos que no resuelve.
Es una ley polaca. España tiene su propia norma en esta materia, que este texto no aborda. Vale la lectura si atiende a clientes en Polonia, o si quiere ver qué aspecto tiene una obligación de cadena de suministro una vez que una directiva se convierte en ley nacional con cifras dentro.
En resumen
- Ley de 23 de enero de 2026, boletín oficial de 2026, posición 252, publicada el 2 de marzo, en vigor desde el 3 de abril de 2026 en virtud del artículo 49.
- La definición de proveedor de servicios gestionados abarca apoyo y administración “in situ o en remoto”.
- El sector Gestión de servicios TIC figura en el anexo 1, es decir entre los sectores esenciales.
- Ese mismo sector enumera dos tipos de entidad distintos, y la diferencia decide el umbral de tamaño.
- Para el proveedor de servicios gestionados de ciberseguridad el umbral empieza en la pequeña empresa, no en la mediana.
- Los plazos corren desde que se cumplen los presupuestos, no desde una única fecha, así que este texto no es una cuenta atrás.
- No es asesoramiento jurídico, sino una lectura del texto legal con el límite de esa lectura señalado.
Tres fechas en circulación, una que vale
Al reunir los plazos para este texto encontré tres fechas distintas de entrada en vigor de la misma ley. Los resultados de búsqueda y los portales del sector daban el 3 de abril de 2026, el registro jurídico europeo daba también el 3 de abril, y un resumen de una nota ministerial hablaba del 10 de abril.
El texto lo resuelve. La disposición final dice:
Artículo 49. La ley entra en vigor transcurrido un mes desde el día de su publicación.
La publicación fue el 2 de marzo de 2026, el mes termina el 2 de abril, y la ley se aplica por tanto desde el 3 de abril de 2026. Una línea resuelve aquello sobre lo que circulaban tres versiones.
Lo menciono porque cada plazo de abajo se cuenta desde esa fecha. Si toma la fecha de la nota, cada uno se desplaza una semana. Sirve además de prueba rápida para cualquier otro texto sobre esta ley: compruebe si el autor cita un número de artículo o solo una fecha.
Qué dice la ley sobre los proveedores
La reforma introduce dos definiciones que conviene leer literalmente, porque la diferencia entre ellas manda en todo lo demás.
La primera:
proveedor de servicios gestionados designa a la persona física, persona jurídica o unidad organizativa sin personalidad jurídica que presta servicios relacionados con la instalación, explotación o mantenimiento de productos TIC, servicios TIC, procesos TIC o sistemas de información, mediante apoyo o administración activa realizados en las instalaciones del destinatario del servicio, in situ o en remoto
La segunda:
proveedor de servicios gestionados de ciberseguridad designa (…) a la entidad que presta servicios consistentes en la realización, o en el apoyo a la realización, de actividades relacionadas con la gestión del riesgo en ciberseguridad, incluida la gestión de incidentes y las pruebas de seguridad
La primera definición describe mantenimiento. Actualizaciones del núcleo y de los plugins, copias de seguridad, configuración de servidor, despliegues, disponibilidad cuando algo se rompe, o sea el contenido de un contrato de mantenimiento corriente. La palabra “en remoto” está expresamente en el texto, así que el argumento de que nunca se toca la infraestructura física del cliente no cambia la clasificación de la actividad.
La segunda definición describe otra cosa: gestión de riesgos, gestión de incidentes, pruebas de seguridad. Eso se vende como competencia propia, no como asistencia técnica.
Dos tipos de entidad dentro del mismo sector
En el anexo 1 el sector Gestión de servicios TIC tiene dos filas en la columna del tipo de entidad: proveedor de servicios gestionados y proveedor de servicios gestionados de ciberseguridad. No es una repetición, son dos categorías separadas.
Comprobé dónde está el sector, porque de eso depende si se trata del nivel esencial o del importante. El anexo 1 empieza en la página 87 de la edición del boletín oficial, el anexo 2 en la página 96, y la Gestión de servicios TIC aparece en la página 94. Está por tanto en el anexo 1, entre los sectores esenciales, junto a la energía, el transporte y la banca.
Figurar en el anexo 1 no significa por sí solo estar incluido, porque eso lo decide el tamaño. Sí significa que el asunto no se despacha con un “no es nuestro sector”.
Los umbrales de tamaño, literalmente
La ley no define el tamaño por sí misma, remite al anexo I del reglamento 651/2014/UE de la Comisión, donde se lee:
- La categoría de microempresas, pequeñas y medianas empresas (“PYME”) está constituida por las empresas que ocupan a menos de 250 personas y cuyo volumen de negocios anual no excede de 50 millones de euros o cuyo balance general anual no excede de 43 millones de euros.
- En la categoría de las PYME, se define pequeña empresa como una empresa que ocupa a menos de 50 personas y cuyo volumen de negocios anual o cuyo balance general anual no supera los 10 millones de euros.
- En la categoría de las PYME, se define microempresa como una empresa que ocupa a menos de 10 personas y cuyo volumen de negocios anual o cuyo balance general anual no supera los 2 millones de euros.
Dos detalles del mismo anexo salvan de una conclusión precipitada.
El número de personas se mide en unidades de trabajo anual, no en nombres en una nómina. Quien trabaja a tiempo parcial o parte del año cuenta como fracción.
Y el artículo 4 apartado 2 dice que un solo año por encima del umbral no cambia nada:
la adquisición o la pérdida de la condición de mediana, pequeña o microempresa solo se produce si el hecho se repite durante dos ejercicios consecutivos
Un buen año no mueve a una empresa de categoría. Dos seguidos sí.
Por qué el umbral de ciberseguridad está más bajo
Aquí está lo que se pasa por alto en una lectura rápida. El artículo 5 fija umbrales distintos para filas distintas del anexo.
La regla general para una entidad del anexo 1: es entidad esencial la que “supera los requisitos de mediana empresa”. Es decir, por encima de 250 empleados o por encima de los techos financieros.
Pero el apartado 3 del mismo artículo dice otra cosa:
proveedor de servicios gestionados de ciberseguridad que, como mínimo, cumpla los requisitos de pequeño o mediano empresario (…) o los supere
Para esta única categoría el legislador bajó el umbral de la mediana a la pequeña empresa. Una casa que, haciendo mantenimiento corriente, quedaría muy fuera del alcance de la ley puede, con exactamente el mismo tamaño, caer en la categoría de entidad esencial si lo que vende encaja en la segunda definición.
No resuelvo cómo se aplica exactamente la expresión “como mínimo cumpla los requisitos de pequeña” a una microempresa, porque esa es pregunta para abogado y no para programador. Lo que importa es la dirección: el umbral está aquí más bajo que en ningún otro punto, y este es por eso el único lugar donde el tamaño de la empresa deja de ser un argumento cómodo.
¿Está incluido? Preguntas en lugar de veredicto
No voy a escribir que está incluido ni lo contrario, porque la respuesta depende de sus cifras y no de su sector. En su lugar, el orden de preguntas que yo mismo recorrería.
Qué vende de verdad, según los contratos y no según la web. Un contrato de mantenimiento con actualizaciones y copias de seguridad es la primera definición. Un contrato en el que se obliga a gestionar incidentes de seguridad, a ejecutar pruebas o a mantener un análisis de riesgos se acerca a la segunda. Se lee el contenido de las obligaciones, no el nombre del paquete.
Qué promete su marketing. Es una pregunta distinta de la anterior y más veces el problema. Una página que promete respuesta a incidentes las 24 horas y monitorización de seguridad describe un servicio diferente del contrato de actualizaciones que se firmó de verdad. Ese desajuste es un problema antes incluso de que aparezca ninguna autoridad.
Su tamaño en unidades de trabajo anual y en volumen de negocios, en los dos últimos ejercicios cerrados. No en el corriente, porque lo que cuenta es la repetición en dos periodos.
Si alguno de sus clientes es entidad esencial o importante. Esto no decide su condición, pero decide qué le va a exigir el cliente.
Qué cambia cuando el cliente está incluido
Aunque usted no esté incluido, algo cambia en la relación con un cliente que sí lo está. Entre los requisitos de gestión de la seguridad la ley enumera:
la seguridad y la continuidad de la cadena de suministro de productos TIC, servicios TIC y procesos TIC de los que depende la prestación del servicio, teniendo en cuenta las relaciones entre el proveedor directo de equipos o software y la entidad esencial o importante
La traducción práctica es muy concreta. Un cliente incluido tiene que poder demostrar que domina su cadena de suministro TIC. Si su tienda o su portal corren sobre WordPress administrado por alguien de fuera, ese alguien es un eslabón de la cadena que hay que describir.
La pregunta “¿hacéis copias de seguridad?” se convierte en una pregunta sobre procedimiento documentado, sobre tiempo de recuperación probado con un test fechado, sobre quién tiene acceso a producción y qué pasa cuando esa persona se va. La diferencia es que la garantía deja de bastar, porque el cliente necesita prueba para su propio expediente.
Hay en esto algo poco obvio para el proveedor, y más bien bueno: no es una nueva obligación legal por su parte, es un nuevo requisito contractual. Llega por contrato, así que se negocia como cualquier otra cláusula en vez de recibirse como un requerimiento.
Sus datos en un registro público
Un detalle que sorprende en la primera lectura. La solicitud de inscripción en el registro de entidades esenciales e importantes contiene, entre los datos de la entidad, también:
la información sobre la celebración de un contrato con un proveedor de servicios gestionados de ciberseguridad (…) junto con los datos de ese proveedor, que comprenden el nombre (razón social) del proveedor, la dirección del domicilio social, la dirección de correspondencia, el número de teléfono y la dirección de correo electrónico
De modo que si un cliente incluido subcontrata tareas de esa área, los datos del proveedor acaban en un registro llevado por el ministerio. A eso se añade que el artículo 7c apartado 3 exige solicitud de modificación “en el plazo de 14 días desde el cambio”, así que cambiar de proveedor arranca un reloj de catorce días del lado del cliente.
Consecuencia práctica para el proveedor: conviene saber si figura en el asiento de otro, porque eso cambia el significado de una resolución contractual corriente. La solicitud incluye una declaración bajo responsabilidad penal por declaración falsa, así que la dirección de la entidad tiene motivos de peso para mantener los datos al día.
Plazos que corren desde hechos, no desde una fecha
Los plazos de esta ley no son una fecha en el calendario, son relojes que ponen en marcha los hechos. Por eso este texto no caduca ningún día concreto.
Seis meses para solicitar la inscripción, contados desde que se cumplen los presupuestos:
Artículo 7c apartado 1. La entidad esencial o la entidad importante presentarán la solicitud de inscripción en el registro en el plazo de 6 meses desde el día en que se cumplan los presupuestos para ser considerada entidad esencial o importante.
Para las entidades que ya cumplían los presupuestos el día de la entrada en vigor, seis meses desde el 3 de abril de 2026 caen a principios de octubre de 2026. Una empresa que cumpla los presupuestos el año que viene tiene sus propios seis meses desde su propia fecha.
Doce meses para las obligaciones de las entidades que cumplían los presupuestos a la entrada en vigor (artículo 33 apartado 1), es decir hasta el 3 de abril de 2027.
Veinticuatro meses para la primera auditoría de las entidades esenciales (artículo 33 apartado 2), es decir hasta el 3 de abril de 2028.
Catorce días para actualizar los datos del registro tras cada cambio.
Proveedor de alto riesgo, un mecanismo aparte
La ley contiene un segundo mecanismo, que se confunde con el primero, funciona de otra manera y alcanza a otro.
El ministro competente en materia de digitalización puede incoar un procedimiento “de reconocimiento de un proveedor de equipos o software” como proveedor de alto riesgo, para proteger la seguridad del Estado o el orden público. El efecto lo fija el artículo 67c: las entidades incluidas no pondrán en uso los productos, servicios y procesos TIC comprendidos en la resolución, y retirarán de uso los ya empleados “en el plazo máximo de 7 años” desde la publicación de la resolución en el boletín oficial. Para los operadores de telecomunicaciones el plazo es de 4 años. La resolución es de ejecución inmediata y no admite solicitud de reconsideración.
Dos conclusiones para un prestador de servicios. El mecanismo apunta a equipos y software, no a empresas de mantenimiento, así que una agencia no es su destinataria. Y aun así puede alcanzarla de forma indirecta y dura: si un componente sobre el que se asienta la solución de un cliente incluido entra en una resolución de estas, la migración deja de ser cuestión de presupuesto y pasa a ser plazo legal.
En la práctica eso significa una cosa, con independencia del estatus jurídico: conviene saber exactamente qué hay en la pila tecnológica de los clientes de sectores regulados, incluido quién publica cada plugin y de dónde viene el alojamiento. Ese conocimiento cuesta una tarde cuando se escribe con calma, y bastante más cuando hay que reconstruirlo bajo presión.
Multas, cifras del texto
Las cito porque circulan redondeadas, casi siempre al alza.
Para entidad esencial:
La cuantía de la multa no podrá exceder de 10 000 000 euros (…) o del 2 % de los ingresos obtenidos por la entidad esencial en su actividad económica en el ejercicio anterior a la imposición de la multa, aplicándose la cantidad mayor. La multa no podrá, sin embargo, ser inferior a 20 000 eslotis.
Para entidad importante el techo es de 250 000 euros o el 1,4 por ciento de los ingresos, con un suelo de 15 000 eslotis.
Dos notas cambian el cuadro. Son techos máximos, no tarifas, y la ley vincula la multa a la gravedad de la infracción. Y las multas solo empiezan a aplicarse dos años después de la entrada en vigor, o sea después del 3 de abril de 2028, con lo que el periodo actual sirve para ordenar la casa y no para ejecutar.
Qué hacer este trimestre
Trabajo que tiene sentido con independencia de cómo salga la valoración jurídica, y que cuesta poco.
Lea sus propios contratos buscando verbos. Importa a qué se obliga, no cómo se llama el paquete. “Actualizamos” y “hacemos copias” es una cosa. “Respondemos a incidentes de seguridad”, “mantenemos un análisis de riesgos”, “ejecutamos pruebas” es otra. Si los contratos dicen una cosa y la web otra, es trabajo de una tarde.
Haga la lista de clientes que puedan ser entidades esenciales o importantes. Hospitales, universidades, ayuntamientos, empresas municipales, energía, transporte, banca y sus proveedores. No necesita decidir su condición, basta con saber de dónde vendrá el cuestionario.
Prepare lo que le van a preguntar de todas formas. Quién tiene acceso a producción, cómo se retira, dónde están las copias, cuándo se restauraron por última vez como prueba y cuánto tardó, cuál es la vía de escalado fuera de horario. Cuatro páginas, no cuarenta.
Decida quién es el dueño de esta valoración. Es pregunta para abogado y para la propiedad, no para el equipo técnico. La preparación técnica la hace usted; la calificación jurídica no.
Hay un requisito más que conviene conocer pronto, porque afecta a un hábito y no a una compra. La ley obliga a las entidades incluidas a conservar la documentación de seguridad del sistema de información “durante al menos 2 años desde el día de su retirada de uso o del fin de la prestación del servicio”, y su destrucción se confirma con un acta de expurgo con fecha, descripción del método de destrucción y datos de quien la aprueba. Suena a papeleo y en parte lo es, pero trae una consecuencia concreta para los proveedores: la documentación sobrevive al contrato. Si, terminada la colaboración, el cliente no tiene nada que mostrar porque todo vivía en el sistema de tickets del proveedor, el problema vuelve, ahora sin contrato.
La conclusión práctica es prosaica. Lo que produce el mantenimiento, es decir registro de cambios, resultados de las pruebas de restauración y lista de accesos, debería vivir del lado del cliente y no solo en las herramientas del proveedor. Para el proveedor es protección en caso de litigio; para el cliente, la condición de tener documentación propia.
Qué no cambia esta ley
Por equilibrio, porque los textos sobre regulación tienden a inflar su alcance.
No cambia las reglas de datos personales. El RGPD se aplica de forma independiente y es él, no esta ley, el que rige la notificación de brechas a la autoridad de control. Son dos regímenes distintos con plazos distintos, y confundirlos produce notificaciones innecesarias.
No crea obligación de certificación. En el texto no hay exigencia de norma ISO ni de ningún certificado concreto; hay exigencia de tener y mantener un sistema de gestión de la seguridad de la información. Un certificado puede ser prueba cómoda, pero la ley no lo impone.
No impone obligaciones directamente a un proveedor que no sea él mismo entidad esencial o importante. Las exigencias le llegan por el contrato con el cliente, lo que es una diferencia relevante, porque los contratos se negocian.
Qué no resuelve este texto
Dicho sin rodeos, porque un texto con tantas citas se confunde fácilmente con un dictamen jurídico, y no lo es.
No resuelve si su empresa está incluida. Eso depende de la redacción de los contratos, del tamaño medido en unidades de trabajo anual y de las vinculaciones societarias con otras empresas, que desconozco.
No resuelve cómo trazará una autoridad la frontera entre la primera y la segunda definición en los casos mixtos, en los que un contrato de mantenimiento contiene un elemento de seguridad. Esa frontera la aclarará la práctica, y práctica todavía no hay, porque las multas empiezan en 2028.
No resuelve cómo debe tratar estas disposiciones un proveedor establecido fuera de Polonia. Es cuestión de jurisdicción y corresponde a abogados que trabajen en ambos sistemas.
El propio texto legal es público y tiene 102 páginas en la edición del boletín oficial. Las citas anteriores proceden de él y no de resúmenes, y cada una puede comprobarse buscando la expresión en el archivo.
Fuentes
- Ley de 23 de enero de 2026 por la que se modifica la ley sobre el sistema nacional de ciberseguridad y algunas otras leyes, boletín oficial de 2026, posición 252, texto publicado el 2 de marzo de 2026
- La norma en la base de datos ISAP
- Reglamento (UE) n.º 651/2014 de la Comisión, anexo I, definición de PYME, artículos 2, 4 y 5
Última verificación: 10 de agosto de 2026. Citas cotejadas con el texto publicado en el boletín oficial. Las traducciones de la redacción legal son mías y el texto polaco es el que rige. Este artículo es informativo y no constituye asesoramiento jurídico.
