El 15 de agosto de 2026 entró en vigor la Cyberbeveiligingswet, la norma con la que los Países Bajos transponen la Directiva NIS2. Fue aprobada por el Senado el 7 de julio y sustituye a la anterior Wbni, que queda derogada.
Están directamente en el ámbito unas ocho mil organizaciones: las que operan en un sector de los anexos I o II de la Directiva, son medianas o grandes empresas y prestan servicios en la Unión. Ciertas entidades de alto riesgo entran con independencia de su tamaño.
La cifra que cuenta es otra
A través de la responsabilidad sobre la cadena de suministro, la ley alcanza a unas ciento treinta y tres mil pequeñas y medianas empresas neerlandesas. No porque estén sujetas, sino porque suministran a quien lo está, y ese alguien tendrá que exigirles garantías que hoy no posee.
Es el mismo mecanismo que el RGPD activó con el art. 28: la obligación formal recae en unos pocos, pero las exigencias contractuales se propagan aguas abajo. Quien asesora a pymes lo notará en los cuestionarios que sus clientes empezarán a recibir de sus propios contratantes.
Qué se aplica de inmediato
- obligación de registro ante la autoridad competente
- deber de diligencia sobre las medidas técnicas y organizativas
- obligación de notificar incidentes
- obligaciones de gobernanza que recaen en el órgano de dirección, que responde directamente
Este último punto merece atención: la NIS2 sitúa la responsabilidad en el consejo, que debe aprobar las medidas y supervisar su aplicación. No es un deber delegable en el departamento informático.
Sin periodo de gracia
Los despachos que han comentado la norma coinciden en un punto: no se prevé periodo transitorio. Desde el 15 de agosto las obligaciones son exigibles, y quien no se haya movido antes ya llega tarde.
Por qué importa fuera de los Países Bajos
La NIS2 debe ser transpuesta por todos los Estados miembros, con fechas escalonadas. La ley neerlandesa es un anticipo de lo que llegará en otros lugares: la misma estructura de obligaciones, la misma propagación por la cadena, la misma responsabilidad de los administradores.
Para un delegado de protección de datos el punto de atención es el solapamiento con el art. 33 del RGPD. Un mismo incidente puede activar dos notificaciones, ante dos autoridades distintas, con plazos y destinatarios distintos: la de seguridad conforme a la NIS2 y la de violación de datos personales conforme al Reglamento. Son obligaciones distintas y una no absorbe a la otra.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
