NIS2 en el transporte: donde las normas aéreas, ferroviarias y marítimas chocan con el artículo 21
Un transitario regional con 180 empleados nos contó que su abogado lo había dejado fuera del ámbito de NIS2. Su razonamiento: no son una aerolínea, ni un puerto, ni una empresa ferroviaria. Seis semanas después, su mayor cliente — una autoridad portuaria — le envió un cuestionario de proveedores con 40 preguntas de seguridad y una cláusula contractual que remitía al artículo 21(2)(d).
El transporte es el sector NIS2 donde peor se juzga el ámbito de aplicación. No porque el texto sea vago, sino porque el «transporte» del anexo I son cuatro mundos regulatorios distintos grapados en una sola entrada, cada uno con su propio régimen de seguridad preexistente que los clientes suponen que ya los cubre.
No es así.
El anexo I trata el transporte como cuatro sectores, no como uno
El anexo I de NIS2 clasifica el transporte como sector de alta criticidad y lo divide en cuatro subsectores, cada uno con su propia lista de tipos de entidad.
Aéreo. Compañías aéreas utilizadas con fines comerciales. Entidades gestoras de aeropuertos, incluidos los aeropuertos de la red básica, y entidades que explotan instalaciones auxiliares en aeropuertos. Operadores de control de gestión del tránsito que prestan control del tránsito aéreo.
Ferroviario. Administradores de infraestructuras. Empresas ferroviarias, incluidos los explotadores de instalaciones de servicio.
Marítimo y fluvial. Compañías de transporte de pasajeros y mercancías por vías navegables interiores, marítimo y de cabotaje. Entidades gestoras de puertos, incluidas las instalaciones portuarias y las entidades que explotan obras y equipos dentro de los puertos. Operadores de servicios de tráfico marítimo.
Carretera. Autoridades viarias responsables de la gestión y el control del tráfico. Operadores de sistemas de transporte inteligentes.
De esa lista se derivan dos cosas, y ambas se les escapan a los consultores.
Primero, el transporte por carretera es mucho más estrecho de lo que los clientes esperan. Una empresa de transporte de mercancías por camión no entra en el transporte por carretera del anexo I. Una administración pública que gestiona el control del tráfico, sí. Un operador de STI, también. La empresa de camiones solo queda dentro del ámbito si aterriza en otro sitio — por ejemplo, como proveedor dentro de las obligaciones de cadena de suministro del artículo 21(2)(d) de otra entidad, que es exactamente lo que le pasó al transitario anterior.
Segundo, el transporte por vía navegable es mucho más amplio de lo esperado. «Entidades que explotan obras y equipos dentro de los puertos» arrastra a operadores de terminales, operadores de grúas y pórticos y empresas de mantenimiento de equipos que nunca se consideraron infraestructura regulada.
¿Se aplica la NIS2 a su organización?
1¿Opera su organización en un sector esencial o importante (energía, transporte, salud, infraestructura digital, etc.)?
Sí▼No▼2¿Tiene su organización 50 o más empleados, o un volumen de negocio anual superior a 10 millones de euros?
✗La NIS2 no se aplica directamente a su organización.
Sí▼No▼✓La NIS2 se aplica a su organización como entidad esencial o importante.
3¿Es su organización un operador de infraestructura crítica o un prestador cualificado de servicios de confianza?
Sí▼!La NIS2 podría aplicarse a su organización — solicite asesoramiento jurídico para confirmar su estatus.
1¿Opera su organización en un sector esencial o importante (energía, transporte, salud, infraestructura digital, etc.)?
Sí ↓No →2¿Tiene su organización 50 o más empleados, o un volumen de negocio anual superior a 10 millones de euros?
Sí ↓No →3¿Es su organización un operador de infraestructura crítica o un prestador cualificado de servicios de confianza?
Sí ↓No →✗La NIS2 no se aplica directamente a su organización.
✓La NIS2 se aplica a su organización como entidad esencial o importante.
!La NIS2 podría aplicarse a su organización — solicite asesoramiento jurídico para confirmar su estatus.
Se aplicaPosiblemente aplicaNo se aplica
El tamaño decide el régimen de supervisión, y el transporte tiene una excepción
La regla por defecto es mecánica. En un sector del anexo I, una gran empresa — 250 empleados o más, o una facturación superior a 50 millones de euros y un balance superior a 43 millones — es una entidad esencial. Una mediana empresa, a partir de 50 empleados o 10 millones de facturación, es una entidad importante.
Esencial significa supervisión proactiva: inspecciones in situ, auditorías periódicas, escaneos de seguridad y solicitudes de evidencia sin que haya ocurrido incidente alguno. Importante significa supervisión reactiva, activada por un incidente o una denuncia. Las multas llegan a 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y a 7 millones o el 1,4 % para las importantes.
El transporte es donde importa la excepción. El artículo 2(2) permite a los Estados miembros incluir entidades por debajo de los umbrales de tamaño con independencia de la plantilla, y el transporte es el caso clásico: un operador de un servicio de tráfico marítimo con 30 personas, o un pequeño operador de STI cuyo fallo interrumpiría un corredor nacional, puede ser designado por ser el único proveedor de un servicio esencial para una actividad social.
No aplique la prueba de plantilla y se detenga ahí. Consulte primero la lista nacional de designación. En varios Estados miembros las designaciones del transporte se publicaron por separado de las orientaciones generales de registro y, si su cliente figura en ella, la prueba de tamaño es irrelevante. Qué autoridad publica esa lista depende de dónde esté establecida la entidad — tratamos las reglas de jurisdicción en Artículo 26: qué regulador supervisa realmente a su cliente.
El Part-IS de aviación no desactiva NIS2
Es el malentendido más caro que hay ahora mismo en el cumplimiento del transporte.
Desde el 16 de octubre de 2025, el Part-IS de EASA — Reglamento Delegado (UE) 2022/1645 — se aplica a operadores de aeródromos, organizaciones de diseño y producción y proveedores de servicios de gestión de plataforma. El Reglamento de Ejecución (UE) 2023/203 amplió el marco a otros tipos de organización desde febrero de 2026. Los clientes de aviación lo leen y concluyen que NIS2 está resuelto.
El artículo 4 de NIS2 sí prevé esto. Cuando un acto jurídico sectorial de la Unión impone medidas de gestión de riesgos de ciberseguridad o requisitos de notificación de incidentes al menos equivalentes en efecto, las disposiciones correspondientes de NIS2 no se aplican. Es una exclusión real.
Pero es más estrecha de lo que sugiere el marketing que la rodea. DORA es el caso limpio: el artículo 1(2) del Reglamento (UE) 2022/2554 establece en su propio texto que cuenta como acto sectorial a efectos del artículo 4. Nada equivalente existe en los reglamentos Part-IS. Las orientaciones de la Comisión sobre la aplicación del artículo 4(1) y (2) enumeran los actos que considera dentro del ámbito, y la posición aeronáutica se debate abiertamente desde entonces — también en el propio foro comunitario de EASA.
La posición práctica para un consultor: asuma que ambos se aplican hasta que la autoridad nacional competente del cliente diga lo contrario por escrito.
Duele menos de lo que parece, porque los marcos no entran en conflicto. Part-IS se ciñe a los riesgos de seguridad de la información con posible impacto en la seguridad aérea. El artículo 21 de NIS2 se ciñe a los riesgos para las redes y sistemas de información que sostienen el servicio. El solapamiento es amplio, pero los bordes difieren — Part-IS no le exigirá demostrar seguridad de la cadena de suministro en todo su parque de TI comercial, y NIS2 no le exigirá vincular cada hallazgo con un resultado de seguridad aérea.
Mapee ambos, marque los controles compartidos una sola vez y documente la diferencia. Los auditores aceptan un control mapeado que sirve a dos regímenes. No aceptan «estamos cubiertos por Part-IS» como respuesta a una solicitud de evidencia del artículo 21.
El sector marítimo tiene la misma estructura con otros nombres. El código ISPS y las orientaciones de la OMI sobre gestión del ciberriesgo marítimo conviven con NIS2, no la sustituyen. Las autoridades portuarias presentan de forma rutinaria su plan de protección de la instalación portuaria ISPS cuando se les piden evidencias de NIS2. Es un buen documento. No es una política de gestión de riesgos conforme al artículo 21(2)(a).
Las medidas del artículo 21 aterrizan distinto en un entorno operativo
Las diez medidas son las mismas en todos los sectores. Lo que cambia es dónde vive la evidencia.
En transporte, tres de ellas generan hallazgos de forma sistemática.
Artículo 21(2)(c), continuidad de negocio y gestión de crisis. Los operadores de transporte tienen excelentes planes de continuidad — para la interrupción física. Meteorología, huelgas, corredores bloqueados. Casi ninguno ha probado un escenario en el que el sistema de planificación o despacho esté cifrado y no disponible durante cuatro días. Ese es el escenario por el que preguntará el regulador.
Artículo 21(2)(d), seguridad de la cadena de suministro. El transporte funciona sobre sistemas operativos compartidos: sistemas de operación de terminales, tratamiento de equipajes, proveedores de señalización, proveedores de telemetría de mantenimiento. Cada uno es un tercero identificado cuya postura de seguridad su cliente debe poder describir. Pasar un cuestionario hacia abajo en la cadena no basta por sí solo — la obligación es evaluar y actuar sobre lo que se encuentre. Véase por qué los contratos con proveedores forman parte ya del cumplimiento de NIS2.
Artículo 21(2)(i), control de acceso y gestión de activos. La tecnología operativa del transporte es antigua, está distribuida físicamente y a menudo la mantienen ingenieros externos con acceso remoto permanente. Un inventario de activos completo que incluya equipos de vía, muelle y plataforma es el entregable más difícil del sector, y es lo primero que un inspector pide ver.
Artículo 21 — 10 Medidas de Ciberseguridad NIS2
Artículo 21
10 Medidas de Ciberseguridad
Gobernanza & Estrategia
1Análisis de riesgos & políticas de seguridad de la información6Evaluación de la eficacia de las medidas de seguridadIncidentes & Continuidad
2Gestión de incidentes & notificación3Continuidad del negocio & recuperación ante desastresCadena de Suministro & Sistemas
4Seguridad de la cadena de suministro5Seguridad en el desarrollo de sistemas de redes e informaciónControles Técnicos
8Criptografía & cifrado10Autenticación multifactor & comunicaciones segurasPersonas & Activos
7Ciberhigiene & formación9Seguridad de RRHH & control de acceso
El problema de la frontera TI/TO es aquí el mismo que mapeamos para los fabricantes, con una diferencia: en transporte la TO a menudo no está siquiera en las instalaciones de su cliente.
Notificación de incidentes: dos relojes, dos reguladores
Los operadores de transporte ya notifican. La aviación notifica sucesos conforme al Reglamento (UE) 376/2014. El ferrocarril notifica a las autoridades nacionales de seguridad. El marítimo notifica bajo su propio régimen.
Nada de eso satisface el artículo 23.
NIS2 exige una alerta temprana al CSIRT o a la autoridad competente en las 24 horas siguientes a tener conocimiento de un incidente significativo, una notificación de incidente en 72 horas y un informe final en un mes. Las plantillas comunes adoptadas por el Grupo de Cooperación NIS2 en mayo de 2026 eliminaron la excusa del formato.
El modo de fallo es previsible: el informe de seguridad sale a tiempo, el informe cibernético no, porque nadie en la sala de operaciones sabe que existe el reloj de 24 horas. Integre el disparador dentro del flujo de notificación de sucesos existente en lugar de al lado, y haga que la lista de comprobación del responsable de turno incluya una pregunta más — ¿podría haberse originado esto en una red o sistema de información? Los plazos de notificación se detallan aquí.
Qué hacer en los próximos 30 días
Para cada cliente de transporte, en este orden:
- Confirme por escrito el subsector y el tipo de entidad del anexo I, usando la redacción real de la lista y no un resumen.
- Consulte la lista nacional de designación de entidades por debajo del umbral antes de aplicar la prueba de tamaño.
- Si es aviación o marítimo, elabore un mapeo de controles entre el régimen sectorial y el artículo 21 — y marque las brechas en lugar de presumir cobertura.
- Extraiga el inventario de activos de tecnología operativa. Si no existe, ese es su primer proyecto, no el último.
- Conecte el reloj de 24 horas de NIS2 al flujo de incidentes operativo existente.
Todo lo demás es disciplina documental; hemos expuesto qué piden realmente los inspectores en la lista de comprobación de evidencias para auditorías de supervisión.
Si quiere un punto de partida estructurado para un cliente de transporte, ejecute un escaneo rápido NIS2 gratuito — produce en unos diez minutos un análisis de brechas frente a las medidas del artículo 21, suficiente para saber si el régimen sectorial en el que confía el cliente aguanta realmente el peso que le atribuye.
¿Tienes otra pregunta?
Las respuestas se generan a partir de nuestros artículos y no constituyen asesoramiento jurídico. No introduzcas datos personales o confidenciales.