El 15 de agosto de 2026 entran en vigor la Ley de Ciberseguridad neerlandesa y la Ley de Resiliencia de las Entidades Críticas; el Senado adoptó ambas el 7 de julio de 2026. La implementación neerlandesa de NIS2 es, por tanto, un hecho — y la conversación pasa de «¿cuándo llega?» a «¿está en nuestros contratos?».
A quién afecta y qué exige
Se espera que la Ley de Ciberseguridad se aplique a aproximadamente 8.000 organizaciones en dieciocho sectores, divididas en entidades esenciales e importantes; la ley complementaria designa a unas 500 organizaciones como entidades críticas. La ley impone tres deberes: la inscripción en el registro de entidades, un deber de diligencia y un deber de notificación. Ese deber de notificación sigue un ritmo estricto: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final en el plazo de un mes. Los miembros del consejo deben recibir formación, con un período de transición de como máximo dos años.
El deber de diligencia comprende diez medidas. Para quien gestiona proveedores, la medida cuatro es la más importante: la seguridad de la cadena de suministro. Las otras nueve — análisis de riesgos y política de seguridad, gestión de incidentes, continuidad del negocio incluyendo copias de seguridad y recuperación, seguridad en la adquisición y el mantenimiento de sistemas, evaluación de la eficacia de las medidas, higiene cibernética y formación, criptografía, política de personal y de accesos, y autenticación multifactor — casi todas se trasladan a los proveedores en el momento en que usted terceriza.
La ley no se aplica a sus proveedores — pero ellos recibirán los requisitos
Este es el punto que más comúnmente se malinterpreta. La Ley de Ciberseguridad no se aplica directamente a sus proveedores. Obliga a las organizaciones que sí están dentro del alcance a gestionar el riesgo de la cadena de suministro, y eso ocurre a través de los contratos. En concreto, una organización dentro del alcance debe evaluar qué proveedores directos representan un riesgo digital o físico, establecer y documentar acuerdos con esos proveedores sobre las medidas de seguridad — en la práctica a través de un SLA o un expediente de acuerdos y procedimientos — y comunicar con claridad qué medidas se aplican. El enfoque debe basarse en el riesgo y tener en cuenta las propias prácticas de seguridad y los procedimientos de desarrollo del proveedor.
El alcance se limita a los proveedores directos, no a toda la cadena que hay detrás de ellos. Pero la consecuencia práctica es significativa: los proveedores fuera del alcance de la ley recibirán de sus clientes listas de requisitos de seguridad en los próximos meses. Si usted es proveedor, la pregunta no es si esa lista llega, sino si tiene una respuesta.
Las sanciones de NIS2 son considerables. La directiva fija un máximo de al menos diez millones de euros o al menos el 2% de la facturación anual mundial para las entidades esenciales, y de siete millones de euros o el 1,4% para las entidades importantes — el importe que sea mayor. Verifique los importes neerlandeses exactos en la propia ley con su asesor legal.
DORA: los requisitos contractuales más concretos que existen
Si trabaja en o para los servicios financieros, DORA se aplica desde el 17 de enero de 2025 y el contenido del contrato no es opcional. El artículo 30 prescribe qué debe incluir todo contrato de TIC: una descripción clara y completa de todas las funciones y servicios, incluido si se permite la subcontratación; las regiones y los países donde se presta el servicio y se almacenan los datos, más el aviso previo de cualquier cambio; disposiciones sobre la disponibilidad, autenticidad, integridad y confidencialidad de los datos; el acceso a los datos y su devolución en un formato de fácil acceso en caso de terminación o insolvencia; descripciones de los niveles de servicio; asistencia ante incidentes sin costo adicional o a un precio determinado de antemano; la cooperación con las autoridades; derechos de terminación con plazos mínimos de preaviso; y la participación en formación sobre concienciación en seguridad y resiliencia.
Para las funciones críticas o importantes se añade más: objetivos de rendimiento cuantitativos y cualitativos, obligaciones de reporte para los acontecimientos que afecten de forma material a la prestación del servicio, planes de continuidad, la participación en pruebas de penetración basadas en amenazas, derechos irrestrictos de auditoría, acceso e inspección tanto para la institución como para el supervisor, y estrategias de salida con períodos de transición obligatorios. En la práctica, el registro de información de 2026 debía presentarse antes del 20 de marzo de 2026, con el 31 de diciembre de 2025 como fecha de referencia.
Aunque DORA no se le aplique, el artículo 30 es la mejor lista de verificación disponible gratuitamente para un contrato de TIC que existe.
Cyber Resilience Act: sus proveedores ya estarán reportando
El Cyber Resilience Act entró en vigor el 10 de diciembre de 2024. Las obligaciones de reporte se aplican a partir del 11 de septiembre de 2026 y las obligaciones principales a partir del 11 de diciembre de 2027. Desde septiembre, los fabricantes deben reportar las vulnerabilidades activamente explotadas y los incidentes graves con el mismo ritmo que usted conoce: alerta temprana en un plazo de 24 horas, notificación completa en un plazo de 72 horas y un informe final en un plazo de catorce días o un mes respectivamente. A partir de diciembre de 2027, el marcado CE se convierte en una puerta de entrada para las compras de productos con elementos digitales — y, por tanto, en una garantía contractual que usted puede exigir.
El efecto práctico es que sus proveedores de software quedan bajo un régimen de reporte a partir de septiembre. Asegúrese de que su contrato le dé derecho a recibir también esos reportes — de lo contrario su proveedor notifica pulcramente al regulador mientras usted se entera por la prensa.
Qué significa esto para su cláusula contractual
Tres regímenes, una cláusula. El mínimo: plazos de notificación alineados con su propio deber de 24 horas, derechos de auditoría e inspección, divulgación obligatoria y consentimiento de los subencargados, transparencia sobre las ubicaciones de los datos y los cambios en ellas, disposiciones de salida con un período de transición y devolución de los datos en un formato utilizable, requisitos de desarrollo y mantenimiento seguros, gestión de vulnerabilidades y plazos de aplicación de parches, y autenticación multifactor y cifrado como requisitos ineludibles.
Nada de eso es ya una lista de deseos exótica — es la nueva base de referencia. La única pregunta es si ya está en sus contratos vigentes, y esa pregunta se responde revisando su cartera, no escribiendo una política. Nuestra revisión de cláusulas está diseñada exactamente para eso.