La ley NISG 2026 y la supervisión institucional de la ciberseguridad en Austria

La NISG 2026 (Ley de Seguridad de las Redes y Sistemas de Información de 2026) es la transposición austriaca de la Directiva NIS2 (UE) 2022/2555. El Consejo Nacional la aprobó el 12 de diciembre de 2025, se publicó el 23 de diciembre de 2025 como BGBl. I Nr. 94/2025 y es aplicable desde el 1 de octubre de 2026. Define obligaciones de ciberseguridad para unas 4.000 empresas de 18 sectores y crea por primera vez una Oficina Federal de Ciberseguridad propia.

Lo esencial en tres puntos:

• Tarde, pero vinculante: Austria incumplió claramente el plazo de transposición de la UE del 17 de octubre de 2024. El primer proyecto (NISG 2024) fracasó el 3 de julio de 2024 al no alcanzar la mayoría de dos tercios. Solo la NISG 2026 crea el marco jurídico nacional, aplicable desde el 1 de octubre de 2026.
• Comprobación y registro por cuenta propia: que una empresa esté afectada depende del sector, del tipo de entidad y del tamaño. Algunos tipos, como los prestadores cualificados de servicios de confianza o los proveedores de servicios DNS, quedan incluidos en la ley con independencia de su tamaño (§ 24, apdo. 1, punto 1, NISG 2026). La propia empresa lo comprueba y se registra por su cuenta ante la autoridad de ciberseguridad. Solo hay resolución administrativa cuando la autoridad clasifica a una entidad con independencia de su tamaño (§ 26).
• Los plazos ya corren: las entidades afectadas deben registrarse en un plazo de tres meses desde la entrada en vigor (§ 29, apdo. 3, NISG 2026). La autodeclaración de las medidas de gestión de riesgos llega en un plazo de doce meses desde que nace la obligación de registro (§ 33, apdo. 1).

El camino hacia la NISG 2026: retraso respecto al plazo de la UE

La Directiva NIS2 obligaba a todos los Estados miembros de la UE a poner en vigor sus leyes nacionales de transposición a más tardar el 17 de octubre de 2024. Austria es uno de los Estados que no cumplieron este plazo. El primer intento, la NISG 2024, fue rechazado en el Consejo Nacional el 3 de julio de 2024 porque no se alcanzó la mayoría de dos tercios necesaria para partes de la ley. Así, el plazo de la UE venció sin que se cumpliera.

Solo después de una nueva negociación y con contenidos modificados aprobó el Consejo Nacional la NISG 2026 el 12 de diciembre de 2025. La publicación en el Boletín Oficial Federal tuvo lugar el 23 de diciembre de 2025, y la ley es aplicable desde el 1 de octubre de 2026 (§ 51 NISG 2026). Entre el vencimiento del plazo de la UE y la aplicabilidad nacional transcurrieron, por tanto, casi dos años. Las obligaciones de NIS2 no fueron vinculantes para las empresas en Austria hasta la NISG 2026.

La autoridad competente: la Oficina Federal de Ciberseguridad

El elemento institucional más importante de la NISG 2026 es la Oficina Federal de Ciberseguridad (Bundesamt für Cybersicherheit). Desde el 1 de octubre de 2026 es la autoridad competente. Depende del ministro federal del Interior y está organizada fuera de la Dirección General de Seguridad Pública (§ 3a NISG 2026).

Una particularidad central del modelo austriaco afecta a las sanciones: la autoridad de ciberseguridad no impone multas por sí misma. Las sanciones administrativas corresponden a las autoridades administrativas de distrito. El régimen sancionador se basa en lo dispuesto en la Directiva NIS2. Esta separación entre la autoridad supervisora y el órgano sancionador es una peculiaridad frente a otras jurisdicciones, en las que la propia autoridad de supervisión impone las multas.

CSIRT, GovCERT y canales de notificación

La NISG 2026 regula por sí misma los canales de notificación. Una entidad notifica los incidentes de ciberseguridad significativos al CSIRT sectorial competente. Si no existe, la notificación va al CSIRT nacional. El CSIRT la transmite a la autoridad de ciberseguridad (§ 34, apdo. 1, NISG 2026). El legislador designa directamente dos CSIRT sectoriales. GovCERT Austria está adscrito a la autoridad de ciberseguridad y atiende a la administración pública (§ 8, apdo. 4, NISG 2026). Para el sector sanitario, la ley designa como CSIRT sectorial al Austrian HealthCERT, que debe crear y operar el ministro federal competente en materia de sanidad. Las entidades de este sector notifican allí (art. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012). La autoridad de ciberseguridad puede habilitar otros CSIRT sectoriales cuando sea necesario y lo hace público. En los sectores sin CSIRT propio, asume la función el CSIRT nacional (§ 8, apdos. 3 y 5). Hasta que se habilite un CSIRT nacional conforme al nuevo régimen, y como máximo durante dos años desde la entrada en vigor, el CSIRT nacional habilitado conforme a la NISG 2018 sigue ejerciendo sus funciones (§ 51, apdo. 6, NISG 2026). Si después no existe un CSIRT nacional, GovCERT asume estas funciones (§ 8, apdo. 4).

Datos clave de la NISG 2026

Respecto al fallido proyecto de 2024 (versión de la comisión, 2638 d.B.) ha cambiado, entre otras cosas, la autoridad: en el proyecto, el propio ministro del Interior era la autoridad de ciberseguridad (§ 4, apdo. 1); ahora es una oficina federal propia. En el proyecto, la autodeclaración solo era exigible a requerimiento; ahora es obligatoria en un plazo de doce meses. Los datos clave de un vistazo, con todos los parágrafos según el BGBl. I Nr. 94/2025:

La autoclasificación traslada a la propia empresa la responsabilidad de determinar correctamente si está afectada. Quien da por hecho, erróneamente, que no entra en el ámbito de aplicación carga con el riesgo. Esto vale especialmente en los grupos empresariales: para los umbrales de tamaño, el § 25 NISG 2026 remite a la Recomendación 2003/361/CE sobre pymes, de modo que, por regla general, se computan los datos de las empresas asociadas y vinculadas. Solo si una sociedad es independiente en lo organizativo, técnico y operativo en sus redes y sistemas de información se considera por separado (§ 25, apdo. 4). Así, una pequeña filial de un grupo puede superar los umbrales. Según el § 3, punto 11, forman parte del órgano de dirección las personas u órganos llamados a dirigir los asuntos. La definición no menciona a los consejos de supervisión, aunque la ley tampoco contiene una excepción expresa. El proyecto de 2024 todavía incluía a las personas llamadas, dentro de la entidad, a supervisar la gestión (§ 3, punto 11, del proyecto). Aun así, el control sigue siendo relevante: según el § 44, apdos. 3 y 4, la entidad también puede ser sancionada si actuaron personas con facultades de control o si una supervisión deficiente hizo posible la infracción.

Obligaciones de los órganos de dirección

Los órganos de dirección de las entidades esenciales e importantes deben garantizar y supervisar el cumplimiento de las medidas de gestión de riesgos. Además, deben participar ellos mismos en formaciones de ciberseguridad (§ 31 NISG 2026). Con ello, la NISG 2026, como toda la arquitectura de NIS2, saca la responsabilidad de la ciberseguridad del ámbito exclusivo del departamento de TI y la lleva a la alta dirección. La responsabilidad de gobernanza no puede delegarse por completo.

Ejemplo práctico: una empresa energética mediana

Una hipotética empresa energética austriaca con 600 empleados analiza en la primavera de 2026 si le afecta la ley. La energía es uno de los 18 sectores; por su tamaño y su actividad, la empresa se clasifica, en el marco de la autoclasificación, como entidad esencial. Se registra por su cuenta ante la autoridad de ciberseguridad y no espera a una resolución. La autoridad solo la dicta cuando clasifica a una entidad con independencia de su tamaño (§ 26).

Su hoja de ruta antes y después de la fecha clave del 1 de octubre de 2026:

```
T1 2026 Alcance + autoclasificación (¿esencial/importante?)
T2 2026 Madurez del SGSI, análisis de riesgos, catálogo de medidas
T2 2026 Designar equipo de respuesta a incidentes + definir procesos
T3 2026 Documentar formación del órgano de dirección, ejercicio tabletop
T3 2026 Canales para alerta temprana (24 h), notificación (72 h) e informe final
Oct 2026 Aplicabilidad, registro (3 meses), autodeclaración (12 meses)
```

Como la autoridad de ciberseguridad no sanciona por sí misma, en caso de infracción es la autoridad administrativa de distrito competente la que tramita el procedimiento sancionador (§ 44, apdo. 1). Por eso, la empresa energética lo documenta todo sin lagunas desde el principio: actas de aprobación de riesgos, justificantes de formación y pruebas de respuesta a incidentes. Esta cadena de pruebas es el núcleo práctico de cualquier análisis sobre si la ley es aplicable.

Qué deben hacer ahora las empresas

La ley está en vigor desde el 1 de octubre de 2026 y los primeros plazos ya corren. Estos son los pasos pendientes:

• Alcance y autoclasificación según los 18 sectores y los criterios de tamaño y actividad, documentados y trazables.
• Registro ante la autoridad de ciberseguridad en un plazo de tres meses desde la entrada en vigor (§ 29, apdo. 3, NISG 2026).
• Implantación o maduración del SGSI como base organizativa de las medidas de gestión de riesgos.
• Autodeclaración de las medidas de gestión de riesgos implantadas en un plazo de doce meses desde que nace la obligación de registro (§ 33, apdo. 1, NISG 2026). A requerimiento de la autoridad, la implantación debe acreditarse mediante la auditoría de un organismo independiente; el primer requerimiento es posible como pronto a partir del 1 de octubre de 2028 (§ 33, apdo. 2).
• Equipo de respuesta a incidentes: designarlo, definir los canales de notificación y probar los procesos de respuesta. Los incidentes significativos se comunican al CSIRT competente como alerta temprana en 24 horas y como notificación en 72 horas; el informe final llega a más tardar un mes después de la notificación (§ 34 NISG 2026).
• Implicar a los órganos de dirección: supervisan el cumplimiento de las medidas de gestión de riesgos y participan en formaciones de ciberseguridad, ambas cosas documentadas (§ 31 NISG 2026).
• Revisar la estructura del grupo, ya que para los umbrales de tamaño se computan, por regla general, las empresas vinculadas (§ 25 NISG 2026).

Nota: este artículo es una visión general de carácter editorial y no constituye asesoramiento jurídico. La aplicabilidad concreta, la autoclasificación correcta y las distintas obligaciones conforme a la NISG 2026 deben aclararse con asesores jurídicos cualificados. La autoridad de ciberseguridad ya ha concretado los requisitos de las medidas de gestión de riesgos: el NISV 2026 (BGBl. II Nr. 290/2026) de 1 de octubre de 2026 extiende los requisitos de gestión de riesgos del Reglamento de Ejecución (UE) 2024/2690 (art. 2 y su anexo) a aquellos tipos de entidades esenciales e importantes de los anexos 1 y 2 de la NISG 2026 que el propio Reglamento de Ejecución no cubre (§ 2). Además, establece criterios según los cuales un incidente de ciberseguridad se considera significativo en todo caso (§ 5).

Para agencias y responsables de decisiones B2B

Para los responsables de decisiones B2B en Europa, lo que cuenta ahora son sobre todo los plazos en curso; la clasificación y la documentación corresponden a la propia empresa. Quien opere cadenas de suministro en Austria o tenga filiales austriacas debería aclarar cuanto antes si estas están afectadas, ya que para los umbrales de tamaño se computan, por regla general, las empresas vinculadas. Las agencias de marketing y digitales que atienden a clientes regulados de los 18 sectores deberían tener en cuenta su propio papel como proveedores de servicios en la cadena de suministro y reflejar con claridad en los contratos los requisitos de ciberseguridad y de reporting. Blck Alpaca ayuda a las empresas a explicar de forma comprensible temas de compliance como la NISG 2026 y trasladarlos a estructuras de contenido, conocimiento y comunicación: con rigor, al día y sin pretensiones jurídicas.