Estado de NIS 2 en Estonia
Qué exige la directiva, cómo la transpone Estonia a través de la Ley de Ciberseguridad y dónde se sitúa RIA dentro del conjunto.
Visión general
La directiva NIS 2 es la capa de la UE. Obliga a cada Estado miembro, Estonia incluida, con un único suelo de ciberseguridad para las entidades esenciales e importantes. Estonia debe plasmar ese suelo en el derecho estonio y ejecutar un régimen de supervisión bajo él.
Estonia transpuso NIS 2 a través de modificaciones de la Küberturvalisuse seadus (Ley de Ciberseguridad) existente, en lugar de una ley completamente nueva. Las modificaciones las aprobó el Riigikogu en diciembre de 2025 y entraron en vigor el 1 de enero de 2026. El plazo de transposición de la UE del 17 de octubre de 2024 se incumplió, razón por la que la Comisión Europea envió a Estonia un dictamen motivado en mayo de 2025.
La Autoridad del Sistema de Información (Riigi Infosüsteemi Amet, RIA) es la autoridad nacional competente y el punto de contacto único. CERT-EE, el CSIRT nacional de Estonia, opera dentro de RIA. El autorregistro se realiza a través de RIA, con informes que indican una ventana inicial de autorregistro que se extiende hasta la primavera de 2026.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de ámbito europeo. Establece las obligaciones que cada Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Estonia sin transposición nacional.
Transposición estonia
Küberturvalisuse seadus, modificaciones de NIS 2 en vigor desde el 1 de enero de 2026
La transposición estonia de NIS 2 es un paquete de modificaciones de la Ley de Ciberseguridad existente, complementado por reglamentos de ejecución y orientación de RIA. Las modificaciones amplían el perímetro regulado de aproximadamente 3.500 a un grupo sustancialmente mayor de entidades en energía, transporte, salud, infraestructura digital y administración pública.
Küberturvalisuse seadus, modificada para NIS 2
Estonia no redactó una nueva ley de ciberseguridad. La Ley de Ciberseguridad existente se modificó para llevar las obligaciones de NIS 2: las categorías de entidad esencial e importante, las potestades de supervisión de RIA, los deberes de notificación de incidentes y las sanciones. El detalle operativo se completa mediante reglamentos de ejecución y la orientación de RIA.
RIA como autoridad competente, CERT-EE como CSIRT
RIA (Riigi Infosüsteemi Amet, la Autoridad del Sistema de Información) es la autoridad nacional competente y el punto de contacto único conforme a NIS 2. CERT-EE, el CSIRT nacional, se sitúa dentro de RIA y gestiona el tratamiento y la coordinación de incidentes. Los reguladores sectoriales conservan sus funciones existentes donde se aplica la lex specialis.
Registro y notificación
Las modificaciones de la Ley de Ciberseguridad entraron en vigor el 1 de enero de 2026. Los informes indican una ventana inicial de autorregistro de aproximadamente tres meses a partir de esa fecha para las entidades que entran en el ámbito ampliado; las empresas deberían confirmar la ventana precisa frente a la orientación actual de RIA. Los incidentes significativos siguen la cadencia de la directiva: alerta temprana de 24 horas, notificación de 72 horas e informe final de un mes.
El derecho local se aplica dentro de Estonia
Las operaciones en territorio estonio siguen la transposición estonia. Un Geschäftsführer alemán que dirige una filial estonia lee la Küberturvalisuse seadus para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas; el procedimiento, el portal y las sanciones viven en el derecho estonio y los supervisa RIA.
Estonia no puede quedar por debajo del suelo de la UE
La directiva es un instrumento de armonización mínima. Estonia puede ir más allá, e históricamente lo ha hecho en sectores seleccionados dada su postura de gobierno digital. No puede quedar por debajo de la directiva en los deberes de las entidades esenciales e importantes, en los plazos de notificación de incidentes ni en la responsabilidad del órgano de dirección.
RIA
Riigi Infosüsteemi Amet, la Autoridad del Sistema de Información. Autoridad nacional competente, punto de contacto único y regulador de ciberseguridad conforme a NIS 2. Opera el centro nacional de ciberseguridad, emite orientación, ejecuta la supervisión y coordina la respuesta a incidentes a través de CERT-EE.
CERT-EE
El CSIRT nacional estonio, organizativamente parte de RIA. Recibe las notificaciones de incidentes, coordina la respuesta en el sector público y los operadores de infraestructuras críticas, y conecta con la red de CSIRT de la UE.
ENISA
La agencia de ciberseguridad de la UE. Publica orientaciones, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades estonias; RIA lo es.
Estonia está en la UE, así que la NIS2UmsuCG alemana se aplica aquí también.
Cada Estado miembro transpone la directiva a su propio derecho. Una filial estonia sigue la Küberturvalisuse seadus, supervisada por RIA, aunque la matriz esté en Alemania. La notificación se realiza a través de CERT-EE, no a través del BSI alemán. Las obligaciones sustantivas están alineadas a nivel de la directiva, pero el procedimiento y el supervisor son estonios.
No hay un registro público de NIS 2 en Estonia, así que podemos esperar.
Las modificaciones de la Ley de Ciberseguridad exigen que las entidades dentro del ámbito se autorregistren ante RIA tras la entrada en vigor el 1 de enero de 2026. Que un registro público sea o no visible para terceros es una cuestión aparte; el deber de registrarse se aplica una vez que una entidad cumple el criterio de tamaño y sector. Esperar hasta que la actuación coercitiva sea visible es el error más común.
No estamos en un sector crítico, así que NIS 2 no se aplica.
El perímetro de NIS 2 es más amplio que la antigua lista de OES de NIS 1. Sectores como la gestión de residuos, los servicios postales y de mensajería, la fabricación de determinados productos, la producción de alimentos y los proveedores digitales están ahora dentro del ámbito conforme al Anexo II si se cumple el criterio de tamaño. Las administraciones públicas y determinados proveedores digitales están dentro con independencia del tamaño. La comprobación debe hacerse frente al anexo sectorial de la directiva, no frente a la percepción de la entidad de ser crítica.
Estonia entró en NIS 2 desde una base elevada de gobierno digital. RIA ya operaba el centro nacional de ciberseguridad, CERT-EE ya estaba operativo y la Ley de Ciberseguridad ya existía. El paso de NIS 2 no fue una nueva arquitectura, fue un ámbito más amplio y una gobernanza más estricta: más sectores dentro, responsabilidad del órgano de dirección formalizada y plazos de notificación de incidentes alineados con la directiva.
El movimiento práctico es el mismo que en todo el resto de la UE: confirmar el ámbito conforme a la directiva, autorregistrarse ante RIA, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La base estonia ayuda con la madurez técnica, pero no sustituye al registro de obligaciones de NIS 2.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre ninguna transposición nacional concreta. La misma lista de verificación funciona para una entidad estonia bajo la Küberturvalisuse seadus, una matriz alemana bajo el BSIG y una filial hermana francesa bajo la Ordonnance n° 2024-1093. Las referencias a artículos cambian por idioma; las obligaciones sustantivas no.
Para el ámbito estonio empiezas con la comprobación de aplicabilidad, luego pasas al autorregistro ante RIA, la cadencia de notificación de incidentes hacia CERT-EE, las cláusulas de cadena de suministro y la aprobación del órgano de dirección. Donde RIA publica orientación sectorial, la referenciamos; no la duplicamos.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Küberturvalisuse seadus (Ley de Ciberseguridad): Riigi Teataja
- Comisión Europea, rastreador de transposición de la directiva NIS 2: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, sitio oficial (ria.ee)
- CERT-EE: CSIRT nacional estonio, dentro de RIA
- Comunicados de prensa del Riigikogu sobre el proyecto de ley de transposición de NIS 2