Riesgos y Cumplimiento
NIS2 aún sin transponer en Francia, un régimen suizo distinto, un AI Act con plazos rediseñados, clientes que ya exigen pruebas. El cumplimiento ya no es un asunto de juristas: es un arbitraje de dirección.
Lo que observamos
≈ 15 000
entidades previstas en el perímetro NIS2 en Francia, frente a unos centenares hoy
Comisión Europea; estimación
24 h
plazo para notificar un ciberataque a la OFCS para las infraestructuras críticas suizas, desde el 1 de abril de 2025
OFCS, ncsc.admin.ch
35 M€ · 7 %
tope de las multas del AI Act para las prácticas prohibidas; 15 M€ o 3 % para la mayoría de las demás obligaciones
Reglamento (UE) 2024/1689, art. 99
Francia. NIS2 debe hacer pasar el número de entidades reguladas de unos centenares a unas 15 000, en 18 sectores, desde 50 empleados o 10 M€. La ley de transposición no está votada; la Comisión recurrió al Tribunal de Justicia el 8 de julio de 2026. Esperar la ley es una apuesta, no un plan.
Suiza. NIS2 no se aplica directamente. Desde el 1 de abril de 2025, los operadores de infraestructuras críticas notifican todo ciberataque a la OFCS en 24 horas, con una multa que puede alcanzar 100 000 CHF desde el 1 de octubre de 2025. Seis meses después de la entrada en vigor se habían registrado 164 notificaciones. Fuera de las infraestructuras críticas no hay obligación legal, pero sus clientes de la UE podrán imponérsela por contrato.
IA. El artículo 50 del AI Act es aplicable desde el 2 de agosto de 2026. Las obligaciones de «alto riesgo» del Anexo III se aplazan al 2 de diciembre de 2027 por el Reglamento (UE) 2026/1744. Las multas alcanzan 35 M€ o el 7 % de la facturación mundial para las prácticas prohibidas, 15 M€ o el 3 % para la mayoría de las demás obligaciones.
Qué cambia esto
Tres calendarios, tres jurisdicciones. La pregunta correcta no es «¿cumplimos?», sino «¿a qué estamos obligados, ante quién, para cuándo?».
Lo que obtiene
Una visión clara de lo que se aplica, de lo que se exige por contrato y de lo que puede esperar.
Pruebas que entrega a un cliente sin reconstruirlas.
Un responsable nombrado para cada obligación.
Seis situaciones
01« Un gran cliente nos envía un cuestionario de seguridad de cuarenta páginas. »
Decisión
Qué nivel de prueba aportar, sobre qué referencial.
Entregable
Expediente de pruebas y plan de cierre de brechas, reutilizable para los clientes siguientes.
Unas semanas
02« No sabemos si estamos en el perímetro. »
Decisión
Qué se nos aplica, qué se nos impondrá, qué puede esperar.
Entregable
Mapa de exposición de tres vías.
Misión corta
03« Nuestros equipos usan la IA sin reglas. »
Decisión
Qué herramientas, con qué datos, bajo qué responsabilidad.
Entregable
Política de uso, inventario de sistemas, clasificación conforme al AI Act.
Misión corta
04« Hemos sufrido un incidente. »
Decisión
A quién informar (autoridad, clientes, aseguradora), en qué plazos.
Entregable
Expediente de incidente documentado y plan de mejora, con los expertos en respuesta a incidentes de la red.
A demanda
05« Un inversor o un comprador nos va a auditar. »
Decisión
Qué regularizar antes, qué asumir.
Entregable
Expediente de cumplimiento listo para la data room.
Unas semanas
06« Vendemos en la UE desde Suiza (o a la inversa). »
Decisión
Representante, DPO, transferencias de datos.
Entregable
Matriz de jurisdicciones (LPD / RGPD) y obligaciones asociadas.
Misión corta
Nuestros servicios
Nuestro marco
Cada texto se clasifica en una de las tres vías, con su plazo, su responsable interno y la brecha constatada.
Obligatorio
Lo que la ley le impone hoy, según su rol: entidad esencial o importante, responsable del despliegue o proveedor de IA, responsable del tratamiento.
Contractual
Lo que sus clientes, aseguradoras e inversores exigen, incluso sin ley.
Por vigilar
Plazo conocido, no aplicable a día de hoy.
Entregable
Una página de síntesis, anexos detallados por texto.
Según su tamaño
Pyme · de 10 a 50 M€
Rara vez un CISO o un DPO a tiempo completo. Apuntamos a una base de controles oponibles, no a un sistema de gestión completo, y movilizamos funciones externalizadas de la red.
Empresa mediana · desde 50 M€
Existe una dirección de riesgos, varios referenciales se superponen. Los consolidamos en un único plan y preparamos la auditoría interna.
Según su sector
Finance & Capital
DORA, aplicable desde el 17 de enero de 2025: terceros TIC críticos, pruebas de resiliencia, registro de proveedores. En Suiza, exigencias FINMA sobre riesgos operativos y resiliencia (circular 2023/1).
Salud y Ciencias de la vida
HDS en Francia, MDR/IVDR, EHDS. IA integrada en un producto sanitario: alto riesgo del Anexo I, plazo 2 de agosto de 2028.
Industria, Energía e Infraestructuras
NIS2 (energía, agua, transporte, fabricación); en Suiza, notificación OFCS en 24 h; segmentación IT/OT.
Comercio, Servicios y Experiencia de cliente
RGPD y LPD (fidelización, perfilado); artículo 50 (agentes conversacionales, contenidos generados); herramientas de cribado de candidaturas: alto riesgo, Anexo III, 2 de diciembre de 2027.
Tech, Innovación y Sector público
Sus clientes NIS2 y DORA le piden pruebas; Cyber Resilience Act (obligaciones de notificación desde septiembre de 2026, exigencias de producto en diciembre de 2027); editores de software usados en infraestructuras críticas: comprobar si la LSI suiza le afecta.
Escenario tipo · ilustrativo
Editor de software suizo con 25 M€ de facturación, clientes en la energía en Alemania y Francia. Su mayor cliente exige pruebas de seguridad de la cadena de suministro antes de renovar. En tres semanas: perímetro aclarado (obligatorio para él, contractual para sus clientes), ocho brechas clasificadas, pruebas reutilizables para los otros tres clientes.
Lo que una herramienta de IA no hará por usted
Un asistente resume NIS2. No llevará su expediente ante su cliente, no elegirá las brechas que usted acepta, no responderá de la calidad de la prueba. Aegryn compromete a un experto nombrado, responsable de su perímetro.
Nuestro acompañamiento no sustituye a un dictamen jurídico; trabajamos con despachos asociados.
Ejecutar
Desplegar el plan de cumplimiento: políticas, procedimientos y registros.
Implantar los controles y el expediente de pruebas oponible a los clientes.
Formar a los equipos y a los comités de dirección en las nuevas exigencias.
Dirigir la remediación hasta el cierre de las desviaciones.
Treinta minutos con un experto de la red, con nombre y responsable de su perímetro. Sin compromiso en esta fase; las condiciones se comunican tras el encuadre.
Evaluar su exposiciónNewsletter · Built to Last
Análisis de mercado, ciclos de vida de las organizaciones, experiencias de terreno. Una carta, sin prospección.
