Durante años, muchas organizaciones han tratado la ciberseguridad y la regulación tecnológica como asuntos paralelos: por un lado, proteger sistemas; por otro, cumplir normas. Ese enfoque ya no sirve. En 2026, la conversación ha cambiado. NIS2 y el AI Act obligan a mirar la seguridad, la gobernanza del dato, la supervisión y la responsabilidad como parte de una misma agenda de dirección. Y eso afecta especialmente a industria, grandes organizaciones y entidades que operan en sectores críticos o que ya están incorporando inteligencia artificial a procesos, productos y decisiones.
En DOK Summit, este cruce entre ciberseguridad, compliance y competitividad encaja de lleno con uno de los carriles prioritarios del evento: el dirigido a decisores e instituciones que necesitan responder a regulación, resiliencia y soberanía tecnológica desde una perspectiva práctica.
NIS2: la ciberseguridad deja de ser una cuestión sólo técnica
La Directiva NIS2 establece un marco común europeo para elevar el nivel de ciberseguridad en la Unión. Su lógica no se limita a pedir “más protección”: exige a los Estados reforzar capacidades, crear autoridades y estructuras de respuesta, e impone a muchas entidades medidas de gestión de riesgos y obligaciones de notificación de incidentes. La directiva debía transponerse antes del 17 de octubre de 2024 y sus reglas aplican desde el 18 de octubre de 2024.
Lo relevante para una organización es que NIS2 amplía el alcance respecto al marco anterior. Abarca, en general, a entidades medianas y grandes de sectores recogidos en sus anexos, y distingue entre entidades esenciales e importantes. Entre los sectores de alta criticidad están energía, transporte, banca, infraestructuras financieras, salud, agua, infraestructuras digitales, administración pública y espacio; y también incluye otros ámbitos como servicios postales, residuos, químicos, alimentación, fabricación de ciertos productos críticos o proveedores digitales específicos.
Eso significa que muchas organizaciones que antes veían la ciberseguridad como una función operativa ahora tienen que tratarla como una cuestión de gobernanza corporativa. NIS2 no se queda en la capa técnica: obliga a adoptar medidas de gestión del riesgo, contemplar la cadena de suministro, la gestión de vulnerabilidades, la higiene cibernética o la continuidad del servicio, y refuerza la supervisión y el régimen sancionador.
AI Act: la inteligencia artificial entra en fase regulatoria real
Con la IA está ocurriendo algo parecido. El Reglamento Europeo de Inteligencia Artificial entró en vigor el 1 de agosto de 2024 y establece un marco armonizado en toda la UE basado en el nivel de riesgo. Su enfoque distingue entre usos prohibidos, sistemas sujetos a obligaciones de transparencia, sistemas de alto riesgo y obligaciones específicas para determinados modelos de propósito general.
Aquí hay una fecha clave que conviene tener clara: el reglamento se aplica en general desde el 2 de agosto de 2026, pero algunas partes ya están en marcha desde antes. Las prohibiciones, definiciones y obligaciones sobre alfabetización en IA aplican desde el 2 de febrero de 2025, y desde el 2 de agosto de 2025 empezaron a aplicar otras disposiciones, incluidas las relativas a gobernanza, sanciones y obligaciones para proveedores de modelos de IA de propósito general.
Para las organizaciones, el mensaje es muy claro: ya no basta con “probar herramientas de IA”. Hay que saber qué tipo de sistema se usa, para qué se usa, qué riesgo implica y qué obligaciones activa. Si la IA participa en ámbitos sensibles —por ejemplo, empleo, servicios esenciales, evaluación de personas, infraestructuras o decisiones con impacto relevante— la conversación ya no es solo tecnológica. Es también jurídica, organizativa y reputacional.
El punto ciego más habitual: pensar que esto afecta solo a Legal o a IT
Uno de los errores más frecuentes es repartir esta conversación en compartimentos: NIS2 para ciberseguridad, AI Act para legal, y negocio por otro lado. Pero la regulación europea está empujando precisamente en sentido contrario. Tanto NIS2 como el AI Act exigen algo parecido: capacidad de control, trazabilidad, responsabilidad y supervisión. No son normas pensadas solo para especialistas, sino para obligar a las organizaciones a madurar su forma de gobernar la tecnología.
Para un comité de dirección o una organización industrial, eso se traduce en preguntas muy concretas. ¿Sabemos qué sistemas críticos dependen de terceros? ¿Tenemos criterios claros de notificación, respuesta y escalado ante incidentes? ¿Hemos identificado qué usos de IA pueden entrar en categorías sensibles? ¿Existe supervisión humana real? ¿Tenemos capacidad de demostrar cómo se toman determinadas decisiones tecnológicas?
En Euskadi, esto ya es una conversación estratégica
En el contexto vasco, esta conversación encaja de lleno con la tesis de DOK Summit: la competitividad ya no se juega solo en eficiencia, sino en la capacidad de generar valor desde tecnología, datos y personas, manteniendo al mismo tiempo seguridad, cumplimiento y autonomía. El evento se define como un espacio donde se conectan industria, mercado, sector público y talento para abordar la transformación digital desde una perspectiva práctica y aplicada.
Por eso hablar de NIS2, AI Act y ciberseguridad no es introducir una nota jurídica en medio del programa. Es hablar de una parte central del problema. Las organizaciones que mejor compitan en los próximos años no serán solo las que adopten tecnología antes, sino las que sepan hacerlo con más criterio, más resiliencia y más capacidad de respuesta.
Lo que de verdad está en juego
Al final, NIS2 y el AI Act no son solo nuevas normas europeas. Son una señal bastante clara de hacia dónde va el mercado. La seguridad ya no puede tratarse como un coste marginal. Y la IA ya no puede desplegarse como una caja negra sin responsabilidades claras.
Para muchas organizaciones, el reto inmediato no será “cumplir con todo” de una vez. Será empezar a hacer las preguntas correctas, ordenar prioridades y conectar a dirección, tecnología, operaciones y compliance en una misma conversación.
Y esa conversación, cuanto antes empiece, mejor.
Acude y participa en DOK para tener información actualizada y especializada.
NIS2 y el AI Act convierten la seguridad y la gobernanza tecnológica en asunto de dirección.
La primera obliga a reforzar la gestión de riesgos y la notificación de incidentes en sectores críticos y entidades relevantes; la segunda introduce un marco europeo basado en riesgo para el uso y despliegue de sistemas de IA, con obligaciones que ya han empezado a activarse por fases.