TERA Tecnología de Recepción de AlarmasSoftware para centrales receptoras
  1. Inicio
  2. Blog
  3. Tecnología

Tecnología

NIS2 y CER sin ley española: qué conviene preparar ya en una central receptora

España sigue sin transponer NIS2 y la ley tendrá que esperar al próximo Gobierno. Por qué afecta igualmente a una CRA y qué preparar desde hoy.

· Equipo TERA · EXDESIS · 6 min de lectura

Sala de operaciones de una central receptora en una noche de apagón y tormenta: operadores trabajando, la responsable supervisando con una tableta y una videowall con los plazos de notificación de NIS2

Esta semana la ciberseguridad y la resiliencia de los sistemas de seguridad han vuelto a los medios del sector. Digital Security Magazine publicaba el 22 de octubre cómo un fabricante de videoseguridad se está preparando para las exigencias de la Directiva NIS2 y de la Directiva CER, sobre resiliencia de las entidades críticas. El artículo recuerda que las directrices de la Comisión Europea sobre la CER, publicadas en julio de 2026, piden a los sistemas de vídeo cosas muy concretas: monitorización en tiempo real de los accesos críticos, grabación continua de las zonas relevantes, sincronización horaria fiable, comprobaciones periódicas de que se está grabando, plazos de conservación definidos y respaldo energético.

Mientras tanto, en España la ley que debía trasponer NIS2 sigue sin llegar. Y eso no significa que una central receptora pueda esperar sentada.

Dónde está NIS2 en España

  • El plazo venció el 17 de octubre de 2024. España, junto con Irlanda, Francia y los Países Bajos, no ha comunicado la transposición completa.
  • El 8 de julio de 2026 la Comisión llevó a España ante el Tribunal de Justicia de la UE y pidió sanciones económicas hasta que la transposición se complete.
  • El texto español, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, lo aprobó el Consejo de Ministros en enero de 2025, pero no había entrado en el Congreso.
  • Con la disolución de las Cortes a principios de octubre y las elecciones del 29 de noviembre, será el próximo Gobierno quien tenga que retomarlo. El retraso ya ronda los dos años.

La directiva, en cambio, no caduca. Y sus efectos ya llegan a las empresas por otras vías.

Por qué le afecta a una CRA aunque no haya ley

NIS2 obliga a las entidades esenciales e importantes a gestionar los riesgos de ciberseguridad de toda su cadena de suministro. Entre los clientes de una central receptora suele haber empresas de energía, agua, transporte, sanidad, industria o administraciones públicas. Para ellas, la central que recibe sus alarmas y su vídeo es un proveedor más que hay que evaluar.

En la práctica, eso se traduce en cuestionarios de seguridad en las licitaciones y en las renovaciones, cláusulas contractuales sobre incidentes y preguntas que hace unos años no se hacían: dónde están alojados los datos, quién accede, cómo se recupera el servicio tras una caída, cómo se avisa de un incidente. Las empresas con matriz en países que ya han traspuesto NIS2 están enviando esos cuestionarios a sus proveedores españoles.

Además, según su tamaño y sus servicios, cada central debería analizar si ella misma puede quedar dentro del ámbito de la ley cuando se apruebe. Hacerlo ahora, con calma, es mejor que hacerlo con prisas.

Qué conviene preparar desde hoy

1. Inventario de activos y proveedores

Software de gestión, receptoras, líneas y operadores de comunicaciones, alojamiento, copias de seguridad, integraciones con fabricantes. Saber qué depende de qué es la base de cualquier análisis de riesgos y la primera pregunta de cualquier cuestionario.

2. Accesos con doble factor y perfiles bien definidos

NIS2 cita expresamente la autenticación multifactor entre las medidas mínimas. En una CRA, cada operador, supervisor, técnico o cliente debería ver y hacer solo lo que le corresponde, y cada acceso debería quedar registrado.

3. Un procedimiento de notificación ensayado

La directiva fija tres plazos para los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Tener el procedimiento escrito no basta; hay que probarlo, porque en un incidente real no hay tiempo para improvisar quién avisa a quién.

4. Continuidad y resiliencia

Qué pasa si cae el centro principal, si hay un apagón o si se pierde una línea de comunicaciones. Réplica de los datos en tiempo real, respaldo energético, supervisión de las comunicaciones de los abonados y un centro alternativo que pueda asumir la operación son las respuestas que esperan los clientes críticos, en línea con lo que las directrices de la CER piden a los sistemas de vídeo.

5. Trazabilidad y documentación

Registros fiables, con hora sincronizada, de cada señal, cada actuación y cada cambio de configuración. Y la documentación de cada cliente ordenada y accesible, para poder demostrar lo que se hizo cuando lo pida un cliente, una aseguradora o la autoridad.

6. La dirección, implicada

Una de las novedades de NIS2 es que los órganos de dirección responden de las medidas de ciberseguridad y deben formarse. No es un asunto que se pueda dejar solo en manos del departamento técnico.

El ENS como punto de partida

Mientras llega la ley, muchas organizaciones se apoyan en el Esquema Nacional de Seguridad, que ya cubre buena parte de estas medidas para el sector público y sus proveedores. Para una central, trabajar con un software certificado en el ENS adelanta mucho camino en las preguntas sobre desarrollo seguro, alojamiento, copias y control de accesos.

Cómo lo aborda TERA

TERA, el software para centrales receptoras que distribuye, implanta y soporta EXDESIS, cuenta con la certificación del Esquema Nacional de Seguridad en Categoría Alta, que abarca el desarrollo seguro y la modalidad SaaS: alojamiento, copias de seguridad, gestión de accesos y operación cloud.

  • Accesos: inicio de sesión único, doble autenticación, integración con sistemas de identidad y biometría.
  • Alta disponibilidad: base de datos relacional, distribución en tiempo real y arquitectura de tres capas compatible con entornos virtualizados, con centros federados por zona o especialización.
  • Comunicaciones: test y supervisión en tiempo real de las comunicaciones de los abonados.
  • Trazabilidad: registro de toda la operación y un gestor documental propio con el histórico de los documentos de cada cliente y abonado.

Detrás hay más de 25 años de experiencia construyendo software para centrales receptoras de alarmas.

Si vuestros clientes ya os están pidiendo cuestionarios de seguridad, o queréis saber dónde estáis frente a NIS2, contadnos qué os preocupa y vemos cómo resolverlo con TERA y las adaptaciones que hagan falta. Escribidnos a comercial@exdesis.com o llamadnos al 91 954 17 16.

Este artículo resume con fines informativos el estado de la normativa a 22 de octubre de 2026. Para su aplicación a un caso concreto, consulta los textos oficiales vigentes y el asesoramiento jurídico que corresponda.

Fuentes

  • NIS2
  • Directiva CER
  • Ciberseguridad
  • Resiliencia
  • ENS
  • CRA

Sigue leyendo

Otros artículos

A la hora azul, con la sierra nevada al fondo, la entrada de una urbanización de chalets entre pinos y árboles otoñales: un vigilante atiende en una garita acristalada, una cámara lectora de matrículas proyecta un haz cian sobre la placa de un todoterreno detenido ante la barrera y, calle arriba, se acerca una patrulla con luces ámbar; una estela cian cruza los tejados, donde una casa brilla con un halo ámbar de alarma, hasta una central receptora en la que una operadora con auriculares y radio señala la videowall con la cámara del acceso, el plano de la urbanización y el rótulo «Acceso norte · Vehículo no autorizado»
Gestión de CRA

Urbanizaciones con accesos vigilados: qué hace la central con cada matrícula, cada visita y cada alarma

Las cámaras lectoras de matrículas llegan a los accesos de pueblos y urbanizaciones. Cómo ordenar garita, patrulla y central para que cada aviso acabe en una decisión.
Noche de lluvia en Sevilla, con las Setas iluminadas en violeta y la Giralda al fondo: una cámara domo en un báculo enmarca en cian a un peatón con paraguas y a una furgoneta, junto a un panel flotante con dos funciones encendidas, tres apagadas y el reconocimiento facial tachado con un candado rojo; una estela de luz cruza los tejados hasta una central receptora donde una operadora con auriculares apoya la mano en un pulsador mientras la videowall muestra «Detección IA · Persona» y «Verificación humana», con una carpeta «EIPD» y un reloj de arena junto al rótulo «30 días» sobre la mesa
Inteligencia artificial

IA en el vídeo que llega a la central: lo que pide la AEPD antes de activar cada función

La AEPD recuerda que tener una función de IA en la cámara no basta para usarla. Qué supone para la central que recibe y verifica esos eventos.
Noche de luna llena en un gran parque solar: en primer plano, dos ladrones encapuchados con linternas frontales cortan cable de cobre de una zanja junto a una fila de paneles, con bobinas de cobre y una furgoneta abierta; desde una cámara térmica en lo alto de la valla perimetral, con balizas rojas y un zorro cruzando, sale una estela verde hasta una central receptora donde un operador señala la videowall con la imagen térmica de los intrusos, el plano del parque y los rótulos «Intrusión · Sector 7» y «Verificada»; por un camino de tierra llega un coche de la Guardia Civil con las luces azules encendidas
Seguridad privada

Robo de cobre en plantas fotovoltaicas: cómo vigila un parque solar la central receptora

Las bandas del cobre han convertido los parques solares en uno de los avisos más frecuentes de la noche. Qué cambia para la CRA que los vigila y qué conviene preparar.

Hablemos

¿Vemos TERA con un caso real de vuestra central?

Os enseñamos la operativa en una videollamada, con vuestros tipos de alarma, vuestros abonados y vuestra forma de trabajar. Sin compromiso.

Solicitar una demo
El contacto comercial de TERA se realiza a través de su implantadorEXDESIS
Correo comercialcomercial@exdesis.com
Teléfono91 954 17 16
OficinaC/ Chile, 10, oficina 148, 28290 Las Rozas de Madrid (Madrid)