NIS2 y autenticación de email: lo que la directiva espera de verdad de las organizaciones
Por Thomas · CISO virtual · 2026-08-05
La directiva NIS2 (Network and Information Security 2) es la ampliación más vasta de la regulación cibernética europea en una década. Una vez transpuesta al derecho de cada Estado miembro, hace pasar el número de organizaciones sometidas a obligaciones de ciberseguridad de unos pocos miles a varias decenas de miles en toda la Unión. Nunca pronuncia la palabra «DMARC» — y sin embargo, para una organización que entra en su perímetro, la autenticación de email es uno de los primeros controles que un auditor o una autoridad de control mirará. Este artículo explica por qué, y qué hay que hacer antes de que alguien lo pida.
Lo que NIS2 cambia realmente
La primera directiva NIS apuntaba a un puñado de operadores de importancia vital. NIS2 amplía el perímetro en tres direcciones a la vez, y es esa acumulación lo que más sorprende a las organizaciones.
- Muchos más sectores. Energía, transporte, sanidad, agua, infraestructura digital, administración pública, pero también fabricación, agroalimentario, gestión de residuos, servicios postales y proveedores digitales. Sectores enteros de la economía que no se consideraban «críticos» pasan a serlo.
- Un criterio de tamaño. Por regla general, las entidades medianas y grandes (a partir de 50 empleados o 10 M€ de facturación) de estos sectores están afectadas — con excepciones que capturan también a actores más pequeños considerados críticos.
- Dos niveles. Las entidades esenciales están sometidas a una supervisión proactiva; las entidades importantes a un control a posteriori. Ambas deben respetar las mismas medidas de gestión de riesgos; solo difiere el régimen de control.
Dos novedades cambian las reglas del juego para un CISO. Primero, la responsabilidad de la dirección: los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad, y pueden ser considerados personalmente responsables. Después, unas sanciones que alcanzan, para las entidades esenciales, hasta 10 M€ o el 2 % de la facturación mundial. La ciberseguridad deja de ser un tema puramente técnico para convertirse en un riesgo de gobernanza y de balance.
Por qué el email acaba en primera línea
NIS2 impone, en su artículo 21, «medidas técnicas, operativas y organizativas apropiadas y proporcionadas» para gestionar los riesgos. La lista incluye explícitamente la gestión de incidentes, la seguridad de la cadena de suministro, la higiene cibernética básica y la formación. Ahora bien, el vector de entrada número uno de los incidentes que estas medidas buscan prevenir sigue siendo, año tras año, el correo electrónico: phishing, usurpación de marca, fraude del CEO.
La suplantación del dominio propio de una organización es un caso particularmente peligroso, porque esquiva la vigilancia de sus interlocutores. Un email que muestra exactamente From: contabilidad@organizacion.es lleva su autoridad, franquea los filtros reputacionales asociados al dominio y no despierta ninguna sospecha. Es el mecanismo básico de la suplantación de identidad (spoofing) de dirección de email, y es precisamente lo que la autenticación de dominio está hecha para detener. Mientras el dominio siga siendo suplantable, una parte de la superficie de ataque «cadena de suministro» — proveedores, clientes, agentes que reciben correo falso en su nombre — permanece abierta, sean cuales sean los esfuerzos internos desplegados por otro lado.
DMARC: el control que NIS2 hace difícil de esquivar
DMARC (Domain-based Message Authentication, Reporting and Conformance) es el estándar que indica a los servidores destinatarios qué hacer con un mensaje que dice venir del dominio pero falla la autenticación SPF y DKIM. En política de aplicación — p=quarantine o, mejor, p=reject — hace rechazar o aislar los mensajes suplantados antes de que lleguen a una bandeja de entrada.
¿Por qué este control en particular marca tantas casillas de NIS2?
- Es técnico y estandarizado: una entrada DNS pública, verificable por cualquiera, sin software propietario.
- Es auditable: la postura es pública y legible en unos segundos. Un auditor puede constatarla sin siquiera contactar con la organización.
- Produce pruebas: los informes agregados DMARC (RUA) documentan de forma continua quién envía en nombre del dominio, lo que alimenta directamente la detección de incidentes y la vigilancia de la cadena de suministro.
- Es poco costoso: ninguna licencia, un despliegue medido en semanas, un riesgo controlado si se sigue una subida progresiva.
Dicho de otro modo, es exactamente el tipo de medida «apropiada y proporcionada» que la directiva reclama: una relación beneficio/coste imbatible para un riesgo probado.
«Pero NIS2 no dice DMARC»
Es cierto, y es deliberado. El legislador europeo escribe obligaciones de resultado, no recetas técnicas que estarían obsoletas antes incluso de la transposición. Espera «medidas apropiadas» y deja que el estado del arte defina cuáles. Ahora bien, para el anti-usurpación de dominio de email, el estado del arte es SPF + DKIM + DMARC: no existe ninguna alternativa reconocida. Cuando un referencial sectorial, un cuestionario de seguro cibernético o un auditor busca la prueba concreta de que este riesgo está gestionado, es la política DMARC lo que miran.
La señal del mercado va además ya en este sentido, independientemente de la regulación: los requisitos para remitentes de Gmail y Yahoo hacen de DMARC un prerrequisito para todo envío en volumen desde 2024. Entre la presión regulatoria y la presión de los grandes proveedores de correo, la ventana en la que se podía permanecer en p=none sin consecuencias se está cerrando.
Lo que hay que hacer en concreto
Esta es la secuencia que un CISO afectado debería emprender sin esperar la transposición final en su país:
- Inventariar todos los dominios. No solo el dominio principal: las marcas secundarias, los dominios de campaña, los dominios históricos comprados, los que no envían correo. Cada uno es una superficie de suplantación potencial.
- Publicar DMARC en
p=noneprimero. El objetivo inicial es observar, no bloquear. Los informes agregados revelan la totalidad del parque de envío real — casi siempre más amplio de lo que el equipo pensaba. - Alinear cada fuente legítima. Configurar SPF y DKIM para cada plataforma (ERP, CRM, herramienta de marketing, proveedor de facturación) hasta un paso alineado, apuntando a la alineación DKIM que sobrevive al reenvío.
- Subir de política deliberadamente. Pasar a
quarantine, luego areject, vigilando los informes en cada peldaño. El procedimiento detallado está en alcanzar p=reject sin romper el correo legítimo. - Bloquear los subdominios inexistentes. Con DMARCbis, la etiqueta
npcierra de golpe los subdominios que no envían nada pero siguen siendo suplantables — un endurecimiento con riesgo casi nulo. - Conservar las pruebas. Archivar los informes y el historial de postura: es la traza de auditoría que demuestra una gestión activa del riesgo, no una simple casilla marcada un día.
El verdadero reto: de none a reject
La trampa más común, bajo NIS2 como en otros contextos, es creer que un registro DMARC publicado basta. Un dominio en p=none no ofrece ninguna protección: se limita a observar la suplantación sin bloquearla. Ante un auditor, «tenemos DMARC» no significa nada; «nuestro dominio de cara al público está en p=reject desde hace seis meses, con vigilancia continua» es una afirmación defendible. Es la diferencia entre la conformidad de fachada y la postura real — y es también el tema de fondo en las finanzas, donde DMARC aplicado protege las marcas más suplantadas, un razonamiento que se traslada directamente a las administraciones sometidas a NIS2.
La conformidad DORA para el sector financiero sigue exactamente la misma lógica de resiliencia operativa: una organización sometida a ambos regímenes tiene interés en tratarlos como un único proyecto de autenticación, descrito en detalle del lado de las finanzas en los requisitos de email de DORA. Y para transformar esta obligación en prueba de auditoría reutilizable, DMARC se inscribe naturalmente en un sistema de gestión ISO 27001.
El calendario juega en contra
La transposición de NIS2 está en curso en los Estados miembros, a ritmos diferentes, pero la dirección es idéntica en todas partes. La trampa es que la puesta en conformidad de la autenticación de email no se improvisa la víspera de un control. Entre la publicación de DMARC en p=none, la recogida de varias semanas de informes para cartografiar el parque de envío real, la alineación de cada fuente y la subida prudente hasta p=reject, transcurren típicamente de uno a tres meses — más para un gran grupo multi-dominio. Empezar pronto es darse el tiempo de hacer las cosas sin romper el correo legítimo; empezar tarde es elegir entre la aplicación brutal, arriesgada para la entregabilidad, y el retraso de conformidad, sancionable.
Hay también una razón de gobernanza. Puesto que NIS2 compromete la responsabilidad personal de los dirigentes, la pregunta «¿es suplantable nuestro dominio?» deja de ser un asunto de equipo técnico: es una pregunta que el comité de dirección debe poder zanjar, con pruebas en mano. Un dominio en p=reject acompañado de un historial de vigilancia es una respuesta que se presenta con serenidad tanto a un consejo como a una autoridad de control; un p=none olvidado desde hace dos años es un riesgo que ya nadie tiene ganas de asumir nominalmente. Elevar el tema al nivel adecuado, pronto, transforma una obligación regulatoria en una decisión de gobernanza controlada.
Verificar la exposición ahora mismo
La buena noticia: evaluar la situación lleva unos segundos y no cuesta nada. Basta pasar un dominio por nuestro analizador DMARC gratuito para un veredicto inmediato sobre la política actual, luego comparar el sector de un vistazo en el Observatorio DMARC — la administración pública figura entre los sectores seguidos, y la constatación recurrente es que una parte notable de entidades permanece en observación sola.
Llevar un parque multi-dominio a p=reject conservando una traza de auditoría limpia es exactamente lo que Thomas, el CISO virtual, está diseñado para sostener: nombra cada fuente de envío, genera el DNS a publicar, evalúa la preparación por dominio e indica cuándo cada uno puede aplicarse sin riesgo. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.
Aplicar DMARC, en la práctica
Thomas, el CISO virtual de DMARC.com, identifica cada fuente de envío legítima, escribe los registros DNS exactos y lleva un dominio de p=none a p=reject — sin romper su correo.
Alcanzar p=reject — gratisGuías relacionadas
- DMARC como prueba de auditoría ISO 27001: el control que los auditores adoran
ISO 27001 premia los controles que producen pruebas verificables. DMARC es un caso de manual: postura pública, informes continuos, gestión de claves criptográficas. Cómo vincularlo con el Anexo A.
- DORA y el correo electrónico: qué espera el reglamento de la autenticación de email
DORA impone a las entidades financieras de la UE una resiliencia operativa digital en la que el email suplantable es un riesgo evidente. Qué cubre el reglamento, por qué DMARC encaja en él y cómo ponerlo en práctica.
- DMARC para bancos: por qué las marcas financieras son objetivos predilectos
Los bancos figuran entre las marcas más suplantadas del mundo y, sin embargo, muchos siguen sin aplicar DMARC. Por qué las finanzas son un objetivo, qué muestran los datos y cómo corregirlo.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.