NIS2 y DORA en WordPress: qué debe cumplir un sitio en 2026
Dos actos de la UE definen en 2026 lo que se exige desde el lado de la ciberseguridad a un sitio WordPress que desarrolla actividad regulada en la Unión: la Directiva NIS2 (2022/2555) y el Reglamento DORA (2022/2554). No son intercambiables. NIS2 es una directiva con un ámbito sectorial amplio, transpuesta al derecho nacional. DORA es un reglamento sectorial (finanzas), de aplicación directa. Ambos se aplican a WordPress si y solo si la entidad que opera el sitio entra en el ámbito.
El artículo se conecta con el pillar de servicios headless WordPress, donde se describe la capa técnica, y con el pillar sobre WCAG, BFSG y EAA, porque la conformidad de accesibilidad y la de ciberseguridad caen cada vez más en la misma consulta de compras.
TL;DR
- Plazo de transposición de NIS2: 2024-10-17. DORA aplica desde 2025-01-17.
- NIS2: 18 sectores, divididos en entidades esenciales e importantes.
- DORA: sector financiero más proveedores críticos de TIC.
- Requisitos: gestión de riesgos documentada, notificación de incidentes (24/72/30), auditorías.
- WordPress en sí mismo no está en el ámbito; lo está la entidad que opera el sitio, si está regulada.
Tres cosas que hay que saber de inmediato
Primero, NIS2 y DORA aplican a la entidad, no a la tecnología. WordPress no es “compliant” ni “non-compliant” como CMS. Compliant o no lo es la entidad que opera el sitio. Si un hospital, un banco, un proveedor de cloud o un operador de e-commerce por encima del umbral entra en el ámbito, su sitio WordPress entra en el ámbito como parte de la infraestructura de esa entidad.
Segundo, la transposición nacional de NIS2 está retrasada en muchos Estados miembros. El plazo del 2024-10-17 ha vencido, pero varios países se encontraban en distintas fases del proceso legislativo después de esa fecha. El estado de la transposición varía entre Estados miembros; consulte la base de datos jurídica nacional pertinente antes de la auditoría final. Para el estado del Estado miembro polaco, el proyecto de modificación de la ley sobre el sistema nacional de ciberseguridad está disponible públicamente y su estado actual debe verificarse en ISAP antes de cualquier auditoría final. El estado a 2026-04 requiere una revisión jurídica separada; este artículo no sustituye el asesoramiento legal.
Tercero, DORA aplica directamente. El reglamento no requiere transposición. Si una entidad financiera o un proveedor crítico de TIC opera un sitio WordPress, las obligaciones de DORA se aplican desde el 2025-01-17 con independencia del estado legislativo nacional.
NIS2: ámbito subjetivo
La Directiva NIS2 enumera 18 sectores. Los casos más habituales en los que WordPress entra en el ámbito:
Entidades esenciales (essential entities):
- Energía (electricidad, gas, petróleo, calor, hidrógeno).
- Transporte (aéreo, ferroviario, marítimo, por carretera).
- Banca.
- Infraestructuras de los mercados financieros.
- Sanidad (hospitales, laboratorios de referencia, fabricantes de medicamentos, productos sanitarios).
- Agua potable y aguas residuales.
- Infraestructura digital (proveedores de DNS, registros de dominios, proveedores de cloud computing, prestadores de servicios de centros de datos, redes de distribución de contenidos, prestadores de servicios de confianza, proveedores de redes públicas de comunicaciones electrónicas).
- Gestión de servicios TIC (B2B).
- Administración pública (condiciones definidas en el art. 2).
- Espacio.
Entidades importantes (important entities):
- Servicios postales y de mensajería.
- Gestión de residuos.
- Fabricación, transformación y distribución de productos químicos.
- Fabricación, transformación y distribución de alimentos.
- Fabricación en los sectores: médico, informático y electrónico, maquinaria, automóvil.
- Proveedores de servicios digitales (mercados en línea, motores de búsqueda, plataformas sociales).
- Organismos de investigación.
Umbral básico: empresa mediana (50+ empleados o cifra de negocios anual o balance superior a 10 millones EUR). Microempresas y pequeñas empresas suelen quedar fuera del ámbito, con excepciones (por ejemplo, prestadores de servicios de confianza, registros de TLD, ciertos proveedores de DNS).
La entidad esencial tiene obligaciones más estrictas. La entidad importante tiene los mismos requisitos técnicos pero con supervisión menos intensiva.
DORA: ámbito subjetivo
DORA aplica a unos 20 tipos de entidad financiera:
- Entidades de crédito.
- Entidades de pago.
- Entidades de dinero electrónico.
- Empresas de servicios de inversión.
- Proveedores de servicios de criptoactivos.
- Depositarios centrales de valores.
- Entidades de contrapartida central.
- Centros de negociación (bolsas).
- Registros de operaciones.
- Entidades aseguradoras y reaseguradoras.
- Mediadores de seguros y reaseguros.
- Fondos de pensiones de empleo.
- Agencias de calificación crediticia.
- Auditores que auditen los estados financieros de entidades cubiertas por DORA.
- Administradores de índices de referencia críticos.
- Fondos de inversión (UCITS, AIFM).
- Proveedores de servicios de financiación participativa.
- Repositorios de titulizaciones.
Más los proveedores críticos de TIC terceros (Critical ICT Third-Party Providers, CTPP) designados por la supervisión europea. Es el mecanismo por el cual DORA arrastra a socios comerciales a su ámbito sin que estos se registren como entidad financiera.
Un sitio WordPress operado por un banco, una aseguradora o un fondo de inversión entra en el ámbito de DORA como parte de los sistemas TIC de la entidad.
Qué hay que hacer en concreto: el núcleo común
NIS2 y DORA tienen un núcleo convergente de exigencias técnicas y organizativas. Implementación en WordPress:
Gestión del riesgo cibernético. Registro de riesgos documentado, procedimiento para su evaluación y aceptación, políticas de seguridad aprobadas por el consejo de administración. Son documentos, no solo configuración del servidor.
Control de acceso y autenticación. Autenticación multifactor (MFA) obligatoria para los administradores de WordPress. Contraseñas robustas obligatorias. Caducidad de sesión obligatoria. Todas las cuentas de administrador deben ser nominales, no compartidas.
Gestión de incidentes. Procedimiento para la detección, clasificación y notificación de incidentes. Un incidente significativo bajo NIS2 es aquel con un impacto significativo en la prestación del servicio. Notificación al CSIRT o autoridad competente en 24 horas desde la detección (alerta temprana), 72 horas con evaluación inicial, un mes con informe final.
Seguridad de la cadena de suministro. Un plugin de WordPress, hosting, CDN, proveedor de correo transaccional, proveedor de SMS, proveedor de IA. Cada uno forma parte de la cadena. Hay que mantener un registro, evaluaciones de riesgo y cláusulas contractuales.
Continuidad de negocio y recuperación ante desastres. Backup, plan de continuidad, recuperación ante desastres, probados con regularidad, no solo ejecutados.
Formación del personal. Exigida a nivel del consejo y de la organización en sentido amplio. Una “presentación interna” no basta; se requiere un plan de formación documentado.
Seguridad del proceso de desarrollo y mantenimiento. Políticas sobre desarrollo de software, pruebas y gestión de vulnerabilidades. El core de WordPress se actualiza; los plugins también deben actualizarse, con un proceso de pruebas en staging antes de producción.
Criptografía. Una política de criptografía, incluyendo TLS, cifrado de datos en reposo, firmas digitales. WordPress no cifra la base de datos por defecto; la solución es cifrar a nivel de sistema de ficheros o de base de datos.
Específico de DORA: gestión de terceros TIC
DORA tiene un capítulo V dedicado a la gestión de proveedores TIC. Exige:
- Un registro de todos los contratos con proveedores TIC.
- Clasificación de los contratos (críticos, no críticos).
- Cláusulas contractuales obligatorias en contratos con proveedores de funciones críticas.
- Procedimiento de finalización con plan de migración.
- Pruebas de penetración guiadas por amenazas (TLPT) al menos cada 3 años para entidades seleccionadas.
Para el operador WordPress esto significa que el proveedor de hosting y los plugins críticos (security plugin, backup plugin, payment gateway plugin) entran en el registro TIC.
Específico de NIS2: sanciones y supervisión
La Directiva NIS2 establece sanciones administrativas que las transposiciones nacionales traducen en cuantías concretas. Los topes superiores en la propia directiva:
- Entidad esencial: hasta 10 millones EUR o el 2 por ciento de la cifra de negocios anual a nivel mundial, lo que sea mayor.
- Entidad importante: hasta 7 millones EUR o el 1,4 por ciento de la cifra de negocios anual a nivel mundial, lo que sea mayor.
Las transposiciones nacionales pueden introducir sus propios topes; verificar en la versión vigente de la ley en la jurisdicción correspondiente.
Sanciones complementarias: suspensión temporal de la certificación, prohibiciones temporales de ejercer funciones directivas para la persona responsable. Esto es el cambio más notorio de NIS2: la dirección tiene responsabilidad personal por la gestión del riesgo cibernético.
Mapa práctico de implementación en WordPress
Cuatro categorías de trabajo, una auditoría:
Capa 1, infraestructura. Hosting conforme. Backup off-site. TLS 1.3. WAF. Monitorización 24/7 o contrato con SOC. Política de actualización del core, themes, plugins.
Capa 2, aplicación. MFA para administradores. Contraseñas robustas. Registro de todas las acciones administrativas en un flujo separado. Anti-CSRF. Anti-XSS a nivel de plantillas. Validación de input. Límite de intentos de login.
Capa 3, organización. Políticas de seguridad. Registro de riesgos. Plan de IR. Plan de BCDR. Registro de proveedores TIC. Procedimiento de notificación de incidentes al CSIRT/regulador. Formación.
Capa 4, documentación y auditoría. Documentación de procesos. Registros de auditoría. Auditoría externa o interna periódica. Retención conforme al RGPD.
WordPress como CMS cubre alrededor del 30 por ciento de los requisitos técnicos “out of the box”, tras hardening y plugins alrededor del 60 por ciento. El 40 por ciento restante es organización, documentación y procedimientos.
Qué sigue
Consecuencias prácticas para la elección del equipo que opera WordPress: una agencia que opera el sitio para una entidad cubierta por NIS2 o DORA entra ella misma en la cadena de suministro. Nuestra página de carreras menciona la jurisdicción UE y el cumplimiento como estándar, porque es un filtro de procurement en 2026.
Dónde encaja este artículo
El artículo se conecta con el pillar de servicios headless WordPress (capa técnica), con el pillar sobre WCAG/BFSG/EAA (cumplimiento de accesibilidad en el mismo scoreboard de procurement), con la página de carreras de WPPoland (señal de jurisdicción UE) y con el artículo sobre nearshore Polonia (jurisdicción UE como valor para el comprador occidental).
