La propia NIS2 solo dice que una organización debe utilizar «soluciones de autenticación multifactor o de autenticación continua … cuando proceda» (artículo 21, apartado 2, letra j, de la Directiva 2022/2555). Los tres Estados bálticos convirtieron esa única línea en tres conjuntos de normas bastante distintos. Si opera sistemas en más de uno de ellos, o intenta determinar por cuáles de sus cuentas le preguntará un regulador, las diferencias importan. Este artículo cita las cláusulas y señala dónde deja margen cada una.
Primero, la excepción a escala de la UE: los proveedores de infraestructuras digitales —DNS, nube, centros de datos, proveedores de servicios gestionados y mercados en línea— siguen el reglamento de ejecución de la Comisión en lugar de las normas nacionales. El punto 11.7 de su anexo exige MFA o autenticación continua para el acceso a los sistemas de redes y de información «de acuerdo con la clasificación del activo», y el punto 11.3.2 exige autenticación fuerte, «como la autenticación multifactor», para las cuentas privilegiadas y de administración de sistemas (Reglamento 2024/2690, en vigor desde el 7 de noviembre de 2024). Todos los demás siguen las normas nacionales que se exponen a continuación.
Letonia: el reglamento nombra las cuentas
Las normas letonas son las más concretas de las tres. El Reglamento del Consejo de Ministros n.º 397, Minimālās kiberdrošības prasības (Requisitos mínimos de ciberseguridad), está en vigor desde el 2 de julio de 2025 (likumi.lv) al amparo de la Ley Nacional de Ciberseguridad (Nacionālās kiberdrošības likums) (likumi.lv).
El punto 52 hace obligatoria la MFA para:
- 52.1 las cuentas de administrador y las cuentas de usuario estándar de los sistemas de información de clase A;
- 52.2 las cuentas de administrador de los sistemas de información de clase B;
- 52.3 las cuentas de usuario estándar de los sistemas de clase B cuando se accede a ellas de forma remota desde una red externa y ese acceso no pasa ya por una VPN cifrada con MFA.
Las clases son una propiedad de cada sistema de información, no de su organización. Los puntos 32 a 34 las determinan a partir de las clases de seguridad de confidencialidad, integridad y disponibilidad del sistema: una sola calificación A lo convierte en sistema de clase A; en caso contrario, una sola calificación B lo convierte en clase B, y todo lo que forma parte de una infraestructura crítica es de clase A por definición. Un proveedor de servicios esenciales puede tener únicamente sistemas de clase B y C, y el reglamento lo contempla: el ciclo trienal de autoevaluación que prevé cubre a cualquier entidad sin sistemas de clase A.
El punto 55.8 añade una regla de red para los propietarios de infraestructuras críticas de TIC y para los proveedores de servicios esenciales: el acceso desde fuera de la red interna a los recursos internos «solo es posible a través de una solución VPN cifrada con autenticación multifactor». El punto 56 aplica a los proveedores de servicios importantes únicamente los puntos 55.1 a 55.4, de modo que el 55.8 no les obliga.
En torno a la regla de MFA hay obligaciones que un auditor comprobará en la misma visita: las cuentas de administrador no deben usarse para el trabajo diario ni las cuentas estándar para la administración (puntos 51.5 y 51.4); el acceso a los recursos de información, incluidos los intentos fallidos, debe registrarse (punto 58.3) y conservarse durante 18, 12 o 6 meses según la clase del sistema (punto 57). El informe de autoevaluación, en el formulario del anexo 16 del reglamento, debe presentarse a más tardar el 1 de octubre de cada año en el caso de los propietarios de infraestructuras críticas y de quien tenga al menos un sistema de clase A, y cada tres años en el resto de los casos (puntos 141 y 142); se remite al Centro Nacional de Ciberseguridad (Nacionālais kiberdrošības centrs) o, en el caso de las infraestructuras críticas, a la Oficina de Protección de la Constitución (Satversmes aizsardzības birojs).
Lo que el reglamento no hace: no nombra ninguna tecnología. «Daudzfaktoru autentifikācija» (autenticación multifactor) es todo lo que dice, sin mención alguna a SMS, códigos de un solo uso, FIDO o resistencia al phishing, y no fija ninguna regla sobre contraseñas. Las multas previstas en la ley alcanzan los 10 millones de euros para los proveedores esenciales, o el 2 % de la facturación si esta supera los 500 millones de euros, y los 7 millones de euros para los proveedores importantes, o el 1,4 % de la facturación por encima del mismo umbral de 500 millones de euros.
Lituania: todos, usuarios incluidos, con un plazo de 24 meses
Lituania reescribió su Ley de Ciberseguridad (Kibernetinio saugumo įstatymas) para NIS2 con efectos desde el 18 de octubre de 2024. El artículo 14, apartado 5, punto 11, enumera las «soluciones de autenticación multifactor o continua» entre los elementos exigidos, y la Resolución del Gobierno n.º 945, de 6 de noviembre de 2024 (en vigor desde el 12 de noviembre de 2024), aprueba la detallada Kibernetinio saugumo reikalavimų aprašas (Descripción de los requisitos de ciberseguridad) (e-seimas).
La regla de MFA está en la tabla 7 de esa descripción, fila 61, y es la más amplia de los tres países: «el usuario y el administrador deben confirmar su identidad con una contraseña y un medio de autenticación adicional (autenticación multifactor)». Está marcada tanto para las entidades esenciales como para las importantes, y no depende de dónde esté el usuario ni de cómo esté clasificado el sistema. A su alrededor: administración únicamente a través de una cuenta separada que no se use para el trabajo diario (fila 58), suspensión de las cuentas tras tres meses de inactividad en el caso de los usuarios y dos en el de los administradores, bloqueo del puesto de trabajo en un máximo de 15 minutos y prohibición de que los navegadores guarden contraseñas fuera de un gestor de contraseñas dedicado. Para los terceros, MFA «cuando sea posible». La parte organizativa, incluido un procedimiento escrito de gestión de accesos que indique cómo se usa la MFA (punto 65.9), vence 12 meses después de la inscripción en el sistema nacional de información de ciberseguridad; los requisitos técnicos de la tabla 7, MFA incluida, vencen 24 meses después de la inscripción (punto 72).
La ley exige además una auditoría de ciberseguridad al menos cada tres años conforme a la metodología del centro, y formación de la dirección al menos cada dos. Las obligaciones solo empiezan una vez inscrita la entidad (artículo 11, apartado 2), y la supervisión corresponde al Centro Nacional de Ciberseguridad (Nacionalinis kibernetinio saugumo centras, NKSC). Una infracción de los requisitos del artículo 14 cuenta como «infracción peligrosa», el tramo de multas más alto: hasta 10 millones de euros o el 2 % de la facturación mundial, la cifra que sea mayor, para las entidades esenciales, y 7 millones de euros o el 1,4 %, la cifra que sea mayor, para las importantes. Las instituciones presupuestarias (organismos públicos financiados con cargo al presupuesto) tienen topes más bajos. La ley volvió a modificarse en junio de 2026; no hemos podido leer ese texto, así que compruebe si cambiaron los artículos sobre multas y sobre inscripción.
Estonia: la ley calla, la norma no
La Ley de Ciberseguridad modificada de Estonia (Küberturvalisuse seadus) entró en vigor el 1 de enero de 2026 (Riigi Teataja). Llama a las entidades esenciales üliolulised üksused y a las importantes olulised üksused, y no menciona la autenticación multifactor en ningún lugar. En su lugar, el artículo 7 delega las medidas de seguridad en un reglamento del Gobierno, y ese reglamento da a elegir a los proveedores: implantar la norma estonia de seguridad de la información E-ITS (Eesti infoturbestandard) o demostrar que sus medidas cumplen ISO/IEC 27001, con una auditoría de conformidad cada tres años (Reglamento 121).
La MFA aparece, por tanto, en dos lugares. El anexo de medidas primarias del reglamento, que se aplica a todos los proveedores sujetos a la ley, les indica que «den preferencia a la autenticación en varios pasos» (punto 2.5), una redacción blanda que los proveedores pueden sustituir por una medida equivalente. El catálogo de referencia de E-ITS es más firme: cuando el sistema lo permite, se usa MFA en lugar de la autenticación solo con contraseña (ORP.4.M8); las cuentas privilegiadas se protegen con MFA frente a atacantes externos y a la escalada de privilegios (ORP.4.M10); para necesidades de protección elevadas, MFA segura «por ejemplo con tarjeta de identidad o token» (ORP.4.M21); y MFA para el acceso a datos personales sensibles (CON.2.M18) (catálogo E-ITS).
Los plazos son generosos. Las entidades que ya cumplían los criterios el 1 de enero de 2026 tenían tres meses para inscribirse en la Autoridad del Sistema de Información (Riigi Infosüsteemi Amet, RIA), es decir, hasta finales de marzo de 2026, y disponen de tres años, hasta comienzos de 2029, para alcanzar la plena conformidad. Las nuevas entidades tienen tres meses para inscribirse y tres años desde que cumplen los criterios. Las multas replican las de NIS2: hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales y 7 millones de euros o el 1,4 % para las importantes, en cada caso la cifra que sea mayor. La RIA supervisa a las entidades importantes únicamente a posteriori.
Comparativa
| Letonia | Lituania | Estonia | |
|---|---|---|---|
| Instrumento | Reglamento del Consejo de Ministros n.º 397, en vigor desde el 2 jul 2025 | Ley de 18 oct 2024 + Resolución 945, en vigor desde el 12 nov 2024 | Ley modificada el 1 ene 2026 + Reglamento 121 + E-ITS |
| MFA exigida para | Todas las cuentas de los sistemas de clase A; administradores en clase B; usuarios remotos en clase B sin VPN con MFA | Todos los usuarios y administradores, tanto entidades esenciales como importantes | Anexo: «preferir» la autenticación en varios pasos, para todos; E-ITS: MFA cuando el sistema lo permite y para las cuentas privilegiadas |
| Regla de acceso remoto | VPN con MFA para infraestructuras críticas y proveedores esenciales (55.8) | Ninguna específica | Ninguna específica |
| Tecnología nombrada | No | No | E-ITS pone como ejemplos la tarjeta de identidad o el token para protección elevada |
| Cuándo | Ya | 24 meses después de la inscripción para las medidas técnicas | 3 años desde que se cumplen los criterios (2029 para las entidades existentes) |
| Evidencia | Autoevaluación a más tardar el 1 oct, anual o cada 3 años | Auditoría al menos cada 3 años | Auditoría E-ITS o ISO 27001 cada 3 años |
| Supervisor | Centro Nacional de Ciberseguridad; Oficina de Protección de la Constitución para infraestructuras críticas | Centro Nacional de Ciberseguridad (NKSC) | Autoridad del Sistema de Información (RIA) |
Qué significa esto para las cuentas que realmente tiene
- VPN y acceso remoto. En Letonia, una VPN RADIUS cifrada con un segundo factor es lo que el punto 55.8 pide a los propietarios de infraestructuras críticas y a los proveedores esenciales, y saca a los usuarios de clase B del punto 52.3; sin ella, cada usuario remoto de clase B necesita MFA en la propia aplicación. En Lituania la VPN no cambia la regla, porque todos los usuarios necesitan MFA de todos modos. En Estonia, si la VPN admite RADIUS, cabe esperar que le pregunten por la cláusula de E-ITS «cuando el sistema lo permite».
- Administradores. Es en las cuentas de administrador donde más se solapan las tres normas: Letonia exige MFA para ellas en los sistemas de clase A y B, Lituania en todos los casos y E-ITS en todas las cuentas privilegiadas. Letonia y Lituania exigen además una cuenta de administrador separada que no se use para el trabajo diario. Las consolas de cortafuegos y de servidores que todavía aceptan solo una contraseña son el hallazgo más probable.
- Evidencia. Letonia exige que los inicios de sesión fallidos se registren y conserven; Lituania, un procedimiento escrito que indique cómo se usa la MFA; Estonia, una auditoría conforme a una norma. Un método de autenticación que genera un registro firmado y con marca de tiempo de cada aprobación le da material para las tres sin tener que reconstruirlo a posteriori.
- Tecnología. Ninguna ley báltica prescribe un método, y ninguna usa las palabras «resistente al phishing». Las directrices de implementación de ENISA recomiendan MFA resistente al phishing «siempre que sea posible» y sitúan FIDO2 en primer lugar; los textos nacionales se quedan en «multifactor». Eso es un mínimo, no un objetivo, y el artículo sobre NIS2 y autenticación explica qué separa un factor que satisface la letra de la norma de otro que resiste a un atacante.
Notakey añade una aprobación en el teléfono, que muestra el servicio, la cuenta y la dirección de origen, a las VPN RADIUS, a los inicios de sesión en cortafuegos y servidores, a Windows y a las aplicaciones web, y deja un registro firmado de cada aprobación en un appliance que puede ejecutar en su propio centro de datos. La guía de VPN 2FA muestra cómo encaja en un requisito de acceso remoto de clase B en Letonia o en la fila 61 de la tabla 7 en Lituania. Solicite una demostración y plantearemos un piloto que cubra las cuentas que nombra su norma nacional, o, antes, pruebe la demo en vivo en su propio teléfono.
Este artículo cita los textos legales tal como estaban publicados el 29 de octubre de 2026 y es información general, no asesoramiento jurídico. Confirme con un asesor jurídico cualificado las obligaciones, clases y plazos que se apliquen a su organización, y compruebe las modificaciones lituanas de junio de 2026, que no pudimos leer al redactarlo.