Píldora · ¿Me afecta NIS2?
Tu resultado y el estado en España
Tu resultado
Calculando con lo que has marcado en los tres pasos…
No cuenta para la duración del curso y no entra en la evaluación final.
El cálculo aplica estas reglas, en este orden, a lo que has marcado:
- Si has marcado algo de la lista B, de la lista C o la administración regional: hay que mirarlo. La excepción es el poder judicial, el parlamento o el banco central sin ninguna otra marca: no.
- Si has marcado una entrada directa de la lista A (comunicaciones electrónicas, servicios de confianza, dominios de primer nivel y DNS, registro de nombres de dominio, entidad crítica o administración central): sí, con cualquier tamaño.
- Si tu actividad está en los anexos y por tamaño no eres pequeña: sí, por la regla general. Si acabas de cruzar un umbral: hay que mirarlo.
- Si tu actividad está en los anexos y el tamaño depende del grupo o no lo sabes: hay que mirarlo.
- Si tu actividad está en los anexos y eres pequeña o micro autónoma: no, por ahora. Si además has marcado una entrada que depende de la autoridad: hay que mirarlo.
- Si no has marcado ninguna actividad ni ninguna entrada directa: no. Con algún «no lo sé» en la actividad: hay que mirarlo.
Esto no es un dictamen
Lo que has obtenido es una lectura de la directiva aplicada a lo que tú has marcado. La categoría definitiva, el registro y la autoridad los fijará la ley española y, en su caso, una identificación por la autoridad. Confírmalo con tu asesoría antes de tomar decisiones de inversión.
Qué pasa con tu resultado en España, hoy
Lo que sigue son hechos comprobados a 9 de noviembre de 2026.
- No se ha localizado en el BOE una ley ni un real decreto-ley de transposición de la Directiva (UE) 2022/2555.
- No se ha localizado el proyecto en la serie de proyectos de ley del Congreso. La última referencia oficial, de 28 de mayo de 2025, dice que la Ley de Coordinación y Gobernanza de la Ciberseguridad se tramita en el Gobierno conforme al artículo 26 de la Ley 50/1997. La primera vuelta del anteproyecto en el Consejo de Ministros fue el 14 de enero de 2025; no se ha localizado la segunda en las referencias posteriores al 17 de marzo de 2026.
- El 8 de julio de 2026 la Comisión Europea anunció que llevaría a España, con otros tres Estados, ante el Tribunal de Justicia de la UE. No consta todavía un número de asunto.
- La Comisión adoptó el 21 de enero de 2026 una propuesta de modificación (COM(2026) 13, procedimiento 2026/0012(COD)). Sigue en tramitación y no cambia las obligaciones de hoy.
Qué significa para cada resultado
Frente a una empresa privada, una directiva no obliga por sí sola: obliga la ley nacional que la transpone, y en España todavía no se ha localizado. Lo que ya te obliga hoy, según tu caso: el Real Decreto-ley 12/2018 y el Real Decreto 43/2021 si eres operador de servicios esenciales designado o proveedor de servicios digitales con arreglo a la norma anterior; el RGPD si tratas datos personales; el ENS si trabajas para el sector público; DORA si eres entidad financiera; el Reglamento de Ciberresiliencia si fabricas productos con elementos digitales (la notificación de vulnerabilidades e incidentes se aplica desde el 11 de septiembre de 2026; el resto, desde el 11 de diciembre de 2027); y tus contratos. La ley española no podrá pedir menos que la directiva (art. 5): prepararse con las diez medidas del artículo 21 y los plazos del artículo 23 es prepararse para cualquier versión razonable de la ley. Si eres una administración pública o actúas como poder público, la cuestión de si una directiva no transpuesta puede invocarse frente a ti tiene su propia respuesta jurídica, y no la cierra esta píldora.
Guarda el resultado con la fecha y los datos que usaste. Repítelo cuando se publique la ley española (puede incluir a empresas pequeñas de los anexos) y cada vez que cambie tu actividad, tu plantilla o tu grupo. Y atiende a los contratos: si tu cliente está dentro, te lo pedirá.
La lista de arriba es exactamente lo que tienes que preguntar: una actividad sin confirmar, el cálculo del grupo, una posible identificación por la autoridad, DORA. Esta píldora ha hecho su trabajo si esa lista es corta.
El siguiente paso, si eres de dirección
Si tu resultado es «sí» o «hay que mirarlo», lo que viene no es técnico: es saber qué aprueba y supervisa el órgano de dirección, qué responsabilidad le pide la directiva y qué hacer las primeras 24 horas de un incidente. Eso es el curso «Ciberseguridad para órganos de dirección», de cuatro horas, por invitación. Su módulo 1 recoge lo que aquí has visto, con el detalle de sanciones y responsabilidad que esta píldora no explica.
En 30 segundos
Orden fijo: actividad, tamaño, excepciones. Tres respuestas: sí, no, hay que mirarlo.
Regla general: sector de los anexos y mediana empresa o mayor (50 personas o más, o más de 10 millones de volumen y de balance), contando el grupo.
Entran con cualquier tamaño: comunicaciones electrónicas, servicios de confianza, dominios de primer nivel y DNS, registro de nombres de dominio, entidades críticas y administración central. Otras, si la autoridad las identifica. DORA se aplica en lugar de NIS2 en lo financiero.
«No» en NIS2 no es «sin obligaciones»: RGPD, ENS y contratos ya obligan.
A 9 de noviembre de 2026, sin ley de transposición localizada en el BOE. La ley española no podrá pedir menos que la directiva.
Cuando termines, sigues con «Comprobación final».