¿Me aplica NIS2? Comprueba si tu empresa está afectada

La Directiva (UE) 2022/2555, que fija medidas de gestión de riesgos de ciberseguridad y obligaciones de notificación de incidentes para entidades esenciales e importantes de la UE (art. 1). Está en vigor desde el 16-01-2023 y los Estados miembros debían aplicar sus leyes de transposición desde el 18-10-2024 (art. 41 y 45).

Las entidades públicas o privadas de los tipos que enumeran los anexos I y II que superan el tamaño de pequeña empresa y prestan sus servicios o ejercen sus actividades en la Unión (art. 2.1). Algunas entran sea cual sea su tamaño (art. 2.2 a 2.4). Las obligaciones llegan a través de la ley nacional que transpone la directiva.

Comprueba si tu actividad corresponde a un tipo de entidad de los anexos I o II, si superas el tamaño de pequeña empresa contando las empresas de tu grupo y si estás en algún supuesto que no depende del tamaño o en una exclusión (art. 2 y 3). Son las preguntas de este verificador, con el artículo de cada conclusión.

A 20-10-2026 no hemos localizado la ley española que la transpone. La directiva está en vigor y el 08-07-2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la UE por no transponerla. Si eres operador de servicios esenciales o proveedor de servicios digitales, el Real Decreto-ley 12/2018 y el Real Decreto 43/2021 sí te obligan hoy.

Si tienes menos de 50 personas y tu volumen de negocio anual o tu balance general anual no supera los 10 millones de euros, por tamaño quedas en principio fuera; el tamaño se calcula con las empresas de tu grupo y los dos últimos ejercicios. Hay supuestos que no dependen del tamaño: las redes o servicios de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS (art. 2.2.a); los servicios de registro de nombres de dominio (art. 2.4); las entidades que el Estado identifique por su papel (art. 2.2.b a 2.2.e) y las entidades críticas (art. 2.3).

La directiva clasifica las entidades de su ámbito en esenciales e importantes (art. 3). En general, son esenciales las de los sectores del anexo I que superan el tamaño de mediana empresa y algunas otras por su tipo o por designación; las demás son importantes. La diferencia está sobre todo en la supervisión y en las multas máximas (art. 32 a 34).

Si tu empresa no está en el ámbito, la directiva no te impone sus obligaciones directamente. Pero tus clientes obligados deben gestionar la seguridad de su cadena de suministro (art. 21.2.d) y pueden pedirte medidas, cuestionarios o cláusulas por contrato.

Ante un incidente significativo, la directiva prevé una alerta temprana en 24 horas y la notificación del incidente en 72 horas, ambas desde que se tiene constancia, y un informe final a más tardar un mes después de esa notificación; si el incidente sigue en curso, un informe de situación entonces y el final en un mes desde que se gestiona (art. 23.4). Los prestadores de servicios de confianza notifican en 24 horas en lugar de 72. La ley española puede concretar el procedimiento.

En general te rige la ley del Estado miembro donde estás establecido (art. 26.1). Si prestas redes o servicios de comunicaciones electrónicas al público, te rige la de cada Estado donde los prestas (art. 26.1.a). Para proveedores de DNS, de computación en nube, de centros de datos o de servicios gestionados, entre otros, cuenta su establecimiento principal en la Unión (art. 26.1.b y 26.2).

• 20-10-2026 · versión 2026.10.12-r5. Primera versión completa: 53 tipos, pregunta de la historia de tu empresa sin el grupo, operadores de fuera de la UE y obligaciones por tipo de entidad. Revisión: DORA prevalece en obligaciones y plan, supuestos del art. 2.2.b-e por separado, identificación del Estado en la clase, defensa y seguridad en todos los sectores, telecomunicaciones según dónde prestas servicio y multas de la Administración.