Guía NIS2: qué es, a quién obliga y qué te exige

01Los datos, antes que nada

Todo lo que afirma esta guía se apoya en la tabla siguiente. Cada dato lleva su fuente y la fecha en que lo comprobamos por última vez.

02¿Qué es la directiva NIS2 y qué cambia respecto a la primera NIS?

NIS2 sustituye a la directiva NIS de 2016 (la primera norma europea general de ciberseguridad) con un objetivo declarado: que el nivel de ciberseguridad deje de depender del país y del sector en el que operas. La primera NIS dejó a cada Estado demasiado margen —cada uno definió a quién obligaba y con qué exigencia— y el resultado fue un mapa desigual que los incidentes de los últimos años dejaron en evidencia.

Los cambios de fondo son cuatro:

• Muchos más obligados. De un puñado de operadores designados uno a uno se pasa a sectores enteros. Como regla general entran las entidades medianas o grandes de esos sectores, según la definición europea; hay excepciones que no dependen del tamaño.
• Medidas concretas, no principios. El artículo 21 enumera las medidas mínimas de gestión de riesgos — de la continuidad de negocio a la seguridad de la cadena de suministro. Ya no vale «tener seguridad»: hay una lista contra la que te auditarán.
• La dirección responde. El artículo 20 hace al órgano de dirección responsable de aprobar y supervisar esas medidas, y le obliga a formarse. La ciberseguridad deja de poder delegarse por completo en «los de sistemas».
• Sanciones armonizadas. Multas máximas comunes en toda la UE (ver tabla de arriba), para que incumplir no salga más barato según el país.

03¿A quién aplica NIS2? Sectores y umbrales de tamaño

La regla tiene dos condiciones que deben cumplirse a la vez: sector y tamaño.

El sector. Los 18 sectores se reparten en dos anexos:

• Anexo I — sectores de alta criticidad (11): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital (nube, centros de datos, DNS, telecomunicaciones…), gestión de servicios TIC entre empresas (los proveedores de servicios gestionados, MSP y MSSP), administración pública y espacio.
• Anexo II — otros sectores críticos (7): servicios postales y de mensajería, gestión de residuos, químico, alimentación, fabricación (productos sanitarios, electrónica, material eléctrico, maquinaria, automoción y otro material de transporte), proveedores digitales (mercados en línea, buscadores, redes sociales) e investigación.

El tamaño. Como regla general, NIS2 aplica a las empresas de esos sectores que alcanzan la categoría de mediana empresa o la superan:

El cálculo incluye las reglas sobre empresas asociadas o vinculadas, unidades de trabajo anual y periodos de referencia; el tamaño por sí solo no determina el alcance de NIS2. Con 30 personas, 12 M€ de facturación y 5 M€ de balance, una empresa autónoma puede seguir siendo pequeña. La definición es la de la Recomendación 2003/361/CE, reproducida en el BOE, anexo, arts. 2-6: sirve para comprobar el tamaño, no como normativa actual de ayudas de Estado. Una filial de un grupo grande puede no ser pequeña a estos efectos. La administración pública tiene régimen propio. Verificado el 24-09-2026.

04¿Qué diferencia hay entre entidad esencial y entidad importante?

Las obligaciones de fondo —las medidas del artículo 21 y la notificación del artículo 23— son idénticas para las dos categorías. Lo que cambia es la lupa del supervisor y el techo de la multa:

La lectura práctica: ser «importante» no rebaja lo que tienes que hacer — rebaja la probabilidad de que te inspeccionen sin motivo. El día que haya un incidente, el expediente te mirará con las mismas exigencias.

05¿NIS2 ya es obligatoria en España si no hay ley de transposición?

La respuesta jurídica corta: una directiva no es, por sí sola, directamente exigible a las empresas: sus obligaciones llegan a través de la ley nacional de transposición. Por eso, para saber qué te exige, se consulta la normativa española vigente. La respuesta completa tiene más piezas, y conviene tenerla entera:

• El plazo europeo venció el 17 de octubre de 2024. La Comisión abrió después el procedimiento de infracción contra España: carta de emplazamiento en noviembre de 2024, dictamen motivado en mayo de 2025 y, el 8 de julio de 2026, anuncio de la remisión de España al Tribunal de Justicia de la UE por no completar la transposición de NIS2, con solicitud de sanciones económicas. La nota oficial no concreta los importes: es una solicitud al Tribunal, no una sanción ya impuesta.
• El anteproyecto es un hito, no una ley. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta en el Consejo de Ministros el 14 de enero de 2025. Un anteproyecto no obliga a las empresas: para saber qué te exige la ley española, hay que acudir a la normativa nacional vigente publicada en el BOE. Desconfía de quien te venda con seguridad una fecha de aprobación.
• El marco anterior no desaparece por sí solo: el de la primera NIS (Real Decreto-ley 12/2018 y RD 43/2021) se aplica a sus obligados mientras una nueva norma no lo sustituya. La directiva pedía además a cada Estado una lista de entidades esenciales e importantes para el 17 de abril de 2025 (art. 3.3).
• La vía contractual no depende de la transposición española. Los clientes sujetos a NIS2 en otros Estados miembros, y las empresas españolas que se preparan para ella, pueden trasladar requisitos a sus proveedores mediante cláusulas contractuales y cuestionarios de seguridad. Para muchas empresas medianas, la primera exigencia llega así: del cliente, según su actividad y lo que firme el contrato.

La consecuencia práctica de todo esto: el calendario y los periodos de adaptación los fija la norma nacional, no tú; tu punto de partida, sí. Prepararse ahora contra el texto de la directiva permite repartir el trabajo en el tiempo en lugar de concentrarlo cuando la norma se publique.

06¿Qué te exige exactamente NIS2?

El corazón de la directiva son dos artículos: el 21 (las medidas) y el 20 (quién responde de ellas).

Las medidas del artículo 21. Toda entidad esencial o importante debe adoptar medidas «proporcionadas» de gestión de riesgos que cubran, como mínimo, estos diez frentes:

1. 1Políticas de análisis de riesgos y de seguridad de los sistemas de información — el punto de partida: saber qué tienes y qué te amenaza.
2. 2Gestión de incidentes — detectar, responder y aprender, con procedimiento escrito y probado.
3. 3Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
4. 4Seguridad de la cadena de suministro — la relación con tus proveedores directos; es la letra d) del 21.2, la que convierte NIS2 en un efecto dominó (más abajo).
5. 5Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades y su divulgación.
6. 6Políticas para evaluar la eficacia de las propias medidas — no basta tenerlas: hay que medir si funcionan.
7. 7Ciberhigiene básica y formación en ciberseguridad para la plantilla.
8. 8Criptografía y, cuando proceda, cifrado.
9. 9Seguridad de los recursos humanos, control de acceso y gestión de activos.
10. 10Autenticación multifactor, comunicaciones seguras y sistemas de comunicación de emergencia.

La gobernanza del artículo 20. El órgano de dirección debe aprobar esas medidas, supervisar su aplicación y formarse en ciberseguridad — y responde por los incumplimientos. Es el cambio cultural más profundo de la norma: el consejo ya no puede firmar el presupuesto y desentenderse; tiene que entender lo que aprueba.

Nada de esa lista exige comprar una tecnología concreta ni casarse con ningún fabricante: la directiva pide capacidades y evidencias, no productos. Cualquiera que te la resuma como «instala X» te está vendiendo X.

07¿Qué plazos de notificación de incidentes fija NIS2?

El artículo 23 obliga a notificar los incidentes significativos al CSIRT o a la autoridad competente en tres tiempos:

¿Y qué es «significativo»? La directiva lo define por sus efectos: un incidente que causa (o puede causar) una perturbación operativa grave o pérdidas económicas para la entidad, o que afecta (o puede afectar) a terceros causándoles daños considerables. Además, en algunos supuestos habrá que informar también a los destinatarios de tus servicios que puedan verse afectados.

El plazo de 24 horas es la prueba de fuego de la preparación real: no se cumple improvisando. Exige tener decidido de antemano quién detecta, quién decide que algo es notificable, quién redacta y por qué canal se envía — con el incidente aún ardiendo.

08¿Qué sanciones tiene NIS2 y quién responde personalmente?

Tres niveles, y conviene no quedarse solo con el primero:

• Multas a la entidad. Para las esenciales, hasta al menos 10 millones de euros o el 2% del volumen de negocio anual mundial del grupo, la cifra que sea mayor; para las importantes, hasta al menos 7 millones o el 1,4%. Son mínimos que la directiva impone a los techos nacionales: la ley española podrá ir más allá, no quedarse corta.
• Responsabilidad del órgano de dirección. El artículo 20 la establece expresamente: los directivos responden de que las medidas se aprueben y se supervisen.
• Medidas sobre las personas y la actividad. Para las entidades esenciales, los supervisores podrán llegar a suspender temporalmente certificaciones o autorizaciones y a pedir la inhabilitación temporal de directivos (dirección general o representación legal) hasta que se corrija el incumplimiento.

El régimen sancionador concreto en España —cuantías finales, autoridad que sanciona, procedimiento— lo fijará la ley de transposición. Lo que ya es seguro es el suelo: los máximos no podrán bajar de las cifras de arriba, porque los marca la directiva.

09¿Y si mi empresa no está en los anexos? La cascada a proveedores

Aquí está el grupo que casi nadie tiene en el radar, y probablemente el motivo por el que estás leyendo esto: la letra d) del artículo 21.2 obliga a cada entidad esencial o importante a asegurar su cadena de suministro. Tu cliente obligado no puede cumplirla sin mirar hacia ti — así que, aunque la directiva no te nombre, puede llegarte convertida en cuestionarios de seguridad, cláusulas contractuales, peticiones de evidencias (MFA, copias, respuesta a incidentes) y auditorías de proveedor. Con una diferencia importante respecto a la ley: el contrato no espera a la transposición. Está pasando ya.

Y un aviso específico para el sector tecnológico: si eres proveedor de servicios gestionados (MSP o MSSP), no estás en la cascada — estás dentro del anexo I, en el sector de gestión de servicios TIC entre empresas. Por regla general, un MSP mediano es sujeto obligado directo, no un tercero que recibe cláusulas. Si es tu caso, lo contamos desde tu lado en ciberseguridad para proveedores TIC →.

Una relación que también genera dudas: si eres entidad financiera, tu norma es DORA, no NIS2 — es lex specialis y prevalece en lo que regula. Y un proveedor TIC puede recibir las dos cascadas a la vez: la de sus clientes financieros (cumplimiento DORA →) y la de sus clientes esenciales o importantes. Explicamos DORA a fondo en su propia guía →.

10¿Qué traerá la ley española de transposición?

Del anteproyecto aprobado en primera vuelta en enero de 2025 se conocen las líneas maestras que publicó el Departamento de Seguridad Nacional. Prevé la creación de un Centro Nacional de Ciberseguridad como autoridad nacional única —dirección, impulso y coordinación—, que actuaría además como punto de contacto único para la cooperación europea y como autoridad nacional de gestión de crisis de ciberseguridad, y la ampliación del ámbito de aplicación por sectores que la propia directiva impone.

Dos cautelas honestas antes de construir nada sobre ese texto:

• Un anteproyecto no es la ley: el texto aprobado en primera vuelta puede cambiar —y suele hacerlo— en la tramitación. Los detalles que más afectan a la operativa diaria (registro de entidades, canal de notificación, régimen sancionador final) se toman de la norma que se publique en el BOE, no del anteproyecto.
• Lo que no va a cambiar es el suelo europeo. Las medidas del artículo 21, los plazos del 23, la responsabilidad del 20 y los mínimos sancionadores del 34 vienen fijados por la directiva. Prepararse contra la directiva es prepararse contra cualquier versión razonable de la ley española; esperar «a ver qué dice la ley» es regalar el único recurso que no se puede comprar después: tiempo.

Cuando la ley se publique, esta guía se revisará y la fecha de última revisión lo reflejará.

11¿Cómo prepararse ahora, sin esperar a la ley?

El orden que aplicamos con nuestros clientes, y que puedes recorrer por tu cuenta:

1. 1Resuelve la aplicabilidad. Sector (¿estás en los anexos, o eres proveedor de alguien que lo está?), tamaño con la vara de medir europea (cuidado con los grupos) y categoría probable (esencial o importante). Es la pregunta más barata de responder y ahorra las demás si la respuesta es no.
2. 2Mide dónde estás de verdad. Un análisis honesto de tu situación contra los diez frentes del artículo 21 — no un checklist autocompletado. Nosotros lo hacemos sobre la base del Análisis de Madurez CIS18 →, porque los controles CIS cubren el catálogo de medidas de NIS2 y el mismo diagnóstico te sirve después para ENS, ISO 27001 o DORA.
3. 3Prioriza por riesgo, no por titular. Del diagnóstico sale un plan con orden: primero lo que reduce riesgo real y lo que tus clientes ya te están pidiendo por contrato; después el resto.
4. 4Deja escrita la notificación antes de necesitarla. Quién decide, quién redacta, a quién se avisa y en qué plazo — el procedimiento de 24/72 horas se diseña en frío o no existe.
5. 5Sube el tema al órgano de dirección. Acta, aprobación de las medidas y un mínimo de formación. Es literalmente lo que el artículo 20 va a exigir, y es gratis empezar hoy.

Si prefieres recorrer ese camino acompañado —del análisis de aplicabilidad al cumplimiento demostrable—, es exactamente lo que hacemos en adecuación y cumplimiento NIS2 →.