Resumen rápido: NIS2 es la directiva europea que obliga a miles de empresas medianas y grandes a reforzar su ciberseguridad, gestionar el riesgo de sus proveedores y notificar incidentes en 24 horas. En España, la ley que la transpone (Ley de Coordinación y Gobernanza de la Ciberseguridad) sigue en tramitación a finales de 2026, pero eso no es motivo para esperar: las obligaciones ya se conocen, tus clientes ya las exigen y adaptarse lleva meses.

¿Qué es NIS2?

NIS2 es la Directiva (UE) 2022/2555, aprobada para elevar el nivel común de ciberseguridad en la Unión Europea. Sustituye a la primera directiva NIS de 2016, que solo afectaba a un número reducido de operadores críticos.

La gran diferencia es el alcance: NIS2 amplía el número de sectores obligados, incluye a muchas empresas medianas y, sobre todo, hace responsable a la dirección de que las medidas de ciberseguridad se aprueben, se supervisen y se cumplan.

¿En qué estado está NIS2 en España?

Los Estados miembros debían transponer la directiva antes del 17 de octubre de 2024. España aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea además el Centro Nacional de Ciberseguridad. Sin embargo, a finales de 2026 la ley todavía no se ha publicado en el BOE, y la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE por el retraso.

¿Qué significa esto para tu empresa? Que la ley llegará, previsiblemente con plazos de adaptación ajustados, y que el contenido técnico ya está fijado por la directiva. Las empresas que empiecen ahora llegarán preparadas. Las que esperen al BOE tendrán que hacer en semanas lo que requiere meses.

¿A qué empresas afecta NIS2?

NIS2 distingue entre entidades esenciales y entidades importantes. Como regla general, aplica a empresas medianas y grandes (50 empleados o más, o más de 10 millones de euros de facturación anual) que operen en alguno de estos sectores:

• Sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC (proveedores de servicios gestionados y de seguridad gestionada), Administración pública y espacio.
• Otros sectores críticos: servicios postales y de mensajería, gestión de residuos, industria química, producción y distribución de alimentos, fabricación (productos sanitarios, electrónica, maquinaria, vehículos), proveedores digitales (marketplaces, buscadores, redes sociales) e investigación.

Hay entidades obligadas sea cual sea su tamaño, como determinados proveedores de servicios DNS, registros de dominios o proveedores de comunicaciones electrónicas.

«Mi empresa es pequeña, así que no me afecta»… ¿seguro?

Este es el error más común. NIS2 obliga a las empresas sujetas a gestionar el riesgo de su cadena de suministro. En la práctica, eso significa que si eres proveedor de un hospital, una eléctrica, un banco o una gran industria, tu cliente te va a exigir cuestionarios de seguridad, cláusulas contractuales y evidencias de que proteges sus datos. Muchas pymes ya están perdiendo concursos y contratos por no poder demostrarlo.

Las obligaciones principales de NIS2

El artículo 21 de la directiva exige un enfoque de «todos los riesgos» con, como mínimo, estas medidas:

1. Políticas de análisis de riesgos y de seguridad de los sistemas de información.
2. Gestión de incidentes: prevención, detección y respuesta.
3. Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
4. Seguridad de la cadena de suministro, incluida la relación con proveedores.
5. Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
6. Evaluación de la eficacia de las medidas (auditorías, pentesting).
7. Ciberhigiene y formación en ciberseguridad.
8. Criptografía y cifrado.
9. Seguridad de los recursos humanos, control de accesos y gestión de activos.
10. Autenticación multifactor y comunicaciones seguras.

Notificación de incidentes: 24 h, 72 h y un mes

Ante un incidente significativo, NIS2 marca tres plazos:

• Alerta temprana en 24 horas desde que se tiene conocimiento del incidente.
• Notificación del incidente en 72 horas, con una evaluación inicial de gravedad e impacto.
• Informe final en un mes, con la descripción detallada, la causa y las medidas aplicadas.

Cumplir estos plazos sin un procedimiento preparado de antemano es prácticamente imposible.

Sanciones de NIS2

La directiva fija los máximos que deberán recoger las leyes nacionales:

• Entidades esenciales: hasta 10 millones de euros o el 2 % de la facturación anual mundial, la cifra que sea mayor.
• Entidades importantes: hasta 7 millones de euros o el 1,4 % de la facturación anual mundial.

Además, los órganos de dirección deben aprobar las medidas, supervisar su aplicación y recibir formación, y pueden ser considerados responsables de los incumplimientos.

Cómo prepararse para NIS2 en 6 pasos

1. Determina si te aplica (directa o indirectamente como proveedor).
2. Haz un análisis de brechas entre tu situación actual y los requisitos del artículo 21.
3. Prioriza: autenticación multifactor, copias de seguridad inmutables y gestión de accesos suelen ser las medidas con más impacto por euro invertido.
4. Documenta políticas, inventario de activos y relación con proveedores críticos.
5. Prepara el procedimiento de notificación de incidentes y ensáyalo.
6. Valida con un pentest y forma a la dirección y al equipo.

NIS2, ENS e ISO 27001: ¿en qué se diferencian?

El Esquema Nacional de Seguridad (ENS) es obligatorio para el sector público español y sus proveedores tecnológicos. ISO 27001 es una norma internacional voluntaria y certificable. NIS2 es una obligación legal para sectores críticos. La buena noticia: comparten gran parte de los controles, así que si ya trabajas con ENS o ISO 27001 tienes mucho camino recorrido.

Preguntas frecuentes sobre NIS2

¿Cuándo entra en vigor NIS2 en España?

La directiva está en vigor en la UE y debía aplicarse desde octubre de 2024. En España, las obligaciones serán exigibles cuando se publique la Ley de Coordinación y Gobernanza de la Ciberseguridad, que a finales de 2026 seguía en tramitación.

¿NIS2 afecta a las pymes?

Directamente, sobre todo a medianas y grandes empresas de los sectores incluidos. Indirectamente, a muchas pymes que son proveedoras de esas empresas, porque deberán demostrar medidas de seguridad en su cadena de suministro.

¿Quién es responsable de cumplir NIS2 dentro de la empresa?

Los órganos de dirección. Deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación específica.

¿Cuánto cuesta adaptarse a NIS2?

Depende del punto de partida y del tamaño de la infraestructura. Un análisis de brechas inicial permite estimar el coste real y priorizar las medidas con mayor impacto.

Más información sobre nuestro servicio de consultoría de ciberseguridad y NIS2.