NIS2 en España: qué empresas afecta y cómo cumplir paso a paso

La directiva NIS2 afecta en España a las medianas y grandes empresas de sectores como energía, transporte, salud, agua, infraestructura digital, servicios TIC gestionados, fabricación, alimentación, gestión de residuos o servicios postales, además de a determinadas entidades con independencia de su tamaño. También alcanza de forma indirecta a miles de pymes que les prestan servicios, porque sus clientes están obligados a exigir seguridad a su cadena de suministro. Si tu empresa está en alguno de esos grupos, la pregunta no es si tendrás que cumplir, sino cuándo y con qué grado de madurez llegarás a ese momento.

En esta guía explicamos qué es NIS2, en qué punto está su transposición en España a noviembre de 2026, cómo saber si tu organización entra en su ámbito y, sobre todo, qué pasos concretos puedes dar desde hoy para cumplir sin esperar a que se publique la ley en el BOE.

Qué es la directiva NIS2 y por qué importa a tu empresa

NIS2 es la Directiva (UE) 2022/2555, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Sustituye a la primera directiva NIS de 2016, que en España se incorporó mediante el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información.

La primera NIS se centraba en un número reducido de operadores de servicios esenciales designados de forma individual. NIS2 cambia el enfoque: en lugar de designar empresa por empresa, establece criterios generales de sector y tamaño. Si cumples esos criterios, estás dentro. Esto multiplica el número de organizaciones obligadas y hace que muchas medianas empresas que nunca se habían planteado la ciberseguridad como una obligación legal pasen a tenerla.

Además, NIS2 eleva el listón en tres aspectos que cambian la forma de trabajar de una empresa:

• Gestión de riesgos obligatoria, con un conjunto mínimo de medidas técnicas, operativas y organizativas.
• Plazos estrictos de notificación de incidentes significativos a la autoridad competente o al CSIRT de referencia.
• Responsabilidad de los órganos de dirección, que deben aprobar las medidas, supervisar su aplicación y formarse.

En qué punto está NIS2 en España (noviembre de 2026)

Los Estados miembros tenían de plazo hasta el 17 de octubre de 2024 para transponer la directiva. España no llegó a tiempo. El 14 de enero de 2025 el Consejo de Ministros aprobó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, el texto con el que el Gobierno pretende incorporar NIS2 a nuestro ordenamiento.

Según la referencia del Consejo de Ministros, el anteproyecto crea el Centro Nacional de Ciberseguridad como órgano que dirigirá y coordinará el sistema y gestionará las crisis de ciberseguridad, y reparte la supervisión entre varias autoridades de control: la Oficina de Coordinación de Ciberseguridad de la Secretaría de Estado de Seguridad, el Centro Criptológico Nacional, la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y la Secretaría de Estado de Digitalización e Inteligencia Artificial.

Ante el retraso, la Comisión Europea envió a España una carta de emplazamiento en noviembre de 2024 y un dictamen motivado en mayo de 2025. El 8 de julio de 2026 anunció que lleva a España, Francia, Irlanda y Países Bajos ante el Tribunal de Justicia de la UE por no haber comunicado la transposición completa, y solicita una suma a tanto alzado y multas diarias hasta que se complete.

A fecha de redacción de este artículo, la ley española no se ha publicado en el BOE. Mientras tanto sigue vigente el Real Decreto-ley 12/2018 para las entidades que ya estaban designadas bajo la primera NIS. Esto no significa que puedas esperar sentado: la directiva fija el contenido mínimo que tendrá la ley, la presión europea para aprobarla es máxima y, cuando se publique, el margen para adaptarse probablemente será corto. Además, tus clientes de otros países de la UE donde NIS2 ya está transpuesta pueden estar exigiéndote hoy mismo requisitos de seguridad como proveedor.

Qué empresas afecta NIS2: sectores y tamaño

Para saber si tu empresa está dentro hay que cruzar dos criterios: el sector en el que operas y tu tamaño.

Sectores de alta criticidad (anexo I)

• Energía: electricidad, calefacción y refrigeración urbanas, petróleo, gas e hidrógeno.
• Transporte: aéreo, ferroviario, marítimo y por carretera.
• Banca e infraestructuras de los mercados financieros.
• Sector sanitario, incluidos prestadores de asistencia sanitaria, laboratorios de referencia, investigación y fabricación de medicamentos y productos sanitarios críticos.
• Agua potable y aguas residuales.
• Infraestructura digital: puntos de intercambio de internet, proveedores de DNS, registros de dominios de primer nivel, servicios de computación en nube, centros de datos, redes de distribución de contenidos, prestadores de servicios de confianza y redes y servicios de comunicaciones electrónicas públicas.
• Gestión de servicios TIC entre empresas: proveedores de servicios gestionados y proveedores de servicios de seguridad gestionados.
• Administración pública y espacio.

Otros sectores críticos (anexo II)

• Servicios postales y de mensajería.
• Gestión de residuos.
• Fabricación, producción y distribución de sustancias y mezclas químicas.
• Producción, transformación y distribución de alimentos.
• Fabricación de productos sanitarios, productos informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos de motor y otro material de transporte.
• Proveedores digitales: mercados en línea, motores de búsqueda y plataformas de redes sociales.
• Investigación.

La referencia del anteproyecto español recoge esta misma división entre sectores de alta criticidad y otros sectores críticos, e incluye además la seguridad privada entre estos últimos.

El criterio de tamaño

Como regla general, NIS2 se aplica a las entidades de esos sectores que sean al menos medianas empresas según la definición europea: 50 o más empleados, o un volumen de negocios anual y un balance general anual superiores a 10 millones de euros. Las pequeñas empresas y microempresas quedan fuera por defecto.

Hay excepciones importantes. Ciertas entidades están obligadas sea cual sea su tamaño, por ejemplo los proveedores de redes o servicios de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de DNS, así como entidades que sean el único proveedor de un servicio esencial o cuya interrupción tenga un impacto significativo. Los Estados miembros también pueden identificar entidades concretas por su criticidad.

Entidades esenciales e importantes

NIS2 distingue dos categorías. Las entidades esenciales son, en general, las grandes empresas de los sectores del anexo I y algunas entidades específicas. Las entidades importantes son el resto de entidades obligadas, incluidas las medianas del anexo I y las de los sectores del anexo II. Ambas deben aplicar las mismas medidas de seguridad y notificar incidentes; la diferencia está en la intensidad de la supervisión (proactiva para las esenciales, sobre todo a posteriori para las importantes) y en la cuantía máxima de las sanciones.

Si eres pyme y proveedor de una empresa obligada

Aunque tu empresa sea pequeña y no entre directamente en el ámbito, NIS2 te afectará si trabajas para entidades obligadas. El artículo 21 exige a esas entidades gestionar la seguridad de su cadena de suministro, incluida la relación con sus proveedores directos. En la práctica, esto se traduce en cuestionarios de seguridad, cláusulas contractuales, auditorías y exigencias concretas: MFA, copias de seguridad, gestión de parches, notificación de incidentes al cliente. Una gestoría, un despacho, una empresa de mantenimiento industrial o un desarrollador de software que no pueda demostrar estas medidas corre el riesgo de quedarse fuera de contratos.

Qué exige NIS2: las obligaciones principales

1. Medidas de gestión de riesgos (artículo 21)

La directiva pide medidas técnicas, operativas y organizativas adecuadas y proporcionadas al riesgo, con un enfoque de todos los peligros. Como mínimo deben cubrir:

1. Políticas de análisis de riesgos y de seguridad de los sistemas de información.
2. Gestión de incidentes.
3. Continuidad de las actividades: gestión de copias de seguridad, recuperación en caso de catástrofe y gestión de crisis.
4. Seguridad de la cadena de suministro y de la relación con proveedores.
5. Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades.
6. Políticas y procedimientos para evaluar la eficacia de las medidas.
7. Prácticas básicas de ciberhigiene y formación en ciberseguridad.
8. Políticas sobre criptografía y, en su caso, cifrado.
9. Seguridad de los recursos humanos, control de acceso y gestión de activos.
10. Autenticación multifactor o continua, comunicaciones seguras de voz, vídeo y texto, y sistemas seguros de comunicaciones de emergencia cuando proceda.

Nada de esta lista es exótico. Son las buenas prácticas que cualquier responsable de IT reconoce, pero NIS2 las convierte en obligatorias y exige poder demostrarlas.

2. Notificación de incidentes (artículo 23)

Ante un incidente significativo, la entidad debe seguir un calendario muy concreto:

• Alerta temprana en 24 horas desde que se tiene conocimiento del incidente, indicando si se sospecha de una acción ilícita o malintencionada y si puede tener efectos transfronterizos.
• Notificación del incidente en 72 horas, con una evaluación inicial de su gravedad, impacto e indicadores de compromiso disponibles.
• Informe final en un mes, con descripción detallada, causa probable, medidas de mitigación aplicadas y, en su caso, impacto transfronterizo.

Si el incidente afecta a datos personales, recuerda que además existe la obligación de notificar la brecha a la Agencia Española de Protección de Datos en un plazo de 72 horas según el artículo 33 del RGPD. Son dos obligaciones distintas que conviene coordinar en un único procedimiento.

3. Responsabilidad de la dirección (artículo 20)

Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y pueden ser considerados responsables de su incumplimiento. También se les exige seguir formación en ciberseguridad y se anima a ofrecerla periódicamente a la plantilla. Es un cambio cultural: la ciberseguridad deja de ser un asunto delegado en el departamento de IT y pasa a ser una responsabilidad del consejo o la gerencia.

4. Supervisión y sanciones (artículos 32 a 34)

La directiva fija importes máximos que los Estados deben prever como mínimo: para las entidades esenciales, multas de al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial, lo que sea mayor; para las importantes, de al menos 7 millones de euros o el 1,4 %. Las autoridades pueden realizar inspecciones, auditorías y solicitar pruebas. La cuantía concreta y el régimen sancionador definitivo en España dependerán del texto que finalmente se apruebe.

Cómo cumplir NIS2 paso a paso

Este es el plan de trabajo que recomendamos a medianas empresas que quieren llegar preparadas. Está pensado para ejecutarse en seis a doce meses, según el punto de partida.

Paso 1. Determina si estás dentro y en qué categoría

Revisa tu actividad principal (CNAE), plantilla y cifras de los últimos ejercicios. Comprueba si encajas en algún sector de los anexos I o II y si eres mediana o grande. Documenta la conclusión, porque será lo primero que te pida un auditor o un cliente. Si eres proveedor de empresas obligadas, identifica qué clientes lo son y qué te van a exigir.

Paso 2. Nombra un responsable y lleva el tema a la dirección

Designa una persona responsable de seguridad de la información con acceso directo a la gerencia. Presenta a la dirección un resumen de obligaciones, riesgos y presupuesto. Sin apoyo explícito de dirección, NIS2 no se cumple: el propio artículo 20 lo exige.

Paso 3. Inventario de activos y servicios críticos

No puedes proteger lo que no conoces. Haz inventario de servidores, puestos, dispositivos de red, servicios cloud, aplicaciones, cuentas privilegiadas y datos. Identifica qué procesos de negocio son críticos (facturación, producción, ERP, tienda online, correo) y de qué sistemas dependen.

Paso 4. Análisis de riesgos

Para cada activo crítico, evalúa amenazas (ransomware, robo de credenciales, caída del proveedor, error humano, incendio), vulnerabilidades y impacto. Puedes apoyarte en metodologías reconocidas como MAGERIT o ISO 27005. El resultado debe ser una lista priorizada de riesgos con un plan de tratamiento.

Paso 5. Medidas técnicas prioritarias

Con el análisis en la mano, ataca primero lo que más riesgo reduce por euro invertido:

• Autenticación multifactor en correo, VPN, accesos remotos, paneles de administración y aplicaciones cloud.
• Gestión de parches y vulnerabilidades con un calendario y un registro.
• Copias de seguridad aisladas, con retención suficiente y pruebas de restauración periódicas.
• Segmentación de red y firewall bien configurado.
• Protección de endpoint y monitorización de eventos.
• Cifrado de portátiles y de datos sensibles.
• Gestión de cuentas privilegiadas y principio de mínimo privilegio.

Paso 6. Plan de respuesta a incidentes y continuidad

Escribe un procedimiento que diga quién decide, a quién se llama, cómo se aíslan sistemas, cómo se comunica y cómo se notifica en 24 y 72 horas. Complementa con un plan de continuidad que defina tiempos de recuperación objetivo para cada servicio crítico. Ensáyalo al menos una vez al año con un simulacro.

Paso 7. Cadena de suministro

Lista tus proveedores TIC y de servicios críticos. Clasifícalos por riesgo, revisa sus contratos e incluye cláusulas de seguridad, notificación de incidentes y derecho a auditoría. Pide evidencias: certificaciones ISO 27001 o ENS, políticas de copia, ubicación de los datos.

Paso 8. Formación y concienciación

Forma a la dirección en sus responsabilidades y a la plantilla en ciberhigiene: phishing, contraseñas, uso de MFA, cómo reportar algo sospechoso. INCIBE ofrece recursos gratuitos para empresas, como su kit de concienciación.

Paso 9. Documenta y mide

Políticas, registros de parches, informes de pruebas de restauración, actas de simulacros, evaluaciones de proveedores. NIS2 exige evaluar la eficacia de las medidas, y una auditoría o inspección se responde con evidencias, no con buenas intenciones. Define unos pocos indicadores: porcentaje de equipos parcheados, cuentas con MFA, tiempo medio de detección y restauraciones probadas al trimestre.

Paso 10. Revisa cuando se publique la ley

Cuando la ley española se apruebe, revisa los requisitos concretos de registro ante la autoridad, formatos de notificación y cualquier desarrollo reglamentario. Si has seguido los pasos anteriores, la adaptación será de detalle y no un proyecto desde cero.

Checklist rápido de preparación para NIS2

Errores frecuentes al abordar NIS2

• Esperar a la ley española. El contenido mínimo ya se conoce desde 2022. Esperar solo reduce el tiempo disponible para implantar.
• Tratarlo como un proyecto documental. Las políticas sin controles reales no protegen ni superan una inspección seria.
• Olvidar a los proveedores. Muchos incidentes graves llegan por un tercero con acceso remoto o por un software comprometido.
• Copias que nunca se restauran. Una copia que no se ha probado es una hipótesis, no una garantía.
• Dejarlo solo en manos de IT. Sin implicación de la dirección faltarán presupuesto, prioridades y, según NIS2, se incumple una obligación expresa.
• No coordinar con el RGPD. Un mismo incidente puede requerir dos notificaciones con plazos parecidos ante autoridades distintas.

Relación entre NIS2, ENS e ISO 27001

Si tu empresa ya trabaja con el Esquema Nacional de Seguridad (Real Decreto 311/2022) porque presta servicios al sector público, o tiene un sistema de gestión certificado en ISO 27001, tienes buena parte del camino hecho. Ambos marcos cubren análisis de riesgos, medidas de seguridad, gestión de incidentes, continuidad y mejora continua. Lo que habrá que añadir o reforzar son, sobre todo, los plazos específicos de notificación, la responsabilidad formal de la dirección y el control de la cadena de suministro tal como lo define NIS2.

Si no tienes ninguno de los dos, no hace falta certificarse para cumplir NIS2, pero usar uno de estos marcos como estructura ahorra trabajo y facilita demostrar el cumplimiento ante clientes y autoridades.

Por qué no conviene retrasarlo: el contexto de amenazas

Más allá de la obligación legal, las cifras justifican la urgencia. INCIBE gestionó en 2025 un total de 122.223 incidentes de ciberseguridad, un 26 % más que el año anterior, según su balance anual. El malware fue la tipología más frecuente y el fraude por suplantación (phishing) superó los 25.000 casos. Son los mismos vectores contra los que protegen las medidas mínimas de NIS2: MFA, parcheo, copias y formación.

Preguntas frecuentes sobre NIS2 en España

¿Está ya en vigor la NIS2 en España?

La directiva está en vigor a nivel europeo y el plazo de transposición venció el 17 de octubre de 2024, pero a fecha de este artículo España no ha publicado la ley que la incorpora. El texto en tramitación es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Mientras tanto se aplica el Real Decreto-ley 12/2018 a las entidades ya designadas.

Mi empresa tiene 30 empleados, ¿me afecta NIS2?

Por regla general, no de forma directa, salvo que pertenezcas a los tipos de entidad que quedan incluidos sea cual sea su tamaño, como proveedores de DNS o de comunicaciones electrónicas públicas, o que la autoridad te identifique por tu criticidad. Pero si eres proveedor de una entidad obligada, te exigirán medidas de seguridad por la vía contractual.

¿Qué multas prevé NIS2?

La directiva obliga a que los Estados prevean multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de al menos 7 millones o el 1,4 % para entidades importantes. El régimen definitivo en España dependerá de la ley que se apruebe.

¿Tengo que certificarme en ISO 27001 para cumplir NIS2?

No es obligatorio. NIS2 exige medidas y la capacidad de demostrarlas, no una certificación concreta. Aun así, ISO 27001 o el ENS son una buena base estructural y facilitan las auditorías.

¿Qué es un incidente significativo?

La directiva lo define como aquel que ha causado o puede causar una perturbación operativa grave de los servicios o pérdidas económicas para la entidad, o que ha afectado o puede afectar a otras personas causando perjuicios materiales o inmateriales considerables. Los criterios concretos se desarrollan en la normativa de aplicación.

¿Por dónde empiezo si no tengo departamento de IT?

Por el inventario, la MFA y las copias de seguridad probadas. Son las tres medidas con mejor relación entre esfuerzo y reducción de riesgo. Después, apóyate en un proveedor de servicios gestionados que te ayude con el análisis de riesgos, la monitorización y el plan de respuesta.

Cómo te ayuda Sysprovider a prepararte para NIS2

En Sysprovider somos un proveedor IT gestionado con sede en Logroño desde 2016. Operamos infraestructura propia como LIR de RIPE NCC con el sistema autónomo AS199038, con equipos en un centro de datos de Bilbao certificado en ISO 27001 y ENS, y damos soporte técnico 24/7 en español. Eso nos permite cubrir con un solo interlocutor buena parte de las medidas técnicas que exige NIS2.

Con SysSecure 360 gestionamos la ciberseguridad de tu empresa de forma continua: análisis de vulnerabilidades, parcheo, firewall, monitorización y respuesta a incidentes. Lo combinamos con copias de seguridad con Acronis, planes de continuidad y la documentación que necesitarás para demostrar el cumplimiento. Puedes ver el enfoque completo en nuestro servicio de ciberseguridad y continuidad de negocio.

Si quieres saber en qué punto está tu empresa frente a NIS2 y qué pasos priorizar, contacta con nosotros y revisamos tu situación sin compromiso.