NIS2 en España: a quién afecta, qué exige y en qué punto está la ley

Qué es la directiva NIS2

NIS2 es la Directiva (UE) 2022/2555, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Sustituye a la primera directiva NIS (Directiva (UE) 2016/1148) y amplía tanto los sectores cubiertos como las obligaciones de las organizaciones y las facultades de supervisión de las autoridades.

Como toda directiva, NIS2 no se aplica directamente a las empresas: cada Estado miembro debe incorporarla a su derecho nacional. El plazo para hacerlo terminó el 17 de octubre de 2024, y las normas nacionales debían aplicarse a partir del día siguiente.

Estado de NIS2 en España

A la fecha de publicación de este artículo, España no ha completado la transposición de NIS2. El 14 de enero de 2025 el Consejo de Ministros aprobó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el texto con el que se pretende incorporar la directiva, pero la ley todavía no se ha publicado en el BOE.

Por este retraso, la Comisión Europea abrió un procedimiento de infracción contra España y, en julio de 2026, decidió llevar el caso ante el Tribunal de Justicia de la UE, junto con otros Estados miembros que tampoco habían notificado la transposición.

Mientras tanto, sigue siendo aplicable el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que transpuso la primera directiva NIS. Además, el sector público y sus proveedores siguen sujetos al Esquema Nacional de Seguridad, y las entidades financieras al Reglamento DORA. El contenido definitivo de la ley española puede variar respecto al anteproyecto, así que conviene seguir su tramitación.

A quién afecta: entidades esenciales e importantes

NIS2 se aplica, con carácter general, a medianas y grandes empresas que operan en los sectores enumerados en sus anexos I y II. Como referencia, la directiva utiliza la definición europea de pyme: se considera mediana empresa la que tiene al menos 50 empleados o un volumen de negocio o balance anual superior a 10 millones de euros. Hay excepciones en las que el tamaño no importa, por ejemplo determinados proveedores de infraestructura digital, prestadores cualificados de servicios de confianza o entidades que sean el único proveedor de un servicio crítico en un Estado miembro.

Las entidades se clasifican en dos grupos. Las esenciales son, en general, las grandes empresas de los sectores de alta criticidad del anexo I y algunas categorías designadas expresamente. Las importantes son el resto de entidades incluidas en el ámbito de aplicación. Ambas tienen obligaciones muy parecidas; la diferencia principal está en el régimen de supervisión (proactiva para las esenciales, a posteriori para las importantes) y en el importe máximo de las multas.

• Anexo I (sectores de alta criticidad): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
• Anexo II (otros sectores críticos): servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación de determinados productos (como productos sanitarios, electrónica, maquinaria o vehículos), proveedores digitales e investigación.

Qué obligaciones impone NIS2

La directiva no impone una tecnología concreta, sino un enfoque de gestión del riesgo. Sus obligaciones principales se concentran en los artículos 20, 21 y 23:

• Responsabilidad de la dirección: los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación en ciberseguridad. Pueden responder por los incumplimientos.
• Medidas de gestión de riesgos: políticas de análisis de riesgos, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad en la adquisición y desarrollo de sistemas, evaluación de la eficacia de las medidas, higiene cibernética y formación, criptografía, seguridad del personal y control de accesos, y autenticación multifactor cuando proceda.
• Seguridad de la cadena de suministro: evaluar y gestionar los riesgos que introducen proveedores y prestadores de servicios, incluidos los requisitos que se les trasladan por contrato.
• Notificación de incidentes significativos: una alerta temprana en 24 horas desde que se tiene conocimiento del incidente, una notificación en 72 horas con una evaluación inicial y un informe final en el plazo de un mes.

Multas y supervisión

NIS2 fija importes mínimos para el máximo de las multas que deben poder imponer las autoridades nacionales. Para las entidades esenciales, hasta al menos 10 millones de euros o el 2 % del volumen de negocio anual mundial, si esta cifra es mayor. Para las entidades importantes, hasta al menos 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, si es mayor.

Además de las multas, las autoridades pueden realizar inspecciones, auditorías de seguridad, requerir información o evidencias y dictar instrucciones vinculantes. Los importes y el régimen concreto en España dependerán del texto final de la ley.

Por qué no conviene esperar a la ley

Aunque la norma española no esté publicada, hay motivos prácticos para empezar ya. Las obligaciones de NIS2 exigen cambios de organización, documentación y cultura que no se improvisan en pocos meses. Además, si tu empresa presta servicios a clientes de otros Estados miembros que ya aplican NIS2, es probable que esos clientes te trasladen requisitos de seguridad por la vía de la cadena de suministro.

Por último, muchas de las medidas que exige NIS2 son simplemente buenas prácticas de ciberseguridad: reducen el riesgo real de incidentes, con independencia de cuándo entre en vigor la ley.

Cómo ayuda ISO/IEC 27001 a prepararse

NIS2 no exige certificarse en ISO/IEC 27001, pero la norma es una de las formas más utilizadas de organizar el cumplimiento. Un sistema de gestión de seguridad de la información basado en ISO 27001 cubre gran parte de lo que pide el artículo 21: análisis y tratamiento de riesgos, políticas aprobadas por la dirección, gestión de incidentes, continuidad, relación con proveedores, control de accesos, criptografía y formación.

Lo que ISO 27001 no resuelve por sí sola son los requisitos específicos de la ley, como los plazos y canales de notificación a las autoridades o el registro de entidades. Aun así, partir de un sistema de gestión ya implantado reduce mucho el esfuerzo de adaptación cuando se publique la norma española.

• Artículo 20 de NIS2 (gobernanza): encaja con los requisitos de liderazgo, roles y responsabilidades de la cláusula 5 de ISO 27001.
• Artículo 21 (medidas de gestión de riesgos): se apoya en la evaluación y el tratamiento de riesgos de las cláusulas 6 y 8 y en los controles del Anexo A.
• Artículo 23 (notificación): los controles de gestión de incidentes del Anexo A ayudan a detectar y clasificar incidentes, pero hay que añadir los plazos y canales legales de notificación.
• Cadena de suministro: los controles sobre relaciones con proveedores y servicios en la nube sirven de base para los requisitos contractuales.

Primer paso: conocer tu punto de partida

Antes de encargar proyectos o comprar herramientas, conviene saber dónde estás. La autoevaluación gratuita de ISO 27001 en baltum.ai te lleva entre 10 y 15 minutos y te ofrece una puntuación de preparación, un informe de brechas y recomendaciones generadas con IA. Es una forma sencilla de identificar qué medidas relacionadas con NIS2 ya tienes cubiertas y cuáles debes priorizar. No es asesoramiento jurídico ni sustituye el análisis de si tu organización está dentro del ámbito de la ley.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.