NIS2: qué es, a quién afecta y plazos de cumplimiento en España

La Directiva NIS2 (Directiva (UE) 2022/2555) es la legislación europea más ambiciosa en materia de ciberseguridad hasta la fecha. Entró en vigor en enero de 2023 y obliga a los Estados miembros a transponerla a su legislación nacional. Con un ámbito de aplicación que abarca a más de 160.000 entidades en toda Europa, NIS2 marca un antes y un después en las obligaciones de ciberseguridad para empresas de sectores críticos y relevantes.

¿Qué es la Directiva NIS2 y por qué es importante?

La Directiva NIS2 (Network and Information Security 2) es la actualización de la Directiva NIS original de 2016, que fue la primera legislación europea centrada exclusivamente en ciberseguridad. NIS2 fue adoptada por el Parlamento Europeo y el Consejo en diciembre de 2022 y publicada en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022.

Su objetivo principal es alcanzar un nivel común elevado de ciberseguridad en toda la Unión Europea, armonizando las obligaciones entre Estados miembros y eliminando las disparidades que existían con la primera directiva. Según la Agencia de la Unión Europea para la Ciberseguridad (ENISA), los ciberataques a infraestructuras críticas europeas aumentaron un 68 por ciento entre 2021 y 2024, lo que justificó plenamente la necesidad de endurecer el marco regulatorio.

¿Cuáles son las diferencias entre NIS1 y NIS2?

La primera Directiva NIS, transpuesta en España mediante el Real Decreto-ley 12/2018, tenía un alcance limitado y dejó demasiado margen de interpretación a los Estados miembros. NIS2 corrige estos problemas de forma sustancial:

Ámbito de aplicación ampliado

NIS1 afectaba a aproximadamente 7.000 entidades en toda Europa, fundamentalmente operadores de servicios esenciales y proveedores de servicios digitales. NIS2 multiplica esa cifra por más de veinte, incluyendo sectores que antes quedaban fuera como la gestión de residuos, la industria alimentaria, los servicios postales, la fabricación de productos críticos y la administración pública.

Clasificación de entidades

NIS1 distinguía entre operadores de servicios esenciales y proveedores de servicios digitales. NIS2 introduce una nueva clasificación más precisa: entidades esenciales y entidades importantes, con diferentes niveles de supervisión y sanción para cada grupo.

Requisitos de seguridad más concretos

Mientras que NIS1 estableció principios generales, NIS2 detalla diez medidas mínimas de gestión de riesgos de ciberseguridad que todas las entidades afectadas deben implementar, sin excepciones.

Régimen sancionador armonizado

NIS1 dejaba las sanciones en manos de cada Estado miembro, lo que generaba enormes disparidades. NIS2 establece sanciones mínimas: hasta 10 millones de euros o el 2 por ciento del volumen de negocios global para entidades esenciales, y hasta 7 millones o el 1,4 por ciento para entidades importantes.

Responsabilidad de la alta dirección

NIS2 introduce por primera vez la responsabilidad personal de los órganos de dirección, que deben aprobar las medidas de ciberseguridad, supervisar su implementación y pueden ser considerados responsables en caso de incumplimiento.

¿A qué empresas y sectores afecta NIS2?

NIS2 establece dos categorías de entidades obligadas, basándose en el sector de actividad y en el tamaño de la organización.

Entidades esenciales

Son aquellas que operan en sectores de alta criticidad y que, por su tamaño o naturaleza, representan un riesgo sistémico. Incluyen:

• Energía: electricidad, petróleo, gas, hidrógeno, calefacción y refrigeración urbana.
• Transporte: aéreo, ferroviario, marítimo y por carretera.
• Banca y mercados financieros.
• Sanidad: hospitales, laboratorios, fabricantes de productos farmacéuticos y de dispositivos médicos.
• Agua potable y aguas residuales.
• Infraestructura digital: proveedores de puntos de intercambio de Internet, servicios DNS, registros de nombres de dominio de primer nivel.
• Administración pública (nivel central y regional).
• Espacio: operadores de infraestructuras terrestres de apoyo a servicios espaciales.

Para ser clasificada como esencial, la entidad debe operar en uno de estos sectores y, generalmente, tener más de 250 empleados o un volumen de negocio superior a 50 millones de euros.

Entidades importantes

Operan en sectores críticos pero con un perfil de riesgo menor. Incluyen:

• Servicios postales y de mensajería.
• Gestión de residuos.
• Fabricación de productos químicos.
• Producción y distribución de alimentos.
• Fabricación de productos críticos: dispositivos médicos, productos informáticos, electrónicos, ópticos, maquinaria, vehículos y equipos de transporte.
• Servicios digitales: mercados en línea, motores de búsqueda, redes sociales.
• Investigación: organizaciones de investigación.

Las entidades importantes suelen ser empresas medianas (entre 50 y 250 empleados o entre 10 y 50 millones de euros de facturación) que operan en estos sectores.

Existen excepciones: determinadas entidades se incluyen independientemente de su tamaño, como los proveedores de servicios DNS, los registros de nombres de dominio o los proveedores de redes públicas de comunicaciones electrónicas.

¿Cuáles son los requisitos principales de NIS2?

NIS2 establece diez medidas mínimas de gestión de riesgos que todas las entidades afectadas deben implementar. Para un desglose práctico con checklist descargable, consulta nuestro checklist de requisitos NIS2 para España.

1. Políticas de análisis de riesgos y seguridad de los sistemas de información: realizar evaluaciones periódicas de riesgos y mantener políticas de seguridad actualizadas.

2. Gestión de incidentes: establecer procedimientos de detección, análisis, contención y respuesta a incidentes de ciberseguridad.

3. Continuidad de la actividad y gestión de crisis: planes de continuidad de negocio, gestión de copias de seguridad y planes de recuperación ante desastres.

4. Seguridad de la cadena de suministro: evaluar y gestionar los riesgos de ciberseguridad en las relaciones con proveedores directos y prestadores de servicios.

5. Seguridad en la adquisición, desarrollo y mantenimiento de sistemas: incluir requisitos de seguridad en todo el ciclo de vida de los sistemas de información, incluyendo la gestión de vulnerabilidades.

6. Evaluación de la eficacia de las medidas: políticas y procedimientos para evaluar la eficacia de las medidas de ciberseguridad implementadas.

7. Prácticas básicas de ciberhigiene y formación: programas de concienciación y formación en ciberseguridad para todo el personal.

8. Políticas de uso de criptografía y cifrado: uso adecuado del cifrado para proteger la información.

9. Seguridad de recursos humanos, control de acceso y gestión de activos: políticas de seguridad del personal, gestión de identidades y accesos, e inventario de activos.

10. Autenticación multifactor y comunicaciones seguras: uso de autenticación multifactor, soluciones de autenticación continua y comunicaciones cifradas.

Obligaciones de notificación de incidentes

NIS2 endurece significativamente los plazos de notificación de incidentes significativos:

• Alerta temprana: dentro de las primeras 24 horas desde que la entidad tiene conocimiento del incidente.
• Notificación del incidente: dentro de las 72 horas, con una evaluación inicial de la gravedad y el impacto.
• Informe final: en el plazo de un mes desde la notificación, incluyendo una descripción detallada del incidente, las medidas aplicadas y las lecciones aprendidas.

En España, estas notificaciones se canalizan a través del CSIRT de referencia, que para muchos sectores será el CCN-CERT o el INCIBE-CERT.

¿Cuándo entra en vigor NIS2 en España?

La Directiva NIS2 estableció el 17 de octubre de 2024 como fecha límite para que los Estados miembros la transpusieran a sus legislaciones nacionales. Sin embargo, España, como otros países de la UE, no cumplió ese plazo.

A fecha de abril de 2026, España tiene el Anteproyecto de Ley de Ciberseguridad en tramitación parlamentaria. El texto transpone los requisitos de NIS2 al ordenamiento jurídico español e introduce algunas particularidades:

• Relación con el ENS: para las entidades del sector público, el cumplimiento del Esquema Nacional de Seguridad (ENS) se considera un mecanismo válido para satisfacer parte de los requisitos de NIS2.
• Autoridades competentes: se designan autoridades sectoriales de supervisión para cada ámbito de actividad.
• INCIBE como CSIRT nacional: INCIBE-CERT se consolida como el equipo de respuesta a incidentes de referencia para el sector privado.

La expectativa del sector es que la ley esté plenamente en vigor antes de finales de 2026, con un periodo transitorio para la adaptación de las entidades afectadas.

Las organizaciones no deberían esperar a la transposición definitiva para actuar. La Directiva tiene efecto directo en muchos aspectos y las entidades que no estén preparadas cuando la ley entre en vigor se enfrentarán a plazos de adaptación muy ajustados.

¿Qué sanciones establece NIS2 por incumplimiento?

El régimen sancionador de NIS2 es significativamente más severo que el de la primera directiva:

Para entidades esenciales:

• Multas de hasta 10.000.000 euros o el 2 por ciento del volumen de negocios total anual global, la cifra que sea mayor.
• Posibilidad de suspensión temporal de certificaciones o autorizaciones.
• Prohibición temporal de ejercer funciones de dirección para los responsables.

Para entidades importantes:

• Multas de hasta 7.000.000 euros o el 1,4 por ciento del volumen de negocios total anual global.

Además, NIS2 introduce la posibilidad de que las autoridades de supervisión realicen auditorías e inspecciones periódicas, tanto planificadas como ad hoc, y de que exijan la corrección de deficiencias con plazos concretos.

¿Cómo prepararse para cumplir NIS2?

La adaptación a NIS2 requiere un enfoque metódico y multidisciplinar. Estos son los pasos recomendados:

1. Determinar si tu organización está afectada

Analiza el sector de actividad de tu empresa, su tamaño (empleados y facturación) y si presta servicios que encajen en las categorías definidas por NIS2. Si tienes dudas, consulta la lista completa de sectores en los Anexos I y II de la Directiva.

2. Realizar un análisis de brechas (gap analysis)

Compara tu postura actual de ciberseguridad con los diez requisitos mínimos de NIS2. Identifica las áreas donde ya cumples y aquellas donde necesitas mejorar. Si tu organización ya tiene la certificación ISO 27001 o cumple con el ENS, tendrás una base sólida. Nuestra guía de ISO 27001 para startups es un buen punto de partida si aún no has implementado un sistema de gestión de seguridad.

3. Involucrar a la alta dirección

NIS2 exige que la alta dirección apruebe las medidas de ciberseguridad y asuma su responsabilidad. Presenta a la dirección un informe claro sobre las obligaciones de NIS2, los riesgos de incumplimiento y la inversión necesaria.

4. Implementar las medidas técnicas y organizativas

Prioriza la implementación de las medidas donde se hayan identificado brechas. Las áreas que suelen requerir más trabajo son la gestión de la cadena de suministro, la monitorización continua y los procedimientos de respuesta a incidentes.

5. Establecer procesos de notificación de incidentes

Configura los mecanismos internos para detectar incidentes significativos y notificarlos dentro de los plazos exigidos (24 horas para la alerta temprana). Esto requiere capacidad de monitorización 24/7 y procedimientos de escalado claros.

6. Documentar y evidenciar

Mantener registros y evidencias del cumplimiento es esencial. Plataformas GRC como Riskitera facilitan la gestión centralizada de políticas, controles, evidencias y reportes de cumplimiento, automatizando la recopilación de pruebas y el seguimiento continuo del estado de conformidad.

7. Formación y concienciación

NIS2 exige formación en ciberseguridad para todo el personal, incluyendo expresamente a los miembros de la alta dirección. Establece un programa de formación periódica y mide su eficacia.

8. Auditorías internas y mejora continua

Realiza auditorías internas periódicas para verificar que las medidas implementadas son eficaces y que la organización está preparada para una inspección de la autoridad competente.

¿Cómo se relaciona NIS2 con ENS, DORA e ISO 27001?

NIS2 no existe de forma aislada. Se interrelaciona con múltiples marcos regulatorios:

• ENS: en España, el cumplimiento del ENS cubre parte sustancial de los requisitos de NIS2 para entidades del sector público.
• DORA: para el sector financiero, el Reglamento DORA (Digital Operational Resilience Act) es lex specialis respecto a NIS2, lo que significa que prevalece en su ámbito de aplicación. Las entidades financieras deben cumplir DORA en lugar de NIS2 para los aspectos cubiertos por aquel.
• RGPD: NIS2 complementa al RGPD. Mientras que el RGPD protege los datos personales, NIS2 protege las redes y sistemas de información. Un incidente puede activar obligaciones bajo ambas normativas.
• CER (Directiva de Resiliencia de Entidades Críticas): centrada en la resiliencia física de infraestructuras críticas, complementa a NIS2 en el ámbito de la ciberseguridad.

Preguntas frecuentes

¿Mi empresa tiene 45 empleados y opera en el sector alimentario. Me afecta NIS2?

Depende. NIS2 utiliza los criterios de la Recomendación 2003/361/CE de la Comisión Europea para definir el tamaño de las empresas. Como norma general, las empresas medianas (50 o más empleados, o más de 10 millones de euros de facturación) y grandes del sector de producción y distribución de alimentos están incluidas. Con 45 empleados, en principio quedarías por debajo del umbral, salvo que tu facturación supere los 10 millones de euros o que las autoridades nacionales te designen específicamente por el papel crítico que desempeñas en la cadena de suministro alimentaria.

¿Si ya cumplo con ISO 27001, estoy cubierto para NIS2?

ISO 27001 proporciona una base excelente, pero no cubre todos los requisitos de NIS2. Las principales diferencias están en las obligaciones de notificación de incidentes (con plazos muy concretos), la responsabilidad explícita de la alta dirección, la gestión de la cadena de suministro con el nivel de detalle que exige NIS2 y la cooperación con las autoridades competentes. Necesitarás complementar tu SGSI con estos aspectos adicionales.

¿Qué pasa si España no ha transpuesto NIS2 y mi empresa ya está operando?

Aunque España no haya completado la transposición, la Directiva NIS2 establece obligaciones claras que los Estados miembros deben implementar. Las organizaciones prudentes no esperan a la transposición definitiva: comienzan a adaptarse para evitar que la entrada en vigor les pille desprevenidas. Además, muchos requisitos de NIS2 se solapan con buenas prácticas de ciberseguridad que cualquier organización debería tener implementadas, con o sin obligación legal.

¿Cómo se relaciona NIS2 con el ENS en España?

El Anteproyecto de Ley de Ciberseguridad español establece que, para las entidades del sector público, el cumplimiento del Esquema Nacional de Seguridad (ENS) se considera un mecanismo válido para satisfacer los requisitos de NIS2. Esto significa que las administraciones y entidades del sector público que ya cumplan con el ENS tendrán gran parte del camino recorrido. Para el sector privado, será necesario cumplir directamente con los requisitos que establezca la ley de transposición.

¿Quién supervisa el cumplimiento de NIS2 en España?

Según el modelo previsto, la supervisión se reparte entre varias autoridades sectoriales. El CCN será la autoridad de referencia para el sector público, INCIBE para el sector privado en general, y existirán autoridades sectoriales específicas para ámbitos como energía, transporte o sanidad. INCIBE-CERT y CCN-CERT actuarán como los equipos de respuesta a incidentes de referencia, canalizando las notificaciones y coordinando la respuesta.