Directiva NIS2: qué exige, a quién afecta y en qué punto está en España
La Directiva NIS2 (Directiva (UE) 2022/2555) es la norma europea que fija obligaciones de ciberseguridad para empresas y organismos de sectores críticos. Sustituye a la primera Directiva NIS de 2016, amplía mucho el número de sectores afectados y hace responsables a los órganos de dirección.
En España todavía no se ha transpuesto. A 22 de octubre de 2026, la Ley de Coordinación y Gobernanza de la Ciberseguridad no se ha publicado en el BOE, y en julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso.
En resumen
| Norma | Directiva (UE) 2022/2555 |
|---|---|
| En vigor en la UE | 16 de enero de 2023 |
| Plazo de transposición | 17 de octubre de 2024 |
| Ley española prevista | Ley de Coordinación y Gobernanza de la Ciberseguridad |
| Estado en España | Sin publicar en el BOE (octubre de 2026) |
| Marco vigente en España | Real Decreto-ley 12/2018 y Real Decreto 43/2021 (NIS1) |
| Medidas mínimas | Artículo 21.2: diez ámbitos |
| Notificación de incidentes | 24 h, 72 h y un mes |
| Multas máximas | 10 M€ o 2 % (esenciales); 7 M€ o 1,4 % (importantes) |
Situación de NIS2 en España
- 17 de octubre de 2024. Vence el plazo de transposición. España no lo cumple.
- 14 de enero de 2025. El Consejo de ministros aprueba en primera vuelta el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.
- Mayo de 2025. La Comisión Europea envía un dictamen motivado a España y a otros Estados miembros.
- Julio de 2026. La Comisión lleva a España ante el Tribunal de Justicia de la UE.
- Septiembre de 2026. La prensa informa de que el texto está listo para su aprobación como proyecto de ley y su envío al Congreso.
- Octubre de 2026. La ley sigue sin publicarse en el BOE.
¿Qué se aplica hoy? El marco de la primera Directiva NIS: el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que obligan a los operadores de servicios esenciales y a los proveedores de servicios digitales que ya estaban identificados. Las sanciones previstas en NIS2 no pueden imponerse en España hasta que exista la ley que las tipifique.
¿Por qué prepararse ya? Porque el anteproyecto no prevé un periodo transitorio largo, porque los clientes europeos ya exigen requisitos NIS2 a sus proveedores y porque medidas como la gestión de la cadena de suministro o la notificación en 24 horas requieren meses de trabajo.
La ley prevista creará el Centro Nacional de Ciberseguridad como autoridad nacional y repartirá la supervisión entre distintos organismos según el sector.
¿A quién afecta NIS2?
NIS2 se aplica a medianas y grandes empresas (50 empleados o más, o más de 10 millones de euros de volumen de negocio y de balance) que operen en los sectores de sus anexos I y II. Algunas entidades están incluidas sea cual sea su tamaño, como los proveedores de redes públicas de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de dominios de primer nivel, los proveedores de DNS o las administraciones públicas que determine cada Estado.
Sectores de alta criticidad (Anexo I)
Energía · Transporte · Banca · Infraestructuras de los mercados financieros · Sanidad · Agua potable · Aguas residuales · Infraestructura digital · Gestión de servicios TIC entre empresas · Administración pública · Espacio
Otros sectores críticos (Anexo II)
Servicios postales y de mensajería · Gestión de residuos · Fabricación, producción y distribución de sustancias químicas · Producción, transformación y distribución de alimentos · Fabricación (productos sanitarios, electrónica, maquinaria, vehículos y otro material de transporte) · Proveedores de servicios digitales · Investigación
Entidades esenciales e importantes
| Entidades esenciales | Entidades importantes | |
|---|---|---|
| Quiénes | Grandes empresas del Anexo I y entidades designadas expresamente | El resto de entidades incluidas (Anexos I y II) |
| Supervisión | Proactiva: inspecciones y auditorías sin necesidad de incidente | Reactiva: tras indicios de incumplimiento |
| Multa máxima | 10 M€ o 2 % del volumen de negocio mundial (la cifra mayor) | 7 M€ o 1,4 % del volumen de negocio mundial (la cifra mayor) |
Las obligaciones de seguridad son las mismas para ambos tipos. Cambian la supervisión y las sanciones.
Cadena de suministro. Aunque tu empresa no esté incluida, si das servicio a una entidad esencial o importante es probable que te exija medidas NIS2 por contrato, porque la directiva le obliga a gestionar los riesgos de sus proveedores.
Obligaciones principales
1. Gobernanza y responsabilidad de la dirección (art. 20)
Los órganos de dirección deben aprobar las medidas de ciberseguridad, supervisar su aplicación y recibir formación. Pueden ser considerados responsables de los incumplimientos.
2. Medidas de gestión de riesgos (art. 21)
El artículo 21.2 fija diez ámbitos mínimos:
- Políticas de análisis de riesgos y de seguridad de los sistemas de información.
- Gestión de incidentes.
- Continuidad de las actividades: copias de seguridad, recuperación en caso de catástrofe y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades.
- Políticas y procedimientos para evaluar la eficacia de las medidas.
- Prácticas básicas de ciberhigiene y formación en ciberseguridad.
- Políticas sobre criptografía y, cuando proceda, cifrado.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor o continua, comunicaciones seguras y sistemas de comunicación de emergencia.
Para los proveedores de servicios digitales y de infraestructura digital (cloud, centros de datos, servicios gestionados, DNS, plataformas en línea, entre otros), el Reglamento de Ejecución (UE) 2024/2690 detalla los requisitos técnicos de estas medidas.
3. Notificación de incidentes significativos (art. 23)
| Plazo | Qué se envía |
|---|---|
| 24 horas | Alerta temprana: indicar si el incidente puede deberse a una acción ilícita o tener impacto transfronterizo |
| 72 horas | Notificación del incidente con una evaluación inicial de gravedad, impacto e indicadores de compromiso |
| 1 mes | Informe final con descripción detallada, causa probable, medidas aplicadas e impacto transfronterizo |
Los plazos cuentan desde que la entidad tiene conocimiento del incidente significativo.
4. Registro
Las entidades incluidas deben registrarse ante la autoridad competente. En España, el procedimiento dependerá de lo que fije la ley.
Cómo ayuda ISO 27001 a cumplir NIS2
Un SGSI conforme a ISO/IEC 27001:2022 cubre la mayor parte del artículo 21. Esta tabla relaciona cada medida con las cláusulas y controles de la norma:
| Medida NIS2 (art. 21.2) | ISO/IEC 27001:2022 |
|---|---|
| a) Análisis de riesgos y políticas | Cláusulas 6.1 y 8.2; control 5.1 |
| b) Gestión de incidentes | Controles 5.24 a 5.28 |
| c) Continuidad y gestión de crisis | Controles 5.29, 5.30 y 8.13 |
| d) Cadena de suministro | Controles 5.19 a 5.23 |
| e) Adquisición, desarrollo y vulnerabilidades | Controles 8.8 y 8.25 a 8.29 |
| f) Evaluación de la eficacia | Cláusulas 9.1, 9.2 y 9.3 |
| g) Ciberhigiene y formación | Cláusula 7.3; controles 6.3, 8.7 y 8.9 |
| h) Criptografía | Control 8.24 |
| i) RR. HH., control de acceso y activos | Controles 5.9 a 5.11, 5.15 a 5.18 y 6.1 a 6.6 |
| j) MFA y comunicaciones seguras | Controles 5.14 y 8.5 |
| Art. 20, responsabilidad de la dirección | Cláusula 5 (liderazgo) |
Lo que ISO 27001 no cubre por sí sola:
- Los plazos de notificación de 24 h, 72 h y un mes, y el formato que exija la autoridad.
- La formación obligatoria y la responsabilidad personal de los órganos de dirección.
- El registro ante la autoridad competente.
- Los requisitos técnicos del Reglamento de Ejecución 2024/2690, en los proveedores digitales.
- La supervisión por la autoridad, que es distinta de una auditoría de certificación.
Además, el alcance del SGSI debe cubrir todos los servicios afectados por NIS2. Un certificado limitado a un departamento no basta.
NIS2, ENS y DORA
- ENS. Las entidades públicas y sus proveedores ya cumplen el ENS. La ley española de transposición convivirá con él.
- DORA. Para bancos, aseguradoras y otras entidades financieras, el Reglamento (UE) 2022/2554 (DORA), aplicable desde enero de 2025, es la norma específica y prevalece sobre NIS2 en gestión de riesgos TIC y notificación de incidentes.
- ISO 22301. Útil para cubrir la parte de continuidad y gestión de crisis del artículo 21.
Plan de preparación en ocho pasos
- Comprobar si estás incluido: sector, tamaño y si eres proveedor de una entidad incluida.
- Implicar a la dirección: aprobación formal y plan de formación.
- Hacer un análisis de diferencias frente al artículo 21 y, si ya tienes ISO 27001, frente a la tabla anterior.
- Ajustar el alcance del SGSI a los servicios afectados.
- Montar el procedimiento de notificación con los plazos de 24 h, 72 h y un mes, roles y plantillas.
- Revisar a los proveedores críticos: contratos, cláusulas de seguridad y evaluación periódica.
- Reforzar controles técnicos con más carencias habituales: MFA, gestión de vulnerabilidades, copias y cifrado.
- Guardar evidencias de todo lo anterior para la supervisión.
Preguntas frecuentes
La directiva está en vigor en la UE desde el 16 de enero de 2023, pero en España todavía no hay ley de transposición publicada (octubre de 2026). Mientras tanto se aplica el marco de NIS1: Real Decreto-ley 12/2018 y Real Decreto 43/2021.
No por NIS2, porque las infracciones y sanciones deben estar tipificadas en una ley española que aún no existe. Sí siguen vigentes las obligaciones y sanciones del Real Decreto-ley 12/2018 para quienes estén sujetos a él.
Depende del sector (Anexo I o II) y del tamaño. Las grandes empresas de los sectores del Anexo I suelen ser esenciales; el resto de entidades incluidas, importantes. La ley española podrá designar entidades concretas.
No lo garantiza, pero cubre la mayor parte de las medidas del artículo 21 y facilita demostrar el cumplimiento. Hay que añadir la notificación de incidentes, la gobernanza de la dirección y el registro.
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes desde que se conoce el incidente significativo.
En general no, salvo que estén incluidas sea cual sea su tamaño o que sean designadas. Pero muchas pymes que son proveedoras de entidades incluidas recibirán exigencias NIS2 por contrato.
