La Directiva NIS2 es la norma europea que obliga a miles de empresas a reforzar su ciberseguridad bajo amenaza de sanciones millonarias. Formalmente es la Directiva (UE) 2022/2555, en vigor desde enero de 2023. Amplía las obligaciones de ciberseguridad a entidades esenciales e importantes de 18 sectores. En España todavía no se ha transpuesto, así que sus obligaciones llegarán a las empresas con la ley nacional, y la Comisión ya ha llevado a España ante el Tribunal de Justicia de la Unión Europea por el retraso. Si tu empresa tiene 50 o más empleados o factura más de 10 millones de euros y opera en un sector crítico, NIS2 te afecta. Esta guía explica a quién obliga, qué medidas exige, qué plazos marca y qué riesgo legal asume tu órgano de dirección.
Si necesitas abogados de ciberseguridad y NIS2, solicita una valoración inicial gratuita.
NIS2 es la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022. Sustituye a la primera directiva NIS de 2016 y entró en vigor el 16 de enero de 2023. Su objetivo es elevar de forma armonizada el nivel mínimo de ciberseguridad en la Unión Europea. Para ello amplía los sectores obligados, endurece las medidas técnicas y de gobernanza y unifica los plazos de notificación de incidentes.
La NIS1 solo cubría a un grupo reducido de operadores de servicios esenciales identificados manualmente por cada país. Esto generaba diferencias enormes entre Estados miembros. NIS2 corrige ese problema: define con precisión los sectores afectados, crea dos categorías de entidades y arma un régimen sancionador disuasorio y homogéneo.
España no ha completado la transposición de NIS2. El plazo europeo venció el 17 de octubre de 2024 y el país no lo cumplió. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el vehículo legislativo para transponer la directiva y que crea un Centro Nacional de Ciberseguridad. La ley sigue sin publicarse en el Boletín Oficial del Estado. Y con las Cortes disueltas desde el 6 de octubre de 2026 por la convocatoria de elecciones, ninguna ley podrá tramitarse hasta que se constituyan las nuevas Cámaras el 23 de diciembre.
El retraso tiene consecuencias. La Comisión Europea envió a España un dictamen motivado el 7 de mayo de 2025 por no transponer a tiempo. El 8 de julio de 2026 la Comisión dio el paso siguiente y llevó a España ante el Tribunal de Justicia de la Unión Europea. Pide al Tribunal que imponga al Estado una suma a tanto alzado y multas coercitivas diarias hasta que complete la transposición. Para las empresas la consecuencia es distinta. Una directiva sin transponer obliga al Estado, no a los particulares, así que las obligaciones de NIS2 serán exigibles cuando entre en vigor la ley española. Lo que esa ley pedirá, gestión de riesgos, notificación de incidentes y control de proveedores, no se implanta en semanas, y quien empiece el día de la publicación llegará tarde.
NIS2 se aplica a las entidades de 18 sectores recogidos en sus Anexos I y II que tengan 50 o más empleados o más de 10 millones de euros de facturación o balance anual. Por debajo de ese umbral, una empresa no queda obligada por ser proveedora de una entidad incluida, aunque sí puede recibir exigencias contractuales de ese cliente, que tiene que gestionar la seguridad de su cadena de suministro.
Los sectores cubiertos se reparten entre dos anexos. El Anexo I agrupa los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC, administración pública y espacio. El Anexo II recoge otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (de productos sanitarios, electrónica, maquinaria o vehículos), proveedores de servicios digitales e investigación. Si tu actividad encaja en cualquiera de estas categorías y superas el umbral de tamaño, estás dentro del ámbito.
La directiva divide a las entidades obligadas en dos categorías con distinto nivel de supervisión y de sanción. La diferencia no es menor: determina cómo te vigila la autoridad y cuánto arriesgas.
| Criterio | Entidad esencial | Entidad importante |
|---|---|---|
| Quién suele serlo | Grandes empresas de los sectores del anexo I, como energía, transporte, banca, sanidad, agua, infraestructura digital o administración pública | Medianas empresas del anexo I y empresas de los sectores del anexo II, como servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales o investigación |
| Supervisión | Proactiva (inspecciones y auditorías de oficio) | Reactiva (tras indicios o incidentes) |
| Sanción máxima | 10 millones de euros o el 2 % de la facturación mundial | 7 millones de euros o el 1,4 % de la facturación mundial |
En ambos casos se aplica la cuantía mayor entre el importe fijo y el porcentaje de facturación. Identificar a qué categoría perteneces es el primer paso de cualquier plan de cumplimiento, porque cambia el nivel de exigencia probatoria ante una inspección.
El artículo 21 de NIS2 obliga a adoptar medidas técnicas y organizativas proporcionadas al riesgo para proteger las redes y sistemas de información. No prescribe herramientas concretas, sino capacidades que la empresa debe demostrar. La proporcionalidad se mide según el tamaño, la exposición y la criticidad de cada organización.
Las medidas mínimas que toda entidad obligada debe implantar son las siguientes:
Una empresa que ya cuente con un sistema de gestión bajo la ISO 27001 cubre buena parte de estas medidas. Los huecos habituales son tres: la notificación temprana al CSIRT, la formación específica del órgano de dirección y la gestión profundizada de la cadena de suministro. Cerrar esos huecos suele ser más rápido que construir el sistema desde cero.
La seguridad de la cadena de suministro es la novedad que más trabajo genera. NIS2 exige verificación, no una simple declaración firmada por el proveedor. En la práctica esto se traduce en revisar y reforzar los contratos tecnológicos: cláusulas de seguridad, obligaciones de notificación de incidentes del proveedor, derechos de auditoría y niveles de servicio. Si tu empresa es proveedora de una entidad obligada, recibirás esas exigencias por contrato aunque no superes los umbrales por ti misma.
NIS2 obliga a notificar los incidentes significativos en tres fases sucesivas ante el CSIRT competente. Un incidente es significativo cuando causa o puede causar una perturbación operativa grave o pérdidas financieras, o cuando afecta a terceros con daños materiales o inmateriales considerables.
En España, la notificación se canaliza a través del CSIRT que corresponda: INCIBE-CERT para el sector privado, CCN-CERT para el sector público y ESPDEF-CERT para defensa. Tratar la alerta de 24 horas como un trámite informativo es un error: es una obligación legal cuyo incumplimiento puede sancionarse.
NIS2 traslada la responsabilidad del cumplimiento al órgano de dirección de la empresa. El consejo o equivalente debe aprobar las medidas de gestión de riesgos, supervisar su implantación y recibir formación específica en ciberseguridad. Esta responsabilidad no se delega: puede encargarse la ejecución a un CISO o a un CTO, pero la responsabilidad última permanece en la dirección.
Las consecuencias son personales. Ante infracciones graves y reiteradas, las autoridades competentes pueden suspender temporalmente a los directivos de sus funciones. Por eso conviene documentar las decisiones del consejo en actas y conservar evidencia de la diligencia debida. Sin esa trazabilidad, demostrar que se actuó correctamente es difícil.
El riesgo legal de una mala gestión de la ciberseguridad ya se materializa en los tribunales españoles, incluso sin NIS2 transpuesta. La sentencia del Tribunal Supremo 136/2025, de 19 de febrero de 2025 (Sala de lo Penal), confirmó la responsabilidad civil subsidiaria de una empresa por una brecha en su sistema informático.
Los hechos son ilustrativos. Unos ciberdelincuentes suplantaron la cuenta de correo de un empleado de Gamboa Automoción y enviaron instrucciones de pago falsas a otra empresa, que transfirió 32.594,75 euros a una cuenta fraudulenta. La empresa atacada había detectado una incidencia similar el día anterior y no alertó a sus socios comerciales. El Supremo consideró que los sistemas informáticos de una empresa son un «establecimiento» a efectos del artículo 120.3 del Código Penal y confirmó su responsabilidad civil subsidiaria por no actuar con la diligencia debida. El daño, por tanto, no llega solo por la sanción administrativa, sino también por la reclamación civil de un tercero perjudicado.
El régimen sancionador de NIS2 distingue por categoría de entidad. Las entidades esenciales se exponen a multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial, la cuantía que sea mayor. Las entidades importantes, hasta 7 millones de euros o el 1,4 %. A estas cifras se suma la posibilidad de medidas administrativas como órdenes de remediación o la suspensión temporal de directivos.
El riesgo no es solo sancionador. En paralelo, los clientes europeos en sectores regulados están incorporando cláusulas NIS2 en sus contratos de proveedores. Una empresa que no acredite cumplimiento puede quedar fuera de licitaciones y contratos antes incluso de recibir una multa.
La preparación para NIS2 no debe esperar a la publicación en el BOE, porque las medidas técnicas requieren meses de implantación. La hoja de ruta razonable parte de cuatro pasos: determinar si la empresa está obligada y en qué categoría, realizar un análisis de brecha frente al artículo 21, cerrar los gaps prioritarios y construir la evidencia documental que se exigirá en una inspección.
El encaje con otras normas es clave. Muchos incidentes de NIS2 implican también una brecha de datos personales notificable a la Agencia Española de Protección de Datos bajo el RGPD, con plazos propios. Y la gestión contractual de la cadena de suministro conecta con la contratación tecnológica. Si además fabricas o comercializas productos con software, se te suma el Cyber Resilience Act, que obliga a notificar vulnerabilidades explotadas desde el 11 de septiembre de 2026. Para una visión completa del marco de cumplimiento puedes consultar nuestra página de asesoramiento en ciberseguridad y NIS2, y revisar cómo se relaciona con otras obligaciones regulatorias en nuestro análisis del Reglamento de Inteligencia Artificial.
Todavía no para las empresas. La directiva está en vigor desde enero de 2023 y obliga a España a transponerla, pero el plazo venció el 17 de octubre de 2024 y la ley nacional sigue sin publicarse en el BOE. El Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025, y el 8 de julio de 2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la Unión Europea por el retraso. Las obligaciones serán exigibles cuando entre en vigor la ley española, que con la disolución de las Cortes de octubre de 2026 no podrá tramitarse antes de la próxima legislatura.
Por regla general, NIS2 se aplica a entidades de los sectores incluidos con 50 o más empleados o más de 10 millones de euros de facturación. Una empresa por debajo del umbral no queda obligada por ser proveedora de una entidad incluida, pero sí puede recibir exigencias contractuales de ese cliente, que debe gestionar la seguridad de su cadena de suministro según el artículo 21. Determinadas entidades críticas quedan incluidas con independencia de su tamaño.
Las entidades esenciales están sometidas a supervisión proactiva y a sanciones de hasta 10 millones de euros o el 2 % de la facturación mundial. Las entidades importantes tienen supervisión reactiva y sanciones de hasta 7 millones de euros o el 1,4 %. La categoría depende del sector y del tamaño. En general, las grandes empresas de los sectores del anexo I son esenciales, y el resto de entidades incluidas en los anexos I y II son importantes.
Sí. Un mismo incidente puede activar dos obligaciones de notificación distintas: la de NIS2 ante el CSIRT competente, en fases de 24 horas, 72 horas y un mes, y la del RGPD ante la Agencia Española de Protección de Datos cuando se comprometen datos personales, en un plazo de 72 horas. Son marcos complementarios con plazos y autoridades diferentes.
¿Tu empresa entra en el ámbito de NIS2? Agenda una valoración inicial gratuita y recibe un diagnóstico de tus obligaciones, los gaps detectados y un plan de cumplimiento claro.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.