¿Me afecta la NIS2? Cómo saber si tu empresa está obligada
La pregunta «¿me afecta la NIS2?» se responde con dos datos: tu sector y tu tamaño. Sin embargo, la directiva incluye excepciones que alcanzan a empresas pequeñas. Además, sus exigencias llegan a muchos proveedores por contrato. Esta guía te ayuda a comprobarlo con los criterios de la Directiva (UE) 2022/2555, actualizados a octubre de 2026.
En 30 segundos: la NIS2 se aplica a las empresas de sus 18 sectores que no sean pequeñas. Es decir, con 50 o más empleados, o con facturación y balance anuales por encima de 10 millones de euros. Algunas entidades entran sea cual sea su tamaño, como los proveedores de DNS. Y si estás por debajo, tus clientes obligados te trasladarán sus requisitos por contrato.
¿Me afecta la NIS2? La prueba en dos pasos
La directiva combina dos filtros que se aplican a la vez. Primero, tu actividad tiene que aparecer en el anexo I o en el anexo II. Después, tu empresa tiene que superar el tamaño de pequeña empresa. Si pasas ambos filtros, la respuesta a «¿me afecta la NIS2?» es sí. Luego solo te quedará saber si entras como entidad esencial o como importante.
Paso 1: ¿está tu actividad en los anexos?
El anexo I recoge los sectores de alta criticidad y el anexo II, otros sectores críticos. Además, dentro de cada sector solo cuentan los tipos de entidad que enumera el anexo. Por eso conviene leer el subsector exacto y no quedarse en la etiqueta general.
| Anexo | Sectores incluidos |
|---|---|
| Anexo I: alta criticidad (11 sectores) | Energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio. |
| Anexo II: otros sectores críticos (7 sectores) | Servicios postales, residuos, química, alimentación, fabricación (productos sanitarios, electrónica, equipos eléctricos, maquinaria y vehículos), proveedores digitales e investigación. |
Si tu actividad no aparece en la tabla, la respuesta a «¿me afecta la NIS2?» suele ser no, salvo por la vía contractual. Por cierto, el anteproyecto español de 2025 añadía la seguridad privada y la industria nuclear. Aun así, ese texto nunca llegó a ser ley, así que hoy manda la lista europea.
Paso 2: ¿superas el tamaño de pequeña empresa?
La regla general remite a la Recomendación 2003/361/CE sobre pymes. Entras en el ámbito si tienes 50 o más empleados. También entras si tu facturación y tu balance anuales superan, los dos, los 10 millones de euros. Además, para el cálculo cuentan los datos de las empresas asociadas y vinculadas de tu grupo. Por tanto, una filial pequeña de un grupo grande puede quedar dentro, aunque cada país puede valorar su grado de independencia.
Cuándo me afecta la NIS2 aunque sea una pyme
El artículo 2.2 enumera entidades que entran sea cual sea su tamaño. Así que, si estás en esta lista, la respuesta a «¿me afecta la NIS2?» no depende de tu plantilla:
- Proveedores de redes o servicios públicos de comunicaciones electrónicas.
- Prestadores de servicios de confianza, como la firma electrónica.
- Registros de dominios de primer nivel y proveedores de DNS.
- Entidades de la Administración central y entidades críticas según la Directiva (UE) 2022/2557.
- El único proveedor en un país de un servicio esencial.
- Cualquier entidad cuya caída tendría un impacto significativo en la seguridad o la salud pública.
En los dos últimos casos, la autoridad nacional tiene que identificarte de forma expresa. Pero en España todavía no existe esa lista oficial de entidades, porque falta la ley.
El efecto cadena de suministro
De hecho, es el caso más frecuente entre pymes. Muchos proveedores se preguntan «¿me afecta la NIS2?» cuando reciben el primer cuestionario de un cliente. Esto ocurre porque el artículo 21 obliga a las entidades a cuidar la seguridad de su cadena de suministro. Por eso te pedirán cuestionarios, cláusulas de notificación y derecho de auditoría. Para responderlos con orden, apóyate en nuestro checklist práctico de la NIS2 para pymes.
Si me afecta la NIS2, ¿soy entidad esencial o importante?
La categoría cambia la supervisión y las multas, pero no la lista de medidas. En cambio, las esenciales tienen supervisión previa y las importantes, solo a posteriori.
| Aspecto | Entidad esencial | Entidad importante |
|---|---|---|
| Quién | Anexo I con 250 empleados o más, o con más de 50 M€ de facturación y 43 M€ de balance; también los casos del artículo 3.1. | El resto de entidades de los anexos I y II dentro del ámbito. |
| Supervisión | Previa: inspecciones y auditorías en cualquier momento. | A posteriori, ante indicios de incumplimiento. |
| Multa máxima | Al menos 10 M€ o el 2 % de la facturación mundial. | Como mínimo 7 M€ o el 1,4 % de la facturación mundial. |
En ambos casos se aplica la cifra mayor. Además, son mínimos: la ley española podrá subirlos, pero nunca rebajarlos.
Qué me exige la NIS2 si me afecta
Cuando la respuesta a «¿me afecta la NIS2?» es afirmativa, las obligaciones se agrupan en cuatro bloques:
| Obligación | Qué exige |
|---|---|
| Gestión de riesgos (artículo 21) | Diez medidas mínimas, desde la gestión de incidentes y las copias hasta la cadena de suministro y la autenticación multifactor. |
| Notificación (artículo 23) | Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. |
| Gobernanza (artículo 20) | La dirección aprueba las medidas, supervisa su aplicación y recibe formación. |
| Registro (artículo 3) | Comunicar tus datos, sector y países, y avisar de cualquier cambio en dos semanas. |
No hace falta empezar de cero, ya que nuestro plan de implantación en 90 días ordena estas medidas por fases. Y si te preocupa el papel del consejo, repasa qué responsabilidad asume la dirección.
¿Y en España? La ley sigue sin llegar
El plazo de transposición venció el 17 de octubre de 2024 y España aún no ha incorporado la directiva. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, de enero de 2025, nunca llegó al BOE. Por eso, la Comisión Europea llevó a España ante el TJUE el 8 de julio de 2026. Después, el Real Decreto 806/2026 disolvió las Cortes el 6 de octubre y convocó elecciones para el 29 de noviembre. Con ello, el anteproyecto queda parado y la ley no se aprobará en 2026.
Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera NIS. Pero esto no te da un respiro, porque tampoco cambia la respuesta a «¿me afecta la NIS2?». Además, tus clientes europeos ya aplican la directiva. Lo analizamos en qué supone la disolución de las Cortes para la transposición.
Cómo comprobar si me afecta la NIS2 en una tarde
- Busca tu actividad en los anexos I y II, por tipo de entidad.
- Calcula plantilla, facturación y balance con los datos de tu grupo.
- Repasa el artículo 2.2 por si entras sea cual sea tu tamaño.
- Revisa los contratos y cuestionarios de tus clientes.
- Documenta la conclusión y ponle fecha, porque cambia si creces.
Si al final la respuesta a «¿me afecta la NIS2?» es sí, haz un análisis de brecha frente al artículo 21. Y si es no, guarda la evidencia, porque te la pedirán clientes y auditores.
Preguntas frecuentes
¿Me afecta la NIS2 si soy una pyme?
Por regla general, no, si tienes menos de 50 empleados y no superas a la vez 10 millones de facturación y de balance. Sin embargo, sí entras si figuras en el artículo 2.2, por ejemplo como proveedor de DNS. Además, tus clientes obligados pueden exigirte sus medidas por contrato.
¿Me afecta la NIS2 si solo soy proveedor de una empresa obligada?
No de forma directa, salvo que tu actividad y tu tamaño te incluyan. Aun así, tu cliente debe cuidar su cadena de suministro y te pedirá medidas y evidencias. Por eso, cumplir parte del artículo 21 acaba siendo una condición para seguir trabajando con él.
¿Me afecta la NIS2 si opero en varios países?
Sí, si cumples los criterios. Por regla general, te supervisa cada Estado en el que tengas establecimiento. En cambio, los proveedores de cloud, centros de datos, DNS o plataformas digitales responden ante el país de su establecimiento principal.
¿Qué pasa si no cumplo?
La directiva obliga a fijar multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para las esenciales. Para las importantes, el mínimo es de 7 millones o el 1,4 %. Además, la dirección puede responder del incumplimiento. Aunque en España esas sanciones llegarán con la ley, tus clientes ya te exigen medidas por contrato.
¿Tengo que esperar a la ley española para empezar?
No es buena idea, porque el contenido técnico ya está en la directiva y la ley española no podrá rebajarlo. Además, implantar las medidas con evidencias lleva meses.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC te ayuda a responder «¿me afecta la NIS2?» servicio por servicio y a documentar la conclusión. Después, carga las diez medidas del artículo 21 con sus evidencias y aplica el principio de «un control, varias normas». Así, lo que ya tienes para ISO 27001 o ENS cuenta también aquí. Además, el reloj regulatorio vigila los plazos de 24 y 72 horas, y el registro de terceros ordena los cuestionarios de proveedores. Tienes más detalles en nuestra ficha de la NIS2.
