NIS2 · Energía y servicios esenciales
NIS2 para energía y servicios esenciales
La NIS2 sitúa la energía entre los sectores de alta criticidad, junto con el agua, el transporte y la sanidad. En concreto, en energía abarca la electricidad, el gas, el petróleo y el hidrógeno, entre otros. Por eso, si eres una empresa mediana o grande de estos sectores, te aplican sus medidas de gestión de riesgos. También la notificación en 24 horas y la responsabilidad de la dirección.
Las normas que más pesan en energía, con la NIS2 a la cabeza
Entidades esenciales e importantes de energía en la NIS2
En la Directiva NIS2, las grandes empresas de energía y del resto de sectores de alta criticidad son, por regla general, entidades esenciales. En cambio, las medianas son importantes. Ambas tienen las mismas obligaciones de fondo; sin embargo, cambian la supervisión (proactiva para las esenciales) y la cuantía de las multas. Así, la directiva obliga a que las multas máximas sean de al menos 10 millones de euros o el 2 % de la facturación mundial para las esenciales, y de al menos 7 millones o el 1,4 % para las importantes; en ambos casos, la cifra mayor.
Qué exige la NIS2 en energía
- Las medidas de gestión de riesgos del artículo 21: análisis de riesgos, gestión de incidentes, continuidad y gestión de crisis, seguridad de la cadena de suministro, cifrado, control de accesos y formación.
- La notificación de incidentes significativos: primero, alerta temprana en 24 horas; después, notificación en 72 horas e informe final en un mes.
- La responsabilidad de la dirección, que debe aprobar las medidas, supervisarlas y también formarse en gestión de riesgos.
Situación en España
La ley que transpone la NIS2 sigue pendiente, y la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE. Mientras tanto, se aplica el marco de la primera NIS (Real Decreto-ley 12/2018) a los operadores de servicios esenciales. Por otro lado, la protección física de las infraestructuras críticas tiene su propio régimen. Además, la Directiva (UE) 2022/2557 sobre la resiliencia de las entidades críticas (CER) lo actualiza.
Continuidad de las operaciones
En energía y en el resto de servicios esenciales, la NIS2 pide algo más que seguridad: que el servicio siga funcionando. Para ello, ISO 22301 da el método (análisis de impacto, estrategias, planes y pruebas). A su vez, ISO 27001 aporta la base de controles, y ambas sirven de evidencia para la NIS2.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo te ayuda Atalaya GRC con la NIS2 en energía
- Las medidas del artículo 21 con su responsable, su estado y también sus evidencias.
- El reloj de notificación de 24 horas, 72 horas y un mes, con borradores que recogen los campos de cada autoridad.
- La evaluación de los proveedores críticos de la cadena de suministro.
- Además, el análisis de impacto y los planes de continuidad conectados con los riesgos.
FAQ
Preguntas frecuentes
¿Me afecta la NIS2 si soy una pyme energética?
Si tienes menos de 50 empleados y menos de 10 millones de facturación, por lo general no, salvo que prestes un servicio crítico o la autoridad te designe. Aun así, tus clientes obligados te exigirán medidas por contrato.
¿Qué diferencia hay entre la NIS2 y la Directiva CER?
La NIS2 se centra en la ciberseguridad; la Directiva CER, en la resiliencia física de las entidades críticas. De hecho, muchas empresas energéticas están afectadas por ambas.
¿Ya se puede sancionar por la NIS2 en España?
No hasta que se publique la ley de transposición, pero sus exigencias ya llegan por contrato y no se espera un periodo transitorio largo cuando se apruebe.
Otros sectores: Banca y fintechAseguradorasProveedores de la AdministraciónFabricantes de producto conectado
¿Lo vemos con tus propios servicios?
Te enseñamos la plataforma con un caso real de tu sector. Así lo ves sin compromiso y sin guion comercial.
