NIS2: qué exige y cómo cumplir sin perderte
La NIS2 es la directiva europea de ciberseguridad que obliga a muchas más empresas que su predecesora. Si operas en uno de sus 18 sectores y tienes 50 o más empleados o facturas más de 10 millones de euros, te aplica. En España la ley que la transpone sigue pendiente y la Comisión Europea ya ha llevado el retraso ante el TJUE; mientras tanto, sus exigencias te llegan por contrato y por los pliegos públicos. Atalaya GRC te ayuda a cumplirla servicio por servicio y a llegar a tiempo.
Sin compromiso. Te enseño la plataforma con un caso real.
- Referencia
- Dir. (UE) 2022/2555
- Aplica desde
- 18 oct 2024 (UE) · España: ley pendiente
- A quién
- 18 sectores esenciales e importantes
- Si no cumples
- Máximo de al menos 10 M€ o 2 % (esenciales) y 7 M€ o 1,4 % (importantes)
¿Qué es la NIS2?
La Directiva (UE) 2022/2555, en vigor desde enero de 2023, sustituye a la antigua NIS y eleva el listón de ciberseguridad para el conjunto de la economía europea. Amplía los sectores obligados, endurece las sanciones e introduce la responsabilidad personal de la dirección.
¿A quién afecta la NIS2 en España?
Se aplica a las entidades de los 18 sectores de los Anexos I y II —energía, transporte, banca, infraestructuras de mercados financieros, salud, agua, infraestructura digital, administración pública, espacio, servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales e investigación— que sean medianas o grandes: 50 o más empleados, o más de 10 M€ de facturación.
Hay un matiz que sorprende: el tamaño no siempre te salva. Una pyme puede quedar obligada si presta un servicio crítico o único, si la autoridad la designa, o por efecto de la cadena de suministro (un cliente obligado te exigirá medidas por contrato). Las entidades se clasifican como esenciales o importantes, con obligaciones equivalentes y distinto régimen de supervisión. Por eso conviene comprobar cuanto antes si la NIS2 te afecta y en qué categoría.
¿Qué te exige la NIS2?
Tres bloques que tienes que cubrir:
Medidas de gestión de riesgos (art. 21)
Políticas de seguridad, control de accesos y MFA, copias y continuidad, gestión de incidentes, cifrado, formación y seguridad de la cadena de suministro: verificar a tus proveedores, no solo exigirles una cláusula firmada.
Notificación en plazos estrictos
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes desde la detección del incidente.
Responsabilidad de la dirección
Los órganos de dirección deben aprobar y supervisar las medidas, formarse en gestión de riesgos, y responden personalmente de su incumplimiento.
¿Qué pasa si no cumples la NIS2?
El régimen sancionador deja de ser nominal. La directiva obliga a fijar multas máximas de al menos 10 millones de euros o el 2 % de la facturación anual mundial para las entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes, lo que sea mayor. Además, la dirección puede ser sancionada personalmente e incluso inhabilitada temporalmente por incumplimientos graves. Y un riesgo poco conocido: si el incidente implica también una brecha de datos personales, puedes enfrentarte a dos procedimientos paralelos —uno por NIS2 y otro por RGPD ante la AEPD—.
Situación en España: ley pendiente y el Estado ante el TJUE
España no transpuso la NIS2 en plazo (17 de octubre de 2024). El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 con tramitación urgente, pero a octubre de 2026 sigue sin publicarse en el BOE y, tras la disolución de las Cortes por el Real Decreto 806/2026 (elecciones el 29 de noviembre), no se aprobará en 2026. El 8 de julio de 2026 la Comisión Europea llevó a España —junto a Irlanda, Francia y Países Bajos— ante el Tribunal de Justicia de la UE y pidió una cantidad a tanto alzado más una multa diaria hasta que se notifique la transposición (expediente INFR(2024)0270).
Mientras tanto sigue vigente el marco de la primera NIS (Real Decreto-ley 12/2018 y Real Decreto 43/2021). Como una directiva sin transponer no crea obligaciones directas a las empresas privadas, hoy nadie puede sancionarte por NIS2 en España. Pero eso no significa que puedas esperar: la NIS2 ya te llega por contrato (tus clientes de países que sí la han transpuesto te trasladan sus exigencias de cadena de suministro), por los pliegos públicos y el ENS, y, si prestas servicios digitales (cloud, DNS, CDN, servicios gestionados, marketplaces…), por el Reglamento de Ejecución (UE) 2024/2690, directamente aplicable sin pasar por el BOE.
Esperar a la ley no te protege. Lo que exige —las medidas del artículo 21, la notificación en 24/72 horas y la responsabilidad de la dirección— ya está fijado en la directiva y la ley española no puede rebajarlo; y cuando se publique, no se espera un periodo transitorio largo. Quien empiece el día de la publicación llegará tarde. Revisado en septiembre de 2026.
Atalaya GRC
Cómo te ayuda Atalaya GRC con la NIS2
Atalaya GRC convierte la NIS2 de un caos de hojas de cálculo en algo que controlas:
- Cumplimiento servicio por servicio: sabes qué cumple cada servicio y qué le falta, no una media difusa de toda la empresa.
- Las medidas del artículo 21, centralizadas, con sus evidencias y trazabilidad para auditoría.
- El reloj regulatorio vigila los plazos de notificación (24h/72h) y las revisiones, y te avisa con antelación.
- Un control, varias normas: reutiliza lo que ya tienes de ISO 27001 o ENS y evita duplicar el trabajo.
¿Quieres verlo con tus propios servicios?
Solicitar demoFAQ
Preguntas frecuentes
¿Me afecta la NIS2?
Si estás en uno de los 18 sectores y tienes 50+ empleados o más de 10 M€ de facturación, sí. Y puedes estarlo aun siendo pyme si prestas un servicio crítico o te lo exige un cliente por su cadena de suministro.
¿Qué sanciones tiene la NIS2?
Multas máximas de al menos 10 millones de euros o el 2 % de la facturación anual mundial (esenciales) y de al menos 7 millones o el 1,4 % (importantes), lo que sea mayor, además de la posible responsabilidad personal e inhabilitación de la dirección.
¿Qué plazos de notificación exige?
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
¿Está ya en vigor en España?
Todavía no como ley nacional: la Ley de Coordinación y Gobernanza de la Ciberseguridad no llegó a aprobarse antes de la disolución de las Cortes (Real Decreto 806/2026, elecciones el 29 de noviembre de 2026) y la Comisión Europea ha llevado a España ante el TJUE (julio de 2026) por el retraso. Sigue vigente el marco NIS1 (RD-ley 12/2018) y las exigencias de NIS2 ya llegan por contrato, por los pliegos públicos y, para proveedores digitales, por el Reglamento de Ejecución 2024/2690.
¿ISO 27001 me ayuda con la NIS2?
Mucho: cubre buena parte del artículo 21, aunque hay que completar la notificación de incidentes, la responsabilidad de la dirección y la cadena de suministro.
