Cumplimiento y ciberseguridad en España para empresas extranjeras: NIS2, ENS, DORA y RGPD

Las políticas de seguridad de tu grupo no se trasladan solas a la normativa española. Si tienes una filial, una sucursal o contratos con el sector público en España, te ayudamos a saber qué marcos te aplican, ante qué autoridad respondes y qué tienes que poder demostrar en español, con un único equipo que trabaja en inglés y en español.

Cumplir la política del grupo no es lo mismo que cumplir en España

Un grupo internacional suele llegar a España con su propio marco de seguridad: un SGSI corporativo, las políticas de la matriz, un SOC global. Ese marco cubre mucho, pero no responde a tres preguntas locales. La primera, qué normas aplican a la entidad española: como regla general, la Directiva NIS2 se aplica en el Estado miembro donde la entidad está establecida, así que la filial española quedará sujeta a la ley española de transposición. A octubre de 2026 esa ley sigue sin publicarse en el BOE (la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026) y mientras tanto rige el Real Decreto-ley 12/2018. Si vendes tecnología al sector público, el Esquema Nacional de Seguridad (Real Decreto 311/2022) se extiende a tus sistemas y, en categoría MEDIA o ALTA, exige una auditoría de certificación. Si eres una entidad financiera, DORA se aplica directamente desde el 17 de enero de 2025. La segunda, ante quién respondes: INCIBE-CERT y CCN-CERT como equipos de respuesta de referencia para el sector privado y el público, la AEPD en protección de datos, y el Banco de España, la CNMV o la DGSFP en el sector financiero. La tercera, en qué idioma: los procedimientos ante la Administración General del Estado se tramitan en castellano, y en castellano están los pliegos y buena parte de lo que piden auditores y clientes públicos. El riesgo no suele ser la falta de controles, sino el hueco entre lo que el grupo ya tiene y lo que la entidad española debe poder demostrar, ante quien corresponde y en el idioma que corresponde.

Qué cubre el servicio

Mapa de aplicabilidad de la entidad española: NIS2 (transposición española), ENS, DORA, RGPD/LOPDGDD y, si fabricas producto digital, Cyber Resilience Act
Autoridad competente y equipo de respuesta de referencia en cada marco, y canales de notificación de incidentes en España
Gap analysis entre las políticas y controles del grupo y cada norma española, para reutilizar lo que ya existe en lugar de duplicarlo
Preparación de la certificación ENS ante una entidad de certificación acreditada cuando vendes al sector público español
Revisión RGPD/LOPDGDD de la entidad española: tratamientos locales, encargados y transferencias de datos dentro del grupo
Pentesting de los sistemas de la entidad española como evidencia técnica de las medidas de gestión del riesgo
Documentación en español para pliegos, auditores y autoridades, con versión en inglés para la matriz

Cómo trabajamos

Reunión de alcance, en inglés o en español: Entendemos la estructura: qué entidad opera en España, qué servicios presta, a quién vende y qué sistemas comparte con el grupo.
Mapa de aplicabilidad: Determinamos qué marcos aplican a la entidad española, quién es la autoridad competente en cada uno y qué obligaciones están en vigor o pendientes de la ley NIS2 española.
Gap analysis frente a las políticas del grupo: Contrastamos los controles corporativos con cada requisito español y marcamos qué se reutiliza, qué se adapta y qué falta.
Pruebas técnicas: Pentesting de los sistemas en alcance para aportar evidencia real de las medidas, no solo documental.
Plan de acción y documentación bilingüe: Plan priorizado con responsables locales y del grupo, y documentación en español para auditores, pliegos y autoridades, con resumen en inglés para la matriz.
Acompañamiento: Apoyo durante la auditoría de certificación ENS, las revisiones de clientes públicos y los requerimientos de las autoridades.

Qué recibes

Mapa de aplicabilidad normativa de la entidad española, con la autoridad competente y las obligaciones de cada marco
Informe de gap analysis grupo vs. España, con los controles corporativos reutilizables identificados
Informe de pentesting con hallazgos priorizados por riesgo y retest de las correcciones
Plan de acción priorizado, con responsables en la filial y en el grupo
Documentación en español lista para pliegos, auditores y autoridades, con resumen ejecutivo en inglés
Un único interlocutor para todos los marcos, en inglés y en español

¿Para quién es este servicio?

Grupos internacionales que abren o adquieren una filial en España y necesitan saber qué normativa local les aplica
Proveedores tecnológicos extranjeros que quieren vender al sector público español y encuentran el ENS como requisito en los pliegos
Entidades financieras con presencia en España que necesitan encajar DORA con la supervisión española y con los servicios TIC del grupo
Empresas cuyo equipo de seguridad está fuera de España y necesitan un proveedor local que trabaje en inglés
Filiales españolas que deben responder a cuestionarios de seguridad de clientes españoles con documentación en castellano
Grupos que prefieren un solo proveedor para NIS2, ENS, RGPD y pentesting en lugar de uno por marco

Preguntas frecuentes

¿Nos aplica la NIS2 española si el grupo ya cumple NIS2 en otro país de la UE?

Como regla general, sí: la NIS2 se aplica en el Estado miembro donde la entidad está establecida, así que una filial española responde ante la normativa y las autoridades españolas aunque la matriz cumpla en otro país. Hay excepciones: los proveedores de DNS, cloud, centros de datos, redes de distribución de contenidos, servicios gestionados y servicios de seguridad gestionados, y ciertas plataformas digitales, quedan bajo el Estado miembro de su establecimiento principal en la UE. Lo analizamos caso por caso en el mapa de aplicabilidad.

¿En qué punto está la ley española que transpone NIS2?

El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero a octubre de 2026 no se ha publicado en el BOE, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026. Mientras tanto sigue vigente el Real Decreto-ley 12/2018. El detalle de obligaciones y sanciones está en nuestra página de consultoría NIS2.

¿Necesitamos la certificación ENS si solo somos proveedores de una administración española?

Si prestas servicios o soluciones a una entidad del sector público español, el Real Decreto 311/2022 se extiende a tus sistemas y los pliegos suelen exigir la conformidad. En categoría MEDIA o ALTA se acredita con una auditoría de certificación realizada por una entidad de certificación acreditada (en España, por ENAC); en categoría BÁSICA basta una autoevaluación. Una certificación ISO 27001 del grupo ayuda, pero no sustituye al ENS.

¿Nuestra autoridad de protección de datos es la AEPD o la del país de la matriz?

Depende de dónde esté el establecimiento principal del grupo en la UE. Si está en otro Estado miembro, la autoridad de ese país puede actuar como autoridad principal para los tratamientos transfronterizos (ventanilla única del RGPD), pero la AEPD sigue siendo competente en los asuntos locales y la LOPDGDD añade requisitos propios de España. Si el grupo no tiene establecimiento principal en la UE, no hay ventanilla única y la filial española trata directamente con la AEPD.

¿Cómo encaja DORA si los servicios TIC nos los presta la matriz?

DORA se aplica directamente a las entidades financieras de la UE desde el 17 de enero de 2025, sin ley de transposición. Los servicios TIC que presta otra empresa del mismo grupo también entran en la gestión del riesgo de terceros proveedores TIC del reglamento, así que el centro de servicios del grupo debe figurar en el registro de información y en los contratos. En España la supervisión corresponde al Banco de España, la CNMV o la DGSFP según el tipo de entidad.

¿Trabajáis en inglés?

Sí. Las reuniones, los informes técnicos y los resúmenes ejecutivos pueden ser en inglés para el equipo de seguridad del grupo, y la documentación que se presenta en España (pliegos, auditores, autoridades) se entrega en español. Así el mismo trabajo sirve a la matriz y a la filial sin traducciones posteriores.

¿Podemos contratar solo una parte, por ejemplo el pentest o el ENS?

Sí. El servicio está pensado para que un solo proveedor cubra varios marcos, pero cada pieza se puede contratar por separado. Si ya sabéis que solo necesitáis el ENS o la NIS2, es más directo empezar por esas páginas o por la ficha de alcance del ENS.

Recursos relacionados

Fuentes

Hablar con el equipo