Consultoría NIS2: adécuate a la directiva europea de ciberseguridad

La Directiva NIS2 alcanza a miles de empresas en España y su ley de transposición está en camino, con multas de hasta el 2% de la facturación anual mundial o 10 millones de euros. ¿Sabes si tu empresa entra en el ámbito de aplicación y qué debes hacer?

Dimensiona tu proyecto · Evaluar mi adecuación a NIS2

¿Prefieres hablarlo? Llámanos al +34 960 730 013

¿Tu empresa está obligada por NIS2?

NIS2 amplía enormemente el ámbito de aplicación respecto a NIS1. Ya no afecta solo a infraestructuras críticas clásicas. Ahora incluye sectores como manufactura, alimentación, distribución, servicios digitales, proveedores de cloud, gestión de residuos y muchos más. Si tu empresa opera en uno de los 18 sectores regulados y supera ciertos umbrales de tamaño, probablemente estás obligada. Y si eres proveedor de una empresa obligada, la presión también llega a ti a través de la cadena de suministro.

En qué consiste nuestra consultoría NIS2

Análisis de aplicabilidad: determinamos si tu empresa entra en el ámbito de NIS2 y en qué categoría (esencial o importante)
Gap analysis técnico: comparamos tu postura actual de seguridad con los requisitos del artículo 21 de NIS2
Gap analysis organizativo: políticas, procedimientos, gestión de incidentes, cadena de suministro
Plan de adecuación priorizado: qué hacer, en qué orden y con qué recursos
Documentación: políticas de seguridad, registro de activos, procedimientos de notificación de incidentes
Apoyo en el proceso de notificación ante el organismo supervisor correspondiente

Proceso de adaptación a NIS2, paso a paso

Análisis de aplicabilidad: Determinamos si tu empresa entra en ámbito, en qué sector y bajo qué categoría (esencial o importante). Es el primer paso de cualquier adaptación a NIS2: sin él se acaba implementando de más o de menos.
Gap analysis completo: Evaluamos tu situación actual frente a los 10 requisitos de medidas de seguridad del artículo 21.
Informe de brechas: Documento con cada brecha identificada, su riesgo y su impacto en caso de incumplimiento.
Plan de acción: Hoja de ruta con tareas, responsables, plazos y estimación de recursos para cada medida pendiente.
Implementación y documentación: Apoyamos la implementación de las medidas técnicas y redactamos la documentación obligatoria.

Entregables

Informe de análisis de aplicabilidad con justificación jurídica
Gap analysis técnico y organizativo frente al artículo 21 de NIS2
Plan de adecuación priorizado con cronograma y recursos
Documentación: política de seguridad, gestión de incidentes, análisis de riesgos
Soporte en el proceso de notificación ante INCIBE/CCN u organismo supervisor

¿Quién está obligado?

Empresas medianas y grandes en los 18 sectores regulados por NIS2
Administraciones públicas y entidades del sector público
Proveedores de servicios digitales: cloud, CDN, DNS, data centers
Empresas de manufactura, energía, transporte, salud y agua
Cadena de suministro de entidades esenciales

Preguntas frecuentes sobre NIS2

¿NIS2 ya está en vigor en España?

La directiva debía transponerse antes del 17 de octubre de 2024 y España no lo hizo: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025, pero a octubre de 2026 no se ha publicado en el BOE, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026. Mientras tanto no hay un régimen sancionador NIS2 aplicable a empresas y sigue vigente el Real Decreto-ley 12/2018. Las obligaciones llegarán con la ley y la adecuación lleva meses, por eso conviene empezar antes de su publicación.

¿Cuáles son las sanciones por incumplimiento de NIS2?

Para entidades esenciales: hasta 10 millones de euros o el 2% de la facturación anual mundial, la cifra que sea mayor. Para entidades importantes: hasta 7 millones de euros o el 1,4% de la facturación global.

¿En qué se diferencia NIS2 de la anterior directiva NIS1?

NIS2 amplía el ámbito sectorial, aumenta las obligaciones de reporting (notificación en 24/72 horas), eleva las sanciones, incluye responsabilidad personal para los órganos de dirección y añade requisitos sobre la cadena de suministro.

¿Tenemos que hacer un pentesting para cumplir con NIS2?

NIS2 exige evaluar los riesgos de seguridad y aplicar medidas técnicas apropiadas. El pentesting es una de las formas más sólidas de cumplir con esa obligación de forma documentada y verificable.

¿Cuánto tiempo lleva adecuarse a NIS2?

Depende de tu punto de partida. Empresas con una base de seguridad sólida pueden completar el proceso en 3-6 meses. Organizaciones que parten desde cero pueden necesitar 12-18 meses para una adecuación completa.

¿Qué plazos maneja la adaptación a NIS2 en España?

Hoy el calendario no lo fija una fecha de la ley española, que aún no se ha publicado, sino dos cosas: tu punto de partida y tus clientes, que si son entidades reguladas ya están trasladando requisitos por contrato. Recomendamos cerrar el análisis de aplicabilidad y el gap analysis en 4-6 semanas, para tener un plan con plazos defendibles el día que la ley entre en vigor, aunque la implementación se extienda después varios meses.

¿Qué diferencia hay entre estar en ámbito como entidad esencial o importante?

Los requisitos de seguridad del artículo 21 son los mismos para ambas. Lo que cambia es la supervisión y el régimen sancionador: las entidades esenciales están sujetas a supervisión proactiva y a multas de hasta 10 M€ o el 2% de la facturación global; las importantes, a supervisión reactiva — tras un incidente o una denuncia — y hasta 7 M€ o el 1,4%. Determinar la categoría correcta es parte del análisis de aplicabilidad.

Recursos relacionados

Fuentes

¿Listo para proteger tu empresa?

Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.

Dimensiona tu proyecto · Evaluar mi adecuación a NIS2