Cómo adaptar tu empresa a la Directiva NIS2: guía práctica

Por Kike Gandia · Co-Fundador y CEO, OSCP

La Directiva NIS2 (Directiva (UE) 2022/2555) obliga a las empresas medianas y grandes de 18 sectores a gestionar su riesgo de ciberseguridad con medidas técnicas y organizativas, y a notificar sus incidentes significativos en plazos tasados. Los Estados miembros debían aplicarla desde el 18 de octubre de 2024, pero España todavía no ha publicado su ley de transposición, y eso genera una duda razonable sobre si hay que moverse ya. Esta guía responde en orden a las preguntas que conviene hacerse: si te aplica, en qué estado está la norma en España, cómo organizar la adecuación paso a paso y qué exige exactamente.

Primer paso: ¿te aplica NIS2?

NIS2 se aplica a las entidades públicas y privadas de los sectores de sus anexos que sean, como mínimo, medianas empresas según la Recomendación 2003/361/CE. Son tres comprobaciones, en este orden:

Pregunta	Dónde mirarlo	Si la respuesta es sí
¿Operas en un sector del anexo I o del anexo II?	Anexo I: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio. Anexo II: servicios postales y de mensajería, gestión de residuos, química, alimentación, fabricación (productos sanitarios, electrónica, equipos eléctricos, maquinaria, vehículos), proveedores de servicios digitales e investigación	Pasa a la siguiente pregunta
¿Eres al menos mediana empresa?	50 trabajadores o más, o un volumen de negocios anual y un balance que superen los 10 millones de euros	Estás dentro del ámbito
¿Encajas en un supuesto que no depende del tamaño?	Proveedores de redes o servicios de comunicaciones electrónicas públicas, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel, proveedores de DNS, único proveedor de un servicio esencial en un Estado miembro y entidades designadas como críticas	Estás dentro aunque seas pequeña empresa

Dentro del ámbito, la directiva te clasifica como entidad esencial o importante. La clasificación no cambia qué medidas aplicar, pero sí cómo te supervisan y el tope de las sanciones; lo detallamos más abajo.

Estado de NIS2 en España (octubre de 2026)

España no transpuso la directiva en el plazo europeo, que vencía el 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crearía el Centro Nacional de Ciberseguridad como autoridad nacional, pero a fecha de esta actualización la ley no se ha publicado en el BOE. La Comisión Europea envió a España una carta de emplazamiento en noviembre de 2024 y un dictamen motivado en mayo de 2025, y el 8 de julio de 2026 la llevó ante el Tribunal de Justicia de la UE pidiendo una multa a tanto alzado y multas diarias hasta que complete la transposición.

Qué significa para una empresa:

Hoy no hay un régimen sancionador NIS2 aplicable a empresas en España. Una directiva no impone obligaciones directas a una empresa privada hasta que se transpone. Sigue vigente el marco anterior, el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, para quien ya estaba en su ámbito.
Las obligaciones llegarán con la ley, y lo previsible es que reproduzcan de cerca el texto de la directiva, porque el margen de un Estado al transponer es limitado.
El calendario real puede marcarlo tu cliente. Si eres proveedor de una entidad regulada, en España o en otro Estado miembro que ya haya transpuesto, los requisitos te llegarán por contrato antes que por ley.

Adecuarse ahora no responde a una multa inminente, sino a no tener que hacer contrarreloj, con la ley ya publicada, un trabajo que en una organización mediana no se resuelve en unas semanas.

Hoja de ruta: cómo adaptar tu empresa a NIS2 en seis pasos

Este es el orden que evita el error más común, que es empezar redactando políticas antes de saber qué hay que proteger:

Paso	Qué se hace	Entregable
1. Confirmar si te aplica	Sector, tamaño y supuestos especiales de cada sociedad del grupo	Informe de aplicabilidad y clasificación como entidad esencial o importante
2. Delimitar el alcance	Servicios, sistemas y proveedores que sostienen la actividad regulada	Inventario de activos y de proveedores críticos
3. Gap analysis	Contraste de la situación actual con las diez medidas del artículo 21 y con las obligaciones de notificación	Mapa de brechas priorizado por riesgo
4. Plan de adecuación	Acciones, responsables, coste y orden de ejecución	Plan aprobado formalmente por el órgano de dirección
5. Implantar y probar	Despliegue de controles y verificación técnica de que funcionan: pentesting, revisión de MFA, simulacro de incidente	Evidencias técnicas y simulacro documentado
6. Mantener	Revisión periódica de riesgos, proveedores y formación, y ajuste cuando se publique la ley española	Calendario de revisiones y registro de evidencias

El paso que más empresas se saltan es el quinto. Un plan aprobado con controles que nadie ha puesto a prueba no resiste ni un incidente real ni una inspección, y la propia directiva pide evaluar la eficacia de las medidas, no solo tenerlas.

Las diez medidas del artículo 21

El artículo 21.2 enumera las medidas mínimas de gestión de riesgos. Conviene leerlas como capacidades que tienes que poder demostrar, no como diez documentos que redactar:

Letra	Medida	Evidencia que lo demuestra
a)	Políticas de análisis de riesgos y de seguridad de los sistemas de información	Análisis de riesgos vigente y aprobado por la dirección
b)	Gestión de incidentes	Procedimiento de respuesta y registro de incidentes
c)	Continuidad de las actividades: copias de seguridad, recuperación ante desastres y gestión de crisis	Plan de continuidad y pruebas de restauración documentadas
d)	Seguridad de la cadena de suministro	Inventario de proveedores críticos y cláusulas de seguridad en los contratos
e)	Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades	Proceso de parcheo y canal para recibir reportes de vulnerabilidades
f)	Políticas y procedimientos para evaluar la eficacia de las medidas	Auditorías, pentesting y revisiones periódicas con sus resultados
g)	Prácticas básicas de ciberhigiene y formación	Plan de formación y registros de asistencia, incluida la dirección
h)	Criptografía y, en su caso, cifrado	Política criptográfica aplicada
i)	Seguridad de los recursos humanos, control de acceso y gestión de activos	Inventario de activos y revisión periódica de permisos
j)	Autenticación multifactor o continua, y comunicaciones seguras de voz, vídeo, texto y de emergencia	MFA desplegado en los accesos críticos

La letra f) es la que más se pasa por alto y la que conecta directamente con las pruebas técnicas: la directiva no se conforma con que los controles existan, pide comprobar que funcionan. Un pentesting o una auditoría técnica periódica es la forma más directa de generar esa evidencia.

Notificación de incidentes: los plazos que no puedes ignorar

El artículo 23 fija tres entregas ante el CSIRT o la autoridad competente cuando un incidente es significativo:

Plazo	Entrega	Contenido mínimo
24 horas desde que se tiene conocimiento	Alerta temprana	Si se sospecha de una acción ilícita o malintencionada y si puede tener efectos transfronterizos
72 horas desde que se tiene conocimiento	Notificación del incidente	Actualización de la alerta, evaluación inicial de gravedad e impacto e indicadores de compromiso, si los hay
Un mes desde la notificación	Informe final	Descripción detallada, tipo de amenaza o causa raíz, medidas de mitigación aplicadas y efectos transfronterizos

La autoridad puede pedir además informes intermedios, y si el incidente sigue abierto al cumplirse el mes, se entrega un informe de situación y el final llega un mes después de cerrarlo. Lo que hace fallar estos plazos casi nunca es la redacción del aviso: es no saber a tiempo que el incidente es significativo. Por eso el procedimiento tiene que definir de antemano quién decide la significatividad y con qué criterios.

Responsabilidad de los órganos de dirección

El artículo 20 obliga a los órganos de dirección a aprobar las medidas de gestión de riesgos del artículo 21, a supervisar su aplicación y a formarse ellos mismos en ciberseguridad, y prevé que puedan responder por su incumplimiento. Esto alcanza a los consejos de administración, a los comités de dirección y a cualquier persona con funciones directivas. En la práctica, el plan de adecuación necesita una aprobación formal y revisiones documentadas: un responsable técnico que lo empuje no basta.

Entidad esencial o importante: qué cambia en la práctica

La clasificación no cambia lo que hay que hacer —las medidas del artículo 21 son las mismas para todos— pero sí cambia cómo os van a supervisar y cuánto os puede costar no cumplir.

Aspecto	Entidad esencial	Entidad importante
Medidas del artículo 21	Las mismas	Las mismas
Supervisión	Proactiva: la autoridad puede inspeccionar sin indicio previo de incumplimiento	Reactiva: actúa cuando hay indicios o tras un incidente
Tope de la sanción administrativa (artículo 34)	El mayor entre 10 millones de euros y el 2 % de la facturación anual mundial	El mayor entre 7 millones de euros y el 1,4 % de la facturación anual mundial
Registro ante la autoridad competente	Obligatorio	Obligatorio
Plazos de notificación de incidentes	Los mismos	Los mismos

La consecuencia práctica es que una entidad esencial tiene que poder demostrar el cumplimiento en cualquier momento, no solo cuando algo sale mal. Eso convierte la evidencia documental —informes de auditoría, registros de formación, actas de revisión de riesgos— en parte del propio cumplimiento, no en un extra.

La cadena de suministro: el requisito que más trabajo genera

De los diez requisitos del artículo 21, el de seguridad de la cadena de suministro es el que más organizaciones subestiman, porque no depende solo de vosotros. La directiva os hace responsables de gestionar el riesgo que introducen vuestros proveedores directos y vuestros proveedores de servicios TIC.

En la práctica eso se traduce en cuatro trabajos: inventariar qué proveedores tienen acceso a vuestros sistemas o tratan información relevante y clasificarlos por criticidad; trasladar a los contratos las obligaciones de seguridad, incluida la de notificaros los incidentes que os afecten y en qué plazo; establecer un mecanismo de verificación proporcionado al riesgo, que puede ir desde un cuestionario hasta el derecho a auditar; y dejar constancia de todo ello, porque un proveedor gestionado sin evidencia no sirve ante un supervisor.

El efecto secundario interesante es que esto desciende por la cadena: si sois proveedores de una entidad esencial, las obligaciones os llegarán por vía contractual aunque vuestra empresa no esté en ninguno de los dieciocho sectores.

FAQ

¿NIS2 ya es obligatoria en España aunque no se haya transpuesto la directiva?

Para una empresa privada, todavía no: una directiva necesita una ley nacional que la transponga para imponer obligaciones y sanciones a particulares, y a fecha de esta actualización la Ley de Coordinación y Gobernanza de la Ciberseguridad no se ha publicado en el BOE. Lo que sí está vigente es el marco anterior (Real Decreto-ley 12/2018) para quien ya estaba en su ámbito. La ley española llegará, con toda probabilidad muy pegada al texto de la directiva, y la adecuación completa no se improvisa en unas semanas; por eso conviene empezar antes.

¿Las PYMEs están obligadas por NIS2?

Como regla general, no: el ámbito empieza en la mediana empresa, es decir, 50 trabajadores o más, o un volumen de negocios anual y un balance por encima de 10 millones de euros. Hay excepciones que no dependen del tamaño, como los proveedores de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los proveedores de DNS, los registros de dominios de primer nivel o el único proveedor de un servicio esencial. Y una pyme que no esté obligada puede recibir igualmente los requisitos por contrato si trabaja para una entidad que sí lo está.

¿Por dónde empieza un gap analysis y qué entrega?

Empieza por delimitar el alcance: qué entidades del grupo, qué sistemas y qué servicios entran. A partir de ahí se contrasta la situación actual contra cada uno de los diez requisitos del artículo 21 y contra las obligaciones de notificación y registro. El entregable útil no es una lista de incumplimientos, sino un plan priorizado: qué falta, qué riesgo supone cada hueco, qué esfuerzo cuesta cerrarlo y en qué orden conviene hacerlo.

Ya tenemos ISO 27001 o estamos certificados en el ENS. ¿Nos vale?

Os adelanta bastante camino, pero no os exime. Un sistema de gestión ya implantado cubre buena parte de la gestión de riesgos, el control de acceso, la continuidad y la formación, y sobre todo os da la cultura documental que NIS2 exige. Lo que suele quedar fuera es el encaje con los plazos concretos de notificación de incidentes, el registro ante la autoridad competente y la profundidad que la directiva pide en cadena de suministro y gestión de vulnerabilidades.

¿Quién responde dentro de la empresa?

El órgano de dirección. Esa es una de las novedades de la directiva: la aprobación de las medidas de gestión de riesgos, su supervisión y la formación de los propios directivos son obligaciones del órgano de administración, y su incumplimiento puede acarrear responsabilidad personal. En la práctica significa que el plan de adecuación necesita aprobación formal y revisión periódica documentada, no solo un responsable técnico que lo empuje.

No estamos en ninguno de los sectores regulados, pero somos proveedores de una empresa que sí. ¿Nos afecta?

No de forma directa por la directiva, pero sí en la práctica. Vuestro cliente está obligado a gestionar el riesgo de su cadena de suministro, así que os va a trasladar requisitos por contrato: medidas de seguridad concretas, obligación de notificar incidentes en plazos determinados y, con frecuencia, evidencia técnica de que lo que decís está realmente implantado. Anticiparse a esa conversación suele salir más barato que responder a un cuestionario contrarreloj.