La pregunta llega casi siempre por el mismo camino. Un cliente grande manda un cuestionario de seguridad con una casilla que dice «indique si su organización está sujeta a la Directiva NIS2», y nadie en la empresa sabe qué responder. La respuesta correcta se saca en diez minutos, pero hay que hacer las preguntas en el orden adecuado.
La pregunta «¿me aplica NIS2?» se resuelve con cuatro comprobaciones encadenadas. Vamos con ellas en orden. Y antes, con una aclaración que cambia el sentido de casi todo lo que vas a leer en otros sitios.
Lo primero: en España la ley todavía no está publicada
El plazo para que los Estados miembros transpusieran NIS2 venció el 17 de octubre de 2024. España no lo cumplió. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, y ahí sigue: en tramitación. El 9 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no haber notificado la transposición, pidiendo una cantidad a tanto alzado y multas diarias hasta que se complete.
Traducción práctica, a fecha de publicación de este artículo: no hay aún una ley española de NIS2 en el BOE, no hay registro nacional de entidades abierto ni sanciones que se te puedan imponer por esta vía. Desconfía de cualquier web que dé por hecho que «ya está en vigor»: casi siempre confunde la aprobación del anteproyecto con la aprobación de la ley.
Ahora la otra cara. Que no haya ley no significa que no te afecte, por dos motivos: cuando se publique lo hará con plazos cortos, porque España ya va con dos años de retraso; y, sobre todo, la exigencia ya te está llegando por contrato desde clientes que sí están sujetos en otros países o que se están preparando. Eso lo vemos todas las semanas.
¿Me aplica NIS2? El test rápido, en cuatro preguntas
Pregunta 1: ¿está tu actividad en los anexos I o II?
NIS2 no se aplica por tamaño ni por facturación: primero se aplica por sector. Si tu actividad no aparece en estas dos listas de la Directiva (UE) 2022/2555, has terminado el test.
Anexo I, sectores de alta criticidad: energía; transporte; banca; infraestructuras de los mercados financieros; sector sanitario; agua potable; aguas residuales; infraestructura digital (puntos de intercambio de internet, DNS, registros de dominios, nube, centros de datos, redes de distribución de contenidos, servicios de confianza, redes y servicios de comunicaciones electrónicas); gestión de servicios TIC entre empresas; Administración pública; espacio.
Anexo II, otros sectores críticos: servicios postales y de mensajería; gestión de residuos; fabricación, producción y distribución de sustancias y mezclas químicas; producción, transformación y distribución de alimentos; fabricación de productos sanitarios, de productos informáticos, electrónicos y ópticos, de material eléctrico, de maquinaria, de vehículos de motor y de otro material de transporte; proveedores de servicios digitales (mercados en línea, motores de búsqueda, redes sociales); investigación.
Ojo con dos entradas que meten dentro a muchísimas empresas que no se dan por aludidas: gestión de servicios TIC entre empresas (proveedores gestionados de informática y de seguridad) y la larga lista de fabricación. Una fábrica de componentes eléctricos de 80 empleados está en el Anexo II aunque nunca se haya visto a sí misma como «infraestructura crítica».
Pregunta 2: ¿qué tamaño tienes?
Si estás en alguna de esas listas, ahora sí entra el tamaño. La Directiva se aplica, como regla general, a las entidades que son medianas empresas o mayores según la Recomendación 2003/361/CE. Los umbrales de esa norma:
- Microempresa: menos de 10 empleados y hasta 2 millones de euros de volumen de negocio o balance.
- Pequeña: menos de 50 empleados y hasta 10 millones.
- Mediana: menos de 250 empleados y hasta 50 millones de volumen de negocio o 43 de balance.
- Gran empresa: a partir de ahí.
Es decir: con menos de 50 empleados y menos de 10 millones, por regla general quedas fuera. A partir de 50 empleados, si estás en los anexos, entras. Y cuidado con el cálculo: la Recomendación obliga a sumar los datos de empresas asociadas y vinculadas, así que una filial pequeña de un grupo grande puede computar como grande.
Pregunta 3: ¿caes en alguna excepción por la que entras aunque seas pequeña?
El artículo 2, apartado 2, mete dentro a ciertas entidades independientemente de su tamaño. Textualmente, cuando:
- prestas servicios como proveedor de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público, prestador de servicios de confianza, registro de nombres de dominio de primer nivel o proveedor de servicios de DNS;
- eres el único proveedor en un Estado miembro de un servicio esencial para mantener actividades sociales o económicas críticas;
- una interrupción de tu servicio pudiera tener repercusiones significativas sobre la seguridad pública, el orden público o la salud pública;
- una interrupción pudiera inducir riesgos sistémicos significativos, en especial con efectos transfronterizos;
- eres crítica por tu importancia específica a nivel nacional o regional para ese sector o para otros sectores interdependientes;
- eres una entidad de la Administración pública.
La primera es la que sorprende a más gente: una empresa de doce personas que gestiona dominios o presta servicios de DNS está dentro por definición, sin importar lo que facture.
Pregunta 4: ¿entidad esencial o importante?
Si has llegado hasta aquí dentro del ámbito, falta saber en qué categoría. En resumen: son esenciales las entidades del Anexo I que superan los umbrales de mediana empresa (es decir, las grandes), los prestadores cualificados de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS sea cual sea su tamaño, los proveedores de comunicaciones electrónicas que sean medianas empresas, y la Administración pública central. El resto de entidades de los anexos I y II que están dentro del ámbito son importantes.
La diferencia no es honorífica. A las esenciales se las supervisa de forma proactiva, sin necesidad de que haya pasado nada; a las importantes, cuando hay indicios de incumplimiento. Y el tope de las multas también cambia.
Si te aplica: lo que la Directiva te va a exigir
Tres artículos concentran casi todo:
- Artículo 20, gobernanza. El órgano de dirección aprueba las medidas, supervisa su aplicación y responde del incumplimiento. Además tiene que formarse. Es el artículo que convierte la ciberseguridad en un asunto de consejo de administración y no del informático. Si no hay nadie que prepare esas decisiones, esa es justo la función de un CISO externo (vCISO).
- Artículo 21, medidas mínimas. Diez bloques: análisis de riesgos y política de seguridad; gestión de incidentes; continuidad de negocio y copias de seguridad; seguridad de la cadena de suministro; seguridad en la adquisición, desarrollo y mantenimiento, con gestión de vulnerabilidades; evaluación de la eficacia de las medidas; higiene básica y formación; criptografía; seguridad de los recursos humanos, control de accesos y gestión de activos; y autenticación multifactor y comunicaciones seguras.
- Artículo 23, notificación. Ante un incidente significativo: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final a más tardar un mes después de esa notificación. Cumplir el plazo de 24 horas exige detectar en menos de 24 horas, que es justo lo que discutimos en la guía sobre qué es un SOC 24/7.
Sanciones: las cifras exactas
El artículo 34 fija los topes que los Estados deben establecer para el incumplimiento de los artículos 21 y 23:
- Entidades esenciales: multas de un máximo de, al menos, 10 millones de euros o el 2 % del volumen de negocios anual total mundial de la empresa, «optandose por la de mayor cuantía».
- Entidades importantes: el mismo esquema con 7 millones de euros o el 1,4 %.
Y hay una consecuencia que suele preocupar más que el dinero: frente a entidades esenciales, las autoridades podrán llegar a suspender temporalmente certificaciones o autorizaciones e inhabilitar temporalmente a quien ejerza funciones de dirección mientras no se corrijan las deficiencias.
«No me aplica» no es lo mismo que «no me afecta»
Aquí es donde se equivocan casi todas las pymes que nos escriben. El artículo 21.2, letra d), obliga a las entidades sujetas a gestionar los riesgos de sus proveedores, incluida «la evaluación de la seguridad de las cadenas de suministro». Como esas entidades no pueden trasladarte la ley, te trasladan el contrato: cláusulas de seguridad, cuestionarios anuales, plazos de notificación de incidentes, derecho de auditoría.
INCIBE lo explica sin rodeos en su análisis de la cadena de suministro en NIS2: la seguridad de una entidad depende de la de cada eslabón de su cadena, y un ataque a una pyme proveedora puede provocar un efecto en cascada sobre empresas mucho más grandes. Es exactamente la dinámica que desarrollamos en el artículo sobre riesgo de proveedores.
Dicho de otro modo: si vendes a fabricantes, a hospitales, a energéticas, a logística o a la Administración, NIS2 va a llegarte igual. Solo que no en forma de ley, sino de requisito para seguir siendo proveedor.
Qué hacer esta semana, te aplique o no
- Documenta el resultado del test. Sector, tamaño, excepciones y conclusión, con fecha y firma. Cuando llegue el cuestionario del cliente, tendrás la respuesta lista y defendible.
- Contrasta con la fuente oficial. INCIBE-CERT tiene publicada una herramienta para comprobar si tu entidad está en el ámbito de NIS2.
- Revisa tus contratos con clientes grandes. Muchas cláusulas de seguridad ya firmadas incluyen obligaciones que nadie ha implantado.
- Empieza por las medidas que no dependen de la ley: copias de seguridad probadas, doble factor, gestión de parches, plan de incidentes con teléfonos y responsables. Están en nuestro checklist de 25 controles y no caducan con ningún cambio normativo.
- Si vas a certificarte igualmente, mira la certificación ISO 27001 o la adecuación al ENS: cubren buena parte de lo que pedirá NIS2 y son papel que el cliente ya reconoce hoy.
Preguntas frecuentes sobre a quién aplica NIS2
Tengo 30 empleados, ¿me aplica NIS2?
Por regla general no, aunque estés en un sector de los anexos, porque no llegas al umbral de mediana empresa. Salvo que caigas en alguna de las excepciones del artículo 2.2 (por ejemplo, proveedor de DNS o de servicios de confianza) o que formes parte de un grupo cuyas cifras consolidadas superen los umbrales.
¿Cuándo entra en vigor NIS2 en España?
La Directiva está en vigor desde enero de 2023 y debía estar transpuesta el 17 de octubre de 2024. La ley española sigue en tramitación y no se ha publicado en el BOE, con España ya ante el Tribunal de Justicia de la UE por el retraso. Cuando se publique, lo lógico es que los plazos de adaptación sean cortos.
¿Qué diferencia hay entre entidad esencial e importante?
Las obligaciones de fondo son las mismas. Cambian la supervisión (proactiva para las esenciales, reactiva para las importantes) y el tope de las multas: 10 millones o el 2 % del volumen de negocio mundial frente a 7 millones o el 1,4 %.
Si ya cumplo el ENS o tengo ISO 27001, ¿estoy cubierto?
Vas con mucho adelantado, no cubierto del todo. Ambos marcos cubren buena parte de las medidas del artículo 21, pero NIS2 añade elementos propios: la responsabilidad y formación del órgano de dirección y los plazos de notificación a la autoridad. Eso hay que montarlo aparte.
¿Y si mi cliente me exige cumplir NIS2 aunque no me aplique?
Puede hacerlo, y es legal: no te está aplicando la Directiva, te está poniendo una condición contractual. Lo razonable es negociar el alcance para que sea proporcional a tu tamaño y al servicio que prestas, en vez de firmar un anexo pensado para una multinacional.
¿Quién será la autoridad competente en España?
Lo definirá la ley cuando se apruebe. El anteproyecto reparte competencias entre varias autoridades sectoriales y refuerza el papel del CCN-CERT, INCIBE-CERT y el mando conjunto del ámbito de defensa como equipos de respuesta. Hasta que no esté publicado el texto definitivo, cualquier afirmación categórica sobre este punto es prematura.
El resumen honesto es este: si tienes menos de cincuenta empleados y no estás en las excepciones, la ley no va contigo. Tus clientes, probablemente sí. Y el trabajo que te van a pedir ellos es casi el mismo que pediría la norma, solo que con menos plazo y sin período de adaptación.
En CiberPYME hacemos el análisis de aplicabilidad y la hoja de ruta dentro de nuestro servicio de cumplimiento de la Directiva NIS2, encuadrado en la consultoría GRC, con el apoyo de la auditoría técnica y de la monitorización 24/7 que exigen los plazos de notificación. Cuéntanos tu caso y te decimos en una llamada si te aplica y qué tendrías que hacer.
