Directiva NIS2: cumplimiento para entidades esenciales, importantes y sus proveedores

Porque el gasto no te lo va a imponer la ley, te lo va a imponer tu cliente, y ese ya está preguntando. Es cierto que la transposición española sigue pendiente y que hoy no hay sanciones exigibles por esa vía; nosotros lo decimos abiertamente aunque nos quite argumento comercial. Pero las obligaciones de fondo vienen de la propia directiva desde 2022 y las entidades que sí están sujetas ya están trasladando requisitos a sus proveedores por contrato, porque el artículo 21.2.d les obliga a gestionar el riesgo de su cadena de suministro. A eso se añade un detalle práctico: cuando la ley se publique, lo previsible es que entre en vigor con poco periodo de adaptación, porque España ya acumula años de retraso y está ante el Tribunal de Justicia de la UE. Cada mes sin evidencia documentada es un mes menos de historial que enseñar cuando alguien lo pida sin previo aviso.

Probablemente la directiva no te aplique de forma directa, pero olvidarte sería un error por dos motivos. El primero es que el umbral de tamaño tiene excepciones: el artículo 2.2 mete dentro, sin importar cuánto factures, a proveedores de servicios de DNS, registros de dominios de primer nivel, prestadores cualificados de servicios de confianza, proveedores de redes públicas de comunicaciones y a quien sea el único proveedor de un servicio esencial en un Estado miembro. Empresas de diez personas entran por esa puerta todos los días. El segundo es que el cálculo de tamaño incluye empresas asociadas y vinculadas, así que una filial pequeña de un grupo grande puede computar como grande. Nuestro análisis de aplicabilidad cuesta poco y resuelve la duda con un documento firmado, que es lo que vas a necesitar el día que un cliente te pregunte por escrito.

No sin negociarlo, y no porque haya que escaquearse: porque firmar obligaciones que no puedes cumplir es peor que discutirlas. Estos anexos suelen venir con exigencias desproporcionadas para una pyme, como disponibilidad de un SOC propio, plazos de notificación de dos horas o derecho de auditoría presencial sin preaviso. Lo razonable es responder con una contrapropuesta técnica: qué medidas tienes implantadas y acreditadas, qué plazos puedes sostener de verdad y qué alternativas equivalentes ofreces para lo que no puedes asumir. En nuestra experiencia, la mayoría de los clientes grandes aceptan una propuesta razonada y documentada, porque lo que necesitan es poder demostrar a su vez que gestionan el riesgo de su cadena. Lo que no aceptan es silencio o una firma que luego no se sostiene.

Te cubre buena parte del camino, pero no es equivalente y conviene tenerlo claro antes de dar por hecho que estás cumpliendo. Las medidas del artículo 21 se solapan mucho con los controles de la ISO 27001, así que si tienes un SGSI vivo llegas con la mayor parte del trabajo técnico y organizativo hecho. Lo que NIS2 añade y la ISO no exige es la responsabilidad explícita del órgano de dirección con formación incluida, y sobre todo el régimen de notificación a la autoridad con plazos de 24 y 72 horas, que exige criterios de decisión, plantillas y una cadena de mando que la ISO no te pide montar. Nuestro trabajo en estos casos es de complemento, no de reconstrucción: aprovechamos el sistema existente y añadimos la capa que falta.

Es la pregunta correcta y la que más tarde se hace todo el mundo, normalmente durante el incidente. La directiva define el concepto de forma general (perturbación operativa grave o pérdidas financieras importantes, o afectación a terceros con daños considerables) y el Reglamento de Ejecución (UE) 2024/2690 lo concreta con umbrales para determinados tipos de entidad digital. Para el resto de sectores, el criterio fino llegará con la ley española y su desarrollo. Mientras tanto, lo sensato es no dejarlo abierto: fijamos por escrito tus propios umbrales de decisión en función del impacto sobre tu operativa, con la persona que decide identificada por nombre. Tener un criterio propio documentado y aplicado con coherencia es defendible; improvisarlo a las tres de la mañana con el reloj de las 24 horas corriendo, no.

Depende muchísimo del punto de partida, y la parte honesta de la respuesta es que el análisis de aplicabilidad se resuelve en días mientras que la adecuación completa se mide en meses. Para una organización que ya tiene ISO 27001 o ENS, añadir la capa específica de NIS2 (gobernanza, notificación, cadena de suministro y formación de la dirección) suele ser cuestión de unas semanas. Para una que parte de cero, el proyecto se parece bastante a implantar un sistema de gestión desde el principio, con lo que hablamos de varios meses y de trabajo real de tu equipo, no solo del nuestro. Por eso empezamos siempre por el diagnóstico frente al artículo 21: sin saber qué tienes cubierto, cualquier plazo que te den es inventado.

Si tu empresa está dentro del ámbito de NIS2, sí: la Directiva (artículo 20.2) exige formación a los miembros de los órganos de dirección, y tu madre y tu hermano lo son mientras se sienten en el consejo, aunque no trabajen en la empresa. Lo primero es comprobar si te aplica: en general, NIS2 afecta a empresas medianas o grandes de los sectores de sus anexos. A octubre de 2026 la ley española de transposición sigue en anteproyecto, pero tus clientes ya trasladan estos requisitos por contrato. Un webinar genérico grabado no te servirá como prueba. Lo que demuestra diligencia es una sesión adaptada a tu empresa: tus riesgos reales, qué deben aprobar y supervisar como consejeros y qué ocurre si hay un incidente, con hoja de asistencia, materiales y una breve evaluación. Dos horas bastan, y tu hermano puede conectarse en remoto. Mi recomendación: hazla coincidir con una reunión del consejo y que el acta recoja la formación y la aprobación de las medidas de ciberseguridad. Una sola sesión te resuelve la formación, la aprobación y la prueba, sin incomodar a nadie.

Sí, y es lo que te recomiendo: un único dossier de evidencias, ordenado según las diez medidas del artículo 21 de NIS2, del que sacas las respuestas para cualquier cuestionario. He diseñado cuestionarios de proveedores para grandes empresas y, cambie el formato, todos preguntan lo mismo: políticas aprobadas, análisis de riesgos, gestión y aviso de incidentes, copias de seguridad, doble factor, cifrado, formación, continuidad y cómo controlas a tus propios proveedores. El dossier tiene tres piezas: una tabla maestra con cada pregunta tipo, tu respuesta estándar y el documento que la respalda; una carpeta de evidencias fechadas (política firmada, captura de la configuración del doble factor, informe de la última prueba de restauración); y una ficha de una página con tu contacto de seguridad y tus compromisos de notificación. Con eso, el primer cuestionario te costará unos días y los siguientes, horas. Para el de siete días: responde lo que puedas con evidencia, marca lo que esté en curso con fecha de cierre y no inventes. Un «en implantación, previsto para marzo» se acepta mucho mejor que un «sí» que luego no puedes demostrar.

Es muy probable. La agencia italiana de ciberseguridad (ACN) obligó a las entidades sujetas a NIS2 a comunicarle, entre el 15 de abril y el 31 de mayo de 2026, la lista de sus proveedores relevantes, con su denominación, su código fiscal, el país de su sede y los códigos CPV de lo que suministran. Si tu cliente te pidió esos datos, seguramente figuras en ese listado. Que España no haya transpuesto todavía la Directiva no te protege: lo que te va a llegar son requisitos contractuales de seguridad de tu cliente italiano, que tiene sus propios plazos de cumplimiento. Prepárate para un cuestionario o un anexo de seguridad y ten listas las evidencias básicas: políticas, gestión de incidentes, copias, doble factor y control de tus propios proveedores.

No necesariamente. Para saber si una empresa es mediana o grande, NIS2 remite a la Recomendación europea sobre la definición de pyme (2003/361/CE), que suma los datos de las empresas vinculadas (participación de más del 50 %) y una parte proporcional de las asociadas (entre el 25 % y el 50 %). Cuatro sociedades de 20 empleados más la holding pueden superar entre todas los 50 efectivos y quedar dentro, todas a la vez, si su actividad está en los sectores de los anexos. La Directiva permite valorar la independencia de una filial en algunos casos, pero el criterio español aún no está fijado. Haz el cálculo de grupo con las cifras consolidadas antes de darte por excluido.

Puede que sí. NIS2 define al proveedor de servicios gestionados como quien presta servicios de instalación, gestión, explotación o mantenimiento de productos, redes, infraestructuras o aplicaciones TIC, con asistencia o administración activa, ya sea en las instalaciones del cliente o a distancia (artículo 6.39). El mantenimiento remoto de un software instalado en un hospital encaja bastante bien en esa definición, y los proveedores de servicios gestionados están en el Anexo I, el de sectores de alta criticidad. Si eres mediana o grande, podrías quedar dentro directamente; si eres pequeña, te llegará igualmente por la cadena de suministro del hospital. Revisa qué haces exactamente para el cliente y documenta el análisis.

Te toca la ley del país donde tienes ese establecimiento. NIS2 aplica, como regla general, la jurisdicción del Estado miembro en el que la entidad está establecida (artículo 26), y Portugal y Alemania ya la han transpuesto: Portugal con el Decreto-ley 125/2025, en vigor desde abril de 2026 y con un plazo para identificarse ante la autoridad, y Alemania con su ley de transposición, en vigor desde diciembre de 2025 y con registro obligatorio ante la BSI. Que en España siga pendiente no te exime en esos países. Revisa si tu actividad allí entra en los anexos y si superas los umbrales, y comprueba los plazos de registro, porque algunos ya han vencido.

Quizá todavía no. Los efectivos no se cuentan por personas, sino en unidades de trabajo anual (UTA): un empleado a media jornada cuenta como media unidad, y los aprendices y estudiantes en prácticas no computan (Recomendación 2003/361/CE). Con 12 personas a media jornada y 3 en prácticas, tus 55 pueden quedarse por debajo de 50 UTA. Además, la condición de mediana empresa no cambia hasta que se supera el umbral durante dos ejercicios consecutivos. Y no olvides la otra vía: también eres mediana si tu volumen de negocio supera los 10 millones de euros y tu balance también. Haz el cálculo con los datos de los dos últimos ejercicios cerrados y documéntalo.

Con dos argumentos. El primero: el seguro no te exime de las obligaciones legales, y lo habitual es que las pólizas no cubran las sanciones administrativas por incumplimiento. El segundo, más práctico: el seguro te pide las mismas medidas que NIS2. En los cuestionarios de suscripción te preguntan si tienes doble factor, copias probadas, formación o gestión de incidentes, y si declaras algo que no es verdad, la aseguradora puede negarse a pagar (artículo 10 de la Ley de Contrato de Seguro, sobre la declaración del riesgo). En Estados Unidos ya hay casos de pólizas anuladas porque el cliente había declarado un doble factor que no tenía. Las medidas del artículo 21 de NIS2 no compiten con el seguro: son la condición para que el seguro pague.

No está claro que no cuente. Para NIS2, una entidad es una persona jurídica (artículo 6.38), y la definición de proveedor de servicios gestionados (artículo 6.39) no excluye a quien presta esos servicios solo dentro de su grupo. Una filial que gestiona y mantiene los sistemas de las demás sociedades podría encajar como proveedor de servicios gestionados, un sector del Anexo I. Algunos países, como Alemania, excluyen las actividades insignificantes, pero el criterio español todavía no está fijado. Si esa filial es mediana o grande, analiza su caso con cuidado y documenta la conclusión. En cualquier caso, su seguridad afecta a todo el grupo, porque es la puerta de entrada a todas las sociedades.

Puede serlo. Para los proveedores de servicios gestionados y otros proveedores digitales, el Reglamento de Ejecución (UE) 2024/2690 concreta cuándo un incidente es significativo, y uno de los supuestos es la indisponibilidad total del servicio durante más de 30 minutos. También lo son, entre otros, las pérdidas económicas superiores a 500.000 euros o al 5 % de la facturación anual, o la exfiltración de secretos comerciales. Si cruzas el umbral, se activan las notificaciones de NIS2: alerta temprana en 24 horas desde que tienes constancia, notificación en 72 horas e informe final en un mes. Ten definidos de antemano tus umbrales, quién decide si un incidente es significativo y cómo se notifica, porque media hora pasa muy deprisa.

No es así. Las entidades esenciales tienen supervisión proactiva: inspecciones y auditorías aunque no haya pasado nada (artículo 32). Las importantes tienen supervisión a posteriori (artículo 33), que se activa cuando la autoridad recibe pruebas, indicios o información de un posible incumplimiento, y una de las vías más habituales es la propia notificación de un incidente. Es decir, la inspección suele llegar en el peor momento, cuando acabas de sufrir un ataque y todo el mundo mira tus medidas. Por eso conviene tener las evidencias ordenadas desde ya: políticas aprobadas, análisis de riesgos, registros de formación y la gestión de incidentes documentada. Si llega la inspección, enseñarás lo que ya tienes, sin prisas.

Puede hacerlo, y no basta con mirar tu CNAE principal. NIS2 se fija en las actividades que realizas, y una actividad secundaria que esté en los anexos (por ejemplo, determinada fabricación o la gestión de residuos) puede meter a toda la empresa en el ámbito si superas los umbrales de tamaño. Los países que ya la han transpuesto lo interpretan de forma distinta: Bélgica analiza cada servicio prestado a terceros y Alemania descarta las actividades insignificantes. El criterio español todavía está pendiente. Haz un inventario de todo lo que haces, no solo de lo principal, marca qué encaja en los anexos y documenta por qué incluyes o descartas cada actividad.