NIS2 en España: quién debe cumplirla y qué exige

Actualizado agosto 2026

NIS2 es la directiva europea de ciberseguridad que endurece las obligaciones para miles de empresas que hasta ahora no tenían ninguna exigencia legal en esta materia. En España genera una duda constante: si la ley española todavía no está aprobada, ¿hay que hacer algo ya? La respuesta corta es sí, y esta guía explica por qué.

¿Qué es NIS2?

NIS2 (Directiva UE 2022/2555) es la actualización de la primera directiva de seguridad de redes y sistemas de información. Amplía de forma notable qué empresas quedan obligadas, exige medidas concretas de gestión de riesgos, impone plazos estrictos para notificar incidentes y responsabiliza directamente a la dirección de la organización — no solo al departamento técnico.

¿A quién afecta?

La directiva clasifica a las organizaciones obligadas en dos niveles — entidades esenciales y entidades importantes — según dos criterios que se combinan:

El Anexo I incluye, entre otros:

• Energía, transporte y agua potable/residuales
• Banca e infraestructuras de mercados financieros
• Sanidad
• Infraestructura digital y gestión de servicios TIC
• Administración pública y espacio

El Anexo II amplía el alcance a sectores como fabricación, alimentación, gestión de residuos, servicios postales, productos químicos y proveedores digitales, entre otros.

La trampa de la cadena de suministro: "no me aplica" no es lo mismo que "no me van a pedir nada"

Aunque tu empresa esté muy por debajo de los umbrales de tamaño y no opere en ningún sector del Anexo I o II, eso solo significa que NIS2 no te obliga directamente — no que estés a salvo del todo. El artículo 21 de la directiva obliga a las entidades esenciales e importantes a gestionar también el riesgo de su cadena de suministro, evaluando la ciberseguridad de cada proveedor con el que trabajan. Y esa obligación no se queda en un informe interno: se traslada por contrato hacia abajo, a proveedores que muchas veces no tienen ni idea de que NIS2 existe.

En la práctica esto se traduce en cosas muy concretas que ya están empezando a pasar en España, incluso sin ley aprobada:

• Cuestionarios de seguridad como requisito para renovar o firmar un contrato, a veces con decenas de preguntas sobre gestión de riesgos, control de accesos o respuesta a incidentes.
• Cláusulas contractuales nuevas que exigen notificar cualquier incidente que afecte al cliente en un plazo determinado, o que dan derecho a auditar tus medidas de seguridad.
• Petición de certificaciones o evidencias (ISO 27001, ENS, o simplemente un análisis de riesgos documentado) como condición para seguir siendo proveedor homologado.
• Exclusión directa de concursos o RFPs si no puedes acreditar un mínimo de gestión de riesgos, sobre todo en licitaciones donde el cliente final es una entidad esencial.

Es probable que te llegue por esta vía si trabajas como proveedor —de software, de servicios TIC, de mantenimiento, de logística, de cualquier cosa con acceso a sus sistemas o datos— de clientes en banca, energía, sanidad, infraestructuras digitales o administración pública. Y a diferencia de la ley española, esto no depende de ningún BOE: lo decide cada cliente grande a su ritmo, y normalmente da poco margen de reacción cuando llega el cuestionario o la cláusula nueva.

La forma práctica de no verte pillado a contrapié es tener ya, aunque nadie te lo haya pedido todavía, un análisis de riesgos actualizado, un inventario de activos y un mínimo de evidencia documentada de cómo gestionas la seguridad — exactamente lo que se pide en cualquiera de esos cuestionarios, y lo que cuesta mucho improvisar en los pocos días que suele dar un cliente para responder.

¿Qué exige exactamente?

Las obligaciones de seguridad son las mismas para entidades esenciales e importantes (lo que cambia es la supervisión y el tope sancionador). Entre ellas:

• Análisis y gestión de riesgos de ciberseguridad, documentado y actualizado.
• Gestión y respuesta a incidentes.
• Continuidad de negocio y gestión de crisis (planes de recuperación, copias de seguridad).
• Seguridad de la cadena de suministro frente a proveedores y prestadores de servicios.
• Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
• Políticas para evaluar la eficacia de las medidas implantadas.
• Higiene básica de ciberseguridad y formación del personal.
• Cifrado y, cuando proceda, autenticación multifactor.
• Control de accesos y gestión de activos.

Notificación de incidentes: plazos escalonados

Sanciones

Hasta 10 millones de euros o el 2% de la facturación anual global para entidades esenciales (el mayor de los dos importes), con topes algo menores para entidades importantes. La directiva responsabiliza también a los órganos de dirección, que deben aprobar y supervisar las medidas de gestión de riesgos.

¿Qué hacer ya, aunque la ley española no esté publicada?

La Directiva NIS2 ya es de aplicación a nivel europeo desde octubre de 2024 — el retraso es solo de la ley española que la traspone al ordenamiento interno, no de la obligación de fondo. Cuando se publique, previsiblemente no habrá un periodo largo de adaptación. Tiene sentido empezar ahora por lo que ya se sabe con certeza que va a exigir:

1. Identificar si tu empresa entra por tamaño/sector, o si es previsible que te lo exijan como proveedor.
2. Inventariar activos y procesos críticos.
3. Poner en marcha un proceso de análisis de riesgos recurrente, no un ejercicio puntual.
4. Documentar las medidas de seguridad y quién es responsable de cada una.
5. Definir cómo se notificaría un incidente y en qué plazos, antes de necesitarlo de verdad.

Cómo ayuda TRustea GRC

TRustea GRC conecta en una sola plataforma el inventario de activos, el análisis de riesgos (con un catálogo de amenazas basado en MAGERIT 3.0), las salvaguardas y controles, y las evidencias de cumplimiento — exactamente el tipo de gestión de riesgos documentada y trazable que NIS2 exige, y que hoy muchas pymes tienen repartida en hojas de cálculo sueltas. Si ya cumples ENS o ISO 27001, buena parte del trabajo se reaprovecha directamente.