NIS2 en España: qué es, a quién obliga y cómo cumplir
La Directiva NIS2 es la mayor ampliación de las obligaciones de ciberseguridad que ha vivido el tejido empresarial europeo en la última década. En España, NIS2 afecta ya a miles de organizaciones que hasta ahora no tenían ningún requisito específico de seguridad, y lo hace con un régimen sancionador que llega hasta los 10 millones de euros y con responsabilidad personal para los administradores. Esta guía explica, sin rodeos, qué es NIS2, a quién obliga en España, en qué situación está la transposición, qué hay que hacer para cumplir y por qué el Esquema Nacional de Seguridad (ENS) se ha convertido en la vía más eficiente para demostrar ese cumplimiento.
Qué es la Directiva NIS2 y por qué sustituye a NIS1
NIS2 es el nombre corto de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Se publicó en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022 y entró en vigor veinte días después. Sustituye a la primera directiva de seguridad de redes y sistemas de información, la NIS de 2016, que en España se transpuso mediante el Real Decreto-ley 12/2018.
La NIS original se había quedado corta por dos motivos. Su ámbito era demasiado estrecho, porque solo alcanzaba a un número reducido de operadores de servicios esenciales identificados uno a uno por cada Estado, lo que generó enormes diferencias entre países. Y su régimen sancionador era débil y poco disuasorio. NIS2 corrige ambas cosas: amplía de forma drástica los sectores obligados, endurece las medidas técnicas y de gobernanza, unifica los plazos de notificación de incidentes en toda la Unión y establece multas serias con responsabilidad de la dirección.
El cambio de fondo es que la ciberseguridad deja de ser un asunto técnico del departamento de TI para convertirse en una obligación de cumplimiento normativo supervisada, con consecuencias legales concretas para quien no la asuma.
Estado de la transposición de NIS2 en España
Este es el punto que más confusión genera, así que conviene ser preciso. El plazo para que los Estados miembros transpusieran NIS2 a su derecho nacional venció el 17 de octubre de 2024. España no cumplió ese plazo.
A día de hoy la situación en España es la siguiente:
- NIS2 está transpuesta parcialmente mediante el Real Decreto-ley 7/2025.
- El vehículo legislativo que completa la transposición es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025. Ese texto crea el Centro Nacional de Ciberseguridad y reparte las autoridades de control por sectores. Sigue en tramitación parlamentaria.
- La Comisión Europea mantiene abierto un procedimiento de infracción contra España por el retraso y ha remitido un segundo requerimiento formal exigiendo transponer con urgencia, el paso previo a llevar el asunto ante el Tribunal de Justicia de la Unión.
De aquí se extrae la conclusión práctica más importante de toda esta guía: aunque la ley española no esté cerrada, las obligaciones de fondo de NIS2 son estables desde diciembre de 2022, porque nacen de la propia directiva y no de su transposición. Esperar al texto definitivo para empezar a trabajar es confundir el envoltorio con el contenido. Las medidas del artículo 21, los plazos de notificación y las obligaciones de gobierno no van a cambiar con la redacción final del articulado. Quien ya tiene un programa de seguridad serio está a la mayor parte del camino recorrido.
A quién aplica NIS2: entidades esenciales e importantes
NIS2 distingue dos tipos de sujetos obligados en función de la criticidad del sector, de los servicios que prestan y de su tamaño: entidades esenciales y entidades importantes. Las esenciales soportan un nivel de exigencia y de supervisión mayor, pero las diez agrupaciones de medidas de seguridad del artículo 21 se aplican a ambas.
Como regla general, NIS2 alcanza a las entidades de los sectores listados en sus anexos que tengan 50 o más empleados o una facturación superior a 10 millones de euros, con excepciones tasadas que arrastran también a pymes en sectores muy críticos (como proveedores de DNS, registros de nombres de dominio de primer nivel, prestadores cualificados de servicios de confianza o determinadas administraciones públicas). La directiva cubre 18 sectores repartidos entre los de alta criticidad del Anexo I (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, entre otros) y otros sectores críticos del Anexo II.
Quedan expresamente fuera del ámbito el poder judicial, los parlamentos, los bancos centrales y las entidades que actúan en los ámbitos de seguridad nacional, seguridad pública, defensa o aplicación de la ley.
Saber con certeza si tu organización está dentro, y con qué categoría, es el primer paso de cualquier proyecto de adecuación. Lo desarrollamos en detalle, sector por sector y con los umbrales exactos, en la guía sobre a quién aplica NIS2 y quién queda excluido.
Las obligaciones del artículo 21: medidas de seguridad
El núcleo técnico de NIS2 está en su artículo 21, que obliga a las entidades esenciales e importantes a adoptar un conjunto mínimo de medidas técnicas, operativas y de organización, siempre de forma proporcional al riesgo y al tamaño de la entidad. Las diez agrupaciones de medidas son:
- Políticas de análisis de riesgos y de seguridad de los sistemas de información.
- Gestión de incidentes.
- Continuidad de negocio y gestión de copias de seguridad.
- Seguridad de la cadena de suministro, incluida la relación con proveedores y prestadores de servicios.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
- Políticas y procedimientos para evaluar la eficacia de las medidas.
- Prácticas básicas de ciberhigiene y formación en ciberseguridad.
- Políticas de uso de criptografía y cifrado.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Uso de autenticación multifactor y de comunicaciones seguras.
Ninguna de estas medidas es una novedad para quien ya trabaja con un marco de seguridad reconocido. La clave no es inventar controles nuevos, sino ordenarlos, documentarlos y poder evidenciarlos ante una autoridad de supervisión.
Gobernanza y responsabilidad de la dirección: el artículo 20
Si el artículo 21 es la parte técnica, el artículo 20 es el que cambia la cultura. NIS2 responsabiliza directamente a los órganos de dirección de aprobar las medidas de gestión de riesgos, supervisar su implantación y formarse para entender los riesgos. La directiva es tajante: esta responsabilidad no puede delegarse en otros miembros del personal.
En la práctica, esto significa que un consejo de administración o una dirección general puede responder en el plano personal si la entidad sufre un incidente grave por no haber aprobado ni supervisado las medidas exigidas. Para entidades esenciales, las autoridades pueden llegar a prohibir temporalmente el ejercicio de funciones directivas a la persona responsable del incumplimiento.
La consecuencia operativa es doble. Primero, la formación específica del órgano de dirección deja de ser opcional y pasa a ser una obligación revisable. Segundo, cada decisión del consejo en materia de ciberseguridad debe quedar documentada de forma trazable, con actas y evidencia de la diligencia debida, porque es lo primero que mirará un supervisor. Es también una de las razones por las que la formalización de la figura del responsable de seguridad se está acelerando en las empresas afectadas, un rol que puede cubrirse con un CISO externo cuando no se justifica una plaza interna.
Notificación de incidentes: 24 horas, 72 horas y un mes
NIS2 unifica el régimen de notificación de incidentes significativos en tres hitos obligatorios y escalonados: una alerta temprana en un plazo máximo de 24 horas desde la detección, un informe intermedio en 72 horas y un informe final en el plazo de un mes. La notificación se dirige al equipo de respuesta a incidentes (CSIRT) de referencia, que en el sector público es el CCN-CERT del Centro Criptológico Nacional y en el ámbito privado es, con carácter general, el INCIBE-CERT.
Hay un matiz que conviene tener presente: cuando un incidente afecta también a datos personales, se activa en paralelo la notificación a la Agencia Española de Protección de Datos en 72 horas conforme al RGPD. Son procedimientos independientes que pueden generar sanciones acumulables, de modo que la gestión del incidente debe estar coordinada entre las dos vías desde el minuto uno.
Tratar la alerta de 24 horas como algo meramente informativo es uno de los errores más frecuentes y con consecuencias sancionadoras. Explicamos cómo montar el procedimiento interno para cumplir estos plazos sin improvisar en la guía sobre notificación de incidentes bajo NIS2.
Cómo cumplir NIS2 a través del ENS
Aquí está la buena noticia para las organizaciones españolas, y el punto que marca la diferencia frente a cualquier análisis genérico de NIS2. Según el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, las entidades que cumplen con el Esquema Nacional de Seguridad pueden exhibir su Declaración o Certificado de Conformidad con el ENS para demostrar el cumplimiento de los requisitos de NIS2.
No se trata de una equivalencia automática ni de un atajo. El mecanismo tiene una lógica precisa que el propio Centro Criptológico Nacional ha desarrollado a través del Perfil de Cumplimiento Específico para organizaciones en el ámbito de aplicación de la Directiva NIS2, el PCE-NIS2 recogido en la guía CCN-STIC 892, que mapea las medidas del artículo 21 de NIS2 contra las medidas del ENS. El flujo es el siguiente: si tus sistemas están certificados en ENS aplicando el perfil que corresponda, cumples con las medidas de seguridad de NIS2; si no lo están, el paso previo es iniciar la adecuación al ENS.
La categoría del ENS determina cuánto trabajo adicional queda. Una organización con ENS en categoría ALTA cubre las medidas de NIS2 de forma directa. Con categoría MEDIA o BÁSICA hay que completar, en base a un análisis de riesgos, algunos elementos que NIS2 exige de forma reforzada, típicamente la seguridad de la cadena de suministro y la continuidad. A esto se añaden los aspectos que el ENS no resuelve por sí solo y que NIS2 impone aparte, en particular las obligaciones de gobernanza del artículo 20 y los plazos de notificación.
Para una consultora con base en el ENS, esta vía convierte la experiencia acumulada en el Esquema Nacional de Seguridad en la puerta de entrada natural al cumplimiento de NIS2. Lo desarrollamos paso a paso, con el diagrama de decisión completo, en la guía sobre cómo cumplir NIS2 a través del ENS y el perfil PCE-NIS2. Y si partes de un sistema de gestión basado en la norma internacional, analizamos cuánto tienes ya cubierto en el artículo sobre NIS2 frente a ISO 27001.
Sanciones por incumplir NIS2
El régimen sancionador de NIS2 es uno de sus cambios más relevantes y está pensado para ser disuasorio. Las entidades esenciales pueden enfrentarse a multas de hasta 10 millones de euros o el 2% de la facturación anual mundial, la cifra que resulte mayor. Para las entidades importantes, el techo se sitúa en 7 millones de euros o el 1,4% de la facturación.
Más allá de la multa económica, las autoridades competentes pueden emitir instrucciones vinculantes, exigir auditorías externas, suspender certificaciones y, en los casos más graves, apartar temporalmente de sus funciones a miembros del órgano de dirección. La combinación de sanción económica, responsabilidad personal y posible daño reputacional es lo que eleva NIS2 muy por encima de un simple requisito técnico. Detallamos el régimen completo y cómo acreditar la diligencia debida del consejo en la guía sobre sanciones NIS2 y responsabilidad de la dirección.
Cómo empezar tu adecuación a NIS2
Con el marco claro, el orden de trabajo recomendado es sencillo y no depende de que la ley española esté publicada:
- Confirmar la aplicabilidad. Determinar si la organización es entidad esencial o importante y en qué sectores encaja.
- Diagnóstico de brechas. Comparar los controles actuales con las medidas del artículo 21 y las obligaciones de gobernanza del artículo 20.
- Decidir la vía. Valorar si el camino más eficiente es la adecuación al ENS con el perfil PCE-NIS2, apoyarse en un sistema de gestión ya existente o construir el programa desde cero con vocación de certificación posterior.
- Cerrar huecos. Reforzar los puntos que ningún marco cubre por completo: notificación de incidentes, formación del órgano de dirección y gestión de la cadena de suministro.
- Documentar y evidenciar. Dejar trazabilidad de las decisiones para poder demostrar el cumplimiento ante una auditoría o una autoridad de supervisión.
En Novaciber ayudamos a organizaciones públicas y privadas a recorrer este camino con la eficiencia que da partir del ENS. Si quieres saber si NIS2 te aplica y qué te falta para cumplir, podemos revisarlo en una primera llamada sin compromiso a través de nuestra consultoría NIS2.
Preguntas frecuentes sobre NIS2
La directiva está en vigor a nivel europeo desde enero de 2023 y su plazo de transposición venció el 17 de octubre de 2024. En España está transpuesta parcialmente mediante el Real Decreto-ley 7/2025 y sigue en tramitación la Ley de Coordinación y Gobernanza de la Ciberseguridad que completará la transposición. Las obligaciones de fondo, sin embargo, ya son exigibles porque nacen de la propia directiva.
La distinción depende de la criticidad del sector, del servicio prestado y del tamaño de la entidad. Ambas deben cumplir las mismas diez agrupaciones de medidas del artículo 21, pero las entidades esenciales están sometidas a una supervisión más estricta y a un techo de multas más alto.
No de forma automática. El Anteproyecto de Ley permite usar la Declaración o el Certificado de Conformidad con el ENS para demostrar el cumplimiento de NIS2, aplicando el perfil PCE-NIS2 del CCN. Según la categoría del ENS pueden quedar elementos por completar, como la cadena de suministro y la continuidad, además de las obligaciones de gobernanza y notificación propias de NIS2.
Las multas alcanzan los 10 millones de euros o el 2% de la facturación mundial para entidades esenciales, y 7 millones o el 1,4% para las importantes. Además, la dirección puede responder en el plano personal y ser apartada temporalmente de sus funciones en los casos más graves.
No es recomendable. Las obligaciones materiales de NIS2 derivan de la directiva y son estables desde 2022. Empezar ahora reduce el riesgo regulatorio, contractual y reputacional, y evita tener que improvisar cuando el texto nacional se cierre.