NIS2 en España: qué es y si afecta a tu empresa

NIS2 es la directiva europea de ciberseguridad: la Directiva (UE) 2022/2555. Obliga a las empresas medianas y grandes de sectores críticos a proteger sus sistemas y a avisar de los incidentes graves. Los países de la UE tenían hasta el 17 de octubre de 2024 para convertirla en ley, pero España todavía no lo ha hecho.

En este artículo te contamos en qué punto está, a quién afecta, qué exige y por qué una pyme puede notarla aunque no esté obligada, con fuentes oficiales.

El texto sigue siendo un anteproyecto: no se ha aprobado como proyecto de ley ni se ha publicado en el BOE. Y con las Cortes disueltas no se puede aprobar ninguna ley. Además, después de las elecciones, un Gobierno en funciones no puede presentar proyectos de ley al Congreso (Ley del Gobierno, artículo 21.5). La ley tendrá que esperar al nuevo Gobierno y a las nuevas Cortes.

Mientras tanto, sigue vigente la norma anterior, el Real Decreto-ley 12/2018, que aplicó la primera directiva (NIS) a los operadores de servicios esenciales y a los proveedores de servicios digitales.

Según el Gobierno, el anteproyecto crea un Centro Nacional de Ciberseguridad, que dependería de la Presidencia del Gobierno y sería el punto de contacto único con la UE. Obliga a las entidades afectadas a evaluar sus riesgos, notificar los incidentes significativos (también los que vengan de sus proveedores) y designar un responsable de seguridad de la información. El texto definitivo puede cambiar durante su tramitación.

NIS2 se aplica cuando se cumplen dos condiciones a la vez:

1. El sector. La empresa está en uno de los sectores de sus anexos.
2. El tamaño. Es mediana o grande según la definición europea de pyme: tiene 50 trabajadores o más, o supera los 10 millones de euros tanto de facturación anual como de balance.

Hay entidades a las que se aplica sea cual sea su tamaño: los proveedores de telecomunicaciones, los prestadores de servicios de confianza (como los certificados electrónicos), los registros y servicios de nombres de dominio y DNS, la Administración pública central y las que el Estado considere críticas, por ejemplo porque son el único proveedor de un servicio esencial.

Las empresas afectadas se dividen en esenciales e importantes. Las dos tienen las mismas obligaciones; cambian la supervisión y la cuantía de las multas.

La mayoría de las pymes no cumplen las dos condiciones. Aun así, NIS2 les puede llegar por sus clientes. La directiva obliga a las empresas afectadas a cuidar la seguridad de su cadena de suministro, es decir, la de sus proveedores directos, y a tener en cuenta sus vulnerabilidades y sus prácticas de ciberseguridad (artículo 21).

En la práctica, si trabajas para una empresa de energía, transporte, sanidad, alimentación o fabricación, es probable que te pida por contrato medidas de seguridad, cuestionarios o la obligación de avisar si sufres un incidente.

Y hay obligaciones que ya tienes hoy, haya o no ley de NIS2: si tu empresa trata datos personales, el RGPD te exige medidas de seguridad adecuadas (artículo 32) y comunicar las brechas a la Agencia Española de Protección de Datos en un máximo de 72 horas (artículo 33), salvo que sea improbable que supongan un riesgo.

El artículo 21 obliga a tomar medidas «adecuadas y proporcionadas» al riesgo y al tamaño de la empresa, y fija al menos estas:

1. Políticas de seguridad y análisis de riesgos.
2. Gestión de incidentes.
3. Continuidad del negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
4. Seguridad de la cadena de suministro.
5. Seguridad al comprar, desarrollar y mantener sistemas, incluida la gestión de vulnerabilidades.
6. Procedimientos para comprobar que las medidas funcionan.
7. Ciberhigiene básica y formación en ciberseguridad.
8. Uso de criptografía y cifrado.
9. Seguridad del personal, control de accesos y gestión de activos.
10. Autenticación multifactor y comunicaciones seguras.

Un incidente es significativo si causa o puede causar graves perturbaciones o pérdidas económicas, o perjuicios considerables a terceros. En ese caso hay que avisar al equipo de respuesta a incidentes (CSIRT) o a la autoridad competente en tres pasos (artículo 23):

Los plazos cuentan desde que la empresa tiene constancia del incidente.

Los órganos de dirección deben aprobar las medidas de seguridad, supervisar que se aplican y responder si no se cumplen. Sus miembros deben recibir formación en ciberseguridad (artículo 20).

La directiva fija unos máximos que cada país debe poder imponer, como mínimo (artículo 34):

• Entidades esenciales: hasta 10 millones de euros o el 2 % de la facturación mundial anual, la cifra mayor.
• Entidades importantes: hasta 7 millones de euros o el 1,4 % de la facturación mundial anual, la cifra mayor.

El 20 de enero de 2026, la Comisión Europea propuso modificar NIS2 para aclarar a quién se aplica y simplificar su cumplimiento. Según la Comisión, aliviaría las obligaciones de unas 28.700 empresas, 6.200 de ellas micro y pequeñas. Es una propuesta: hasta que se apruebe, la directiva vigente es la de 2022.

No hace falta esperar a la ley. Buena parte de lo que pide NIS2 es lo que debería tener cualquier empresa:

1. Comprueba si tu empresa está en alguno de los sectores y si supera el tamaño. Si es así, empieza a prepararte con tu asesor.
2. Si trabajas para empresas de esos sectores, prepárate para que te pidan medidas de seguridad por contrato.
3. Copias de seguridad fuera de tus equipos y servidores, comprobando que se pueden restaurar.
4. Mantén actualizados los equipos, los programas y la web.
5. Verificación en dos pasos en el correo, la web y las herramientas importantes.
6. Decide quién hace qué si hay un incidente y a quién hay que avisar.
7. Forma a tu equipo en lo básico: correos fraudulentos, contraseñas y qué hacer si algo parece raro.

Te contamos más en ciberseguridad para pymes. Y si tienes una web, nuestra guía de seguridad en WordPress te cuenta las medidas concretas para protegerla.

No hay ley española que la aplique: sigue en anteproyecto y, con las Cortes disueltas, no se aprobará hasta que haya nuevo Gobierno y nuevas Cortes. Mientras tanto se aplica el Real Decreto-ley 12/2018. Si tu empresa está en uno de los sectores, conviene prepararse ya: cuando llegue la ley, las obligaciones serán las de la directiva.

Por regla general, no: se aplica a partir de mediana empresa. Hay excepciones sea cual sea el tamaño, como los proveedores de telecomunicaciones, de DNS o de servicios de confianza. Y una pequeña empresa puede notarla si es proveedora de una empresa obligada.

Lo que la empresa necesite para cumplir con la seguridad de su cadena de suministro: medidas de seguridad, cuestionarios, auditorías o la obligación de avisar de los incidentes. Dependerá de lo que firméis en el contrato.

El RGPD protege los datos personales y se aplica a cualquier empresa que los trate, sea cual sea su tamaño o sector. NIS2 protege la continuidad de los servicios críticos y se aplica a empresas medianas y grandes de ciertos sectores. Una misma empresa puede tener que cumplir las dos.

En LN Digital aplicamos estas medidas en las webs y los servidores que mantenemos: actualizaciones, copias fuera del servidor, vigilancia y respuesta a incidentes. Mira nuestro servicio de seguridad web o escríbenos.

Consultadas el 28 de octubre de 2026.

• Directiva NIS2: Directiva (UE) 2022/2555, artículos 2, 3, 20, 21, 23 y 34 y anexos I y II. Tamaño de empresa: Recomendación 2003/361/CE.
• Comisión Europea: España ante el Tribunal de Justicia de la UE, 8-07-2026 y propuesta de modificación de NIS2, 20-01-2026.
• La Moncloa: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Consejo de Ministros, 14-01-2025).
• BOE: Real Decreto 806/2026 (disolución de las Cortes), Ley 50/1997, del Gobierno, artículo 21.5, y Real Decreto-ley 12/2018.
• RGPD: Reglamento (UE) 2016/679, artículos 32 y 33.