Inventariamos
Qué es NIS2 y por qué se habla tanto de ella
NIS2 es la Directiva (UE) 2022/2555, aprobada en diciembre de 2022 para sustituir a la primera directiva de seguridad de redes y sistemas de información. Una directiva europea no se aplica directamente a las empresas: cada país tiene que aprobar su propia ley para incorporarla, y el plazo que se dio a los Estados miembros terminó el 17 de octubre de 2024. Por eso conviene separar dos cosas que se mezclan a menudo: lo que dice la directiva, que ya está publicada y no cambia según el país, y lo que dirá la ley española, que decide detalles como qué autoridad supervisa o cómo se registran las entidades.
Su idea de fondo es sencilla. Los ataques a hospitales, empresas de transporte, proveedores de software o ayuntamientos ya no son un problema de cada afectado, porque paralizan servicios de los que depende mucha gente. La directiva obliga a un conjunto amplio de organizaciones a gestionar sus riesgos de ciberseguridad, a avisar cuando sufren un incidente grave y a que la dirección responda de ello personalmente.
Si diriges una gestoría, un despacho, una clínica o una academia, probablemente has oído que «NIS2 afecta a todo el mundo» o, al contrario, que «solo es para grandes empresas». Ninguna de las dos frases es cierta, y el resto de la guía sirve para ubicarte.
A quién alcanza: sectores y tamaño
La directiva se aplica a entidades de determinados sectores que, además, superan un tamaño mínimo. Los sectores se reparten en dos anexos. Las empresas de los sectores de alta criticidad (Anexo I) se consideran entidades esenciales si son grandes, y las de los otros sectores críticos (Anexo II) son entidades importantes. Las medianas de los sectores del Anexo I también cuentan como importantes.
| Grupo | Sectores | Ejemplo de oficina o empresa |
|---|---|---|
| Alta criticidad (Anexo I) | Energía, transporte, banca, infraestructuras de mercados financieros, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC entre empresas, administración pública, espacio | Un hospital privado, una distribuidora eléctrica, una empresa de soporte informático que gestiona los sistemas de otras empresas |
| Otros sectores críticos (Anexo II) | Servicios postales y de mensajería, gestión de residuos, productos químicos, alimentación, fabricación de ciertos productos, proveedores digitales (mercados en línea, buscadores, redes sociales), investigación | Una fábrica de componentes electrónicos, una empresa de mensajería, una plataforma de compraventa en línea |
Sobre el tamaño, la regla general deja fuera a las pequeñas y microempresas. Se aplica a las medianas (desde 50 personas, o con más de 10 millones de euros tanto de volumen de negocio como de balance anual, según la definición europea de pyme) y a las grandes. Una oficina de 12 puestos de cualquier sector, como una gestoría o una inmobiliaria, no entra por sí misma, y de hecho esos sectores ni siquiera aparecen en las listas.
Hay excepciones que ignoran el tamaño: determinados proveedores de redes y servicios de comunicaciones electrónicas, de confianza digital (firma y sellos cualificados) o de nombres de dominio, y las entidades que los Estados designen por ser críticas para un servicio esencial. Lo habitual en una pyme de oficina es que ninguna de estas excepciones le toque, pero está bien saber que existen.
Por qué te llega aunque seas pequeña: la cadena de suministro
Aquí está lo que más sorprende. La directiva obliga a las entidades incluidas a tener en cuenta la seguridad de sus proveedores directos. Eso quiere decir que una clínica concertada, una cooperativa agroalimentaria o un ayuntamiento que sí cae dentro de NIS2 va a empezar a pedir garantías a quienes le dan servicio: la gestoría que lleva su laboral, el despacho que trata sus contratos, la empresa que mantiene sus ordenadores, la academia que forma a su plantilla.
En la práctica llega por tres vías, y ninguna depende de que tu empresa esté en una lista:
- Cuestionarios de seguridad. Un cliente grande te envía un Excel con cuarenta preguntas: si cifras los portátiles, si tienes copias fuera de la oficina, cómo das de baja a un empleado, quién responde si hay un incidente.
- Cláusulas en el contrato. Aparecen obligaciones de avisar en pocas horas si te afecta un incidente que toque sus datos, de permitir una revisión o de demostrar que aplicas medidas razonables.
- Pedirte una certificación. Algunos clientes preguntan por la ISO/IEC 27001 o, si trabajas para el sector público, por el Esquema Nacional de Seguridad (Real Decreto 311/2022). No es una exigencia de NIS2 como tal, pero es la forma más corta de contestar a la pregunta.
Si ya trabajas para la Administración, buena parte de esto te resultará familiar; tienes una guía sobre el ENS para empresas proveedoras del sector público y otra sobre la certificación ISO 27001 en una pyme.
¿Me afecta? Cuestionario de cuatro preguntas
Este cuestionario da un resultado orientativo a partir de lo que acabas de leer. No sustituye el análisis de un abogado ni la ley española cuando se publique, pero te dice por dónde mirar primero.
Si el resultado te dice que no eres sujeto directo pero tienes clientes obligados, lo sensato es tratarlo como un aviso de que te van a preguntar. Los pasos concretos son los mismos que en una guía de seguridad básica: ciberseguridad básica para una oficina.
Qué obligaciones trae para quien sí está incluido
La directiva se resume en tres bloques, que cualquier cliente obligado te trasladará de una forma u otra.
Gestión de riesgos (artículo 21)
Medidas técnicas y organizativas proporcionadas al riesgo. La lista que enumera el propio artículo es práctica y reconocible: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad de negocio con copias de seguridad y recuperación, seguridad en la cadena de suministro, seguridad en la adquisición y el mantenimiento de sistemas, gestión de vulnerabilidades, formación en ciberhigiene, uso de criptografía, control de accesos y gestión de activos, y autenticación multifactor cuando proceda. Fíjate en la gestión de activos: sin un inventario de equipos al día no puedes decir qué tienes que proteger.
Notificación de incidentes (artículo 23)
Ante un incidente significativo, hay un aviso temprano en un máximo de 24 horas, una notificación con la evaluación inicial en 72 horas y un informe final en el plazo de un mes. Si además hay datos personales afectados, sigue corriendo por separado el aviso a la AEPD en 72 horas que fija el artículo 33 del RGPD. Que la oficina tenga claro quién avisa a quién antes de que ocurra es lo que evita improvisar a las once de la noche; gestionar las incidencias ayuda a ello.
Responsabilidad de la dirección (artículo 20)
Los órganos de dirección tienen que aprobar las medidas de gestión de riesgos, supervisarlas y formarse en ciberseguridad. Los Estados pueden hacer responder a los directivos por incumplimientos. Para el gerente de una pyme esto significa que la ciberseguridad deja de ser «cosa del técnico».
Las sanciones máximas que fija la directiva son de 10 millones de euros o el 2 % del volumen de negocio mundial anual para las entidades esenciales, y de 7 millones o el 1,4 % para las importantes. Son techos europeos; la ley española determinará las escalas concretas.
Cómo está la trasposición en España (consultado en octubre de 2026)
Esto es lo que hemos podido comprobar en fuentes oficiales y especializadas a fecha de esta guía:
- El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, ya fuera del plazo europeo. Prevé un Centro Nacional de Ciberseguridad como pieza central de coordinación.
- La Comisión Europea envió a España carta de emplazamiento en noviembre de 2024 y dictamen motivado el 7 de mayo de 2025. El 8 de julio de 2026 decidió llevar a España, junto con Irlanda, Francia y Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado la trasposición completa, y pide sanciones económicas.
- No hemos encontrado una ley publicada en el BOE. Las fuentes consultadas coinciden en que la norma sigue sin aprobarse, y no hemos podido confirmar en qué fase exacta está su tramitación en el Congreso.
- Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera directiva, y se mantiene el Esquema Nacional de Seguridad para el sector público.
- En enero de 2026 la Comisión propuso además cambios puntuales a la propia NIS2 para simplificarla, que están en tramitación a nivel europeo.
Qué significa esto en la práctica: a día de hoy no hay una ley española de NIS2 que te obligue directamente ni sanciones aplicables en España. Pero la presión europea hace pensar que llegará, y tus clientes obligados ya están preparándose. Antes de tomar decisiones con coste, mira el BOE y el portal del Congreso, porque esta información se queda anticuada rápido. Las fuentes que hemos usado son la nota de prensa de la Comisión Europea (IP/26/1499), el comunicado del Ministerio del Interior sobre el anteproyecto y el seguimiento de la trasposición de nisd2.eu.
Fuentes oficiales
Cómo lo hacemos en Inventariamos
No somos entidad certificadora ni hacemos auditorías oficiales, ni sustituimos a un abogado para decidir si tu empresa es sujeto de NIS2. Lo que sí hacemos, según el alcance acordado, es preparar y mantener las evidencias técnicas que te van a pedir tus clientes: el inventario de equipos en la app Inventariamos, las copias de seguridad, los accesos de altas y bajas y el registro de incidencias, con apoyo de nuestro servicio de ciberseguridad. Si te ha llegado un cuestionario de un cliente y no sabes cómo contestarlo, escríbenos desde Contacto y lo revisamos contigo.