Qué es NIS2 y qué cambió respecto a la anterior
La Directiva (UE) 2022/2555 sustituye a la primera directiva de seguridad de redes y sistemas de información. Su gran cambio es de alcance: donde la NIS original cubría a un puñado de operadores de servicios esenciales, NIS2 abarca a miles de entidades medianas y grandes de dieciocho sectores. Para muchas organizaciones que nunca se consideraron infraestructura crítica, NIS2 es su primera obligación reglada de ciberseguridad.
A diferencia del RGPD, no protege datos personales: protege la resiliencia de los servicios. En la práctica ambos marcos se solapan, porque un mismo incidente puede activar la notificación de las dos normas con plazos y destinatarios distintos.
A quién aplica
Dos criterios que deben darse a la vez:
Sector. Entre otros: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable y residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio, servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de productos sanitarios, informática y vehículos, proveedores digitales e investigación.
Tamaño. Con carácter general, a partir de 50 empleados o de 10 millones de euros de volumen de negocio. Las entidades se clasifican en esenciales e importantes, con distinto régimen de supervisión y distinto techo sancionador.
Hay un tercer grupo que no aparece en la directiva y que en la práctica es el más numeroso: los proveedores. Una empresa fuera del ámbito directo acaba dentro por vía contractual, porque su cliente obligado tiene que controlar la seguridad de su cadena de suministro.
Las obligaciones, en cuatro bloques
1. Medidas de gestión de riesgos
Análisis de riesgos y política de seguridad, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, seguridad en la adquisición y el desarrollo, políticas de evaluación de la eficacia, higiene y formación en ciberseguridad, criptografía, seguridad de los recursos humanos y control de acceso, y autenticación multifactor.
2. Notificación de incidentes en tres pasos
| Plazo | Qué se envía |
|---|---|
| 24 horas | Alerta temprana: se ha detectado un incidente significativo |
| 72 horas | Notificación con evaluación inicial de gravedad, impacto e indicadores de compromiso |
| 1 mes | Informe final con causa, medidas aplicadas y alcance |
El plazo de 24 horas es una obligación legal, no una cortesía informativa, y su omisión tiene consecuencias sancionadoras.
3. Responsabilidad del órgano de dirección
Es el artículo que cambia la conversación. El órgano de dirección debe aprobar las medidas de gestión de riesgos, supervisar su aplicación y responder de los incumplimientos. Y debe recibir formación específica en ciberseguridad, con obligación de ofrecer formación similar a los empleados.
Dicho de otro modo: la ciberseguridad deja de ser un asunto delegable en el departamento de sistemas. Y como la responsabilidad exige diligencia demostrable, hacen falta actas y evidencia de que el consejo revisó, preguntó y decidió.
4. Supervisión y sanciones
Las entidades esenciales están sujetas a supervisión proactiva; las importantes, a supervisión reactiva tras un incidente o un indicio. Las sanciones previstas en la directiva alcanzan los 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, con un techo inferior para las importantes.
Estado de la transposición en España
Aquí conviene ser preciso, porque circula mucha información equivocada.
España debía transponer NIS2 antes del 17 de octubre de 2024 y no lo hizo. La Comisión Europea abrió procedimiento de infracción y remitió dictamen motivado en mayo de 2025.
El vehículo legislativo principal es la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto aprobó el Consejo de Ministros el 14 de enero de 2025. Crea el Centro Nacional de Ciberseguridad como autoridad nacional y reparte la supervisión sectorial entre Interior, Defensa y Transformación Digital. A septiembre de 2026 sigue en tramitación y no se ha publicado en el BOE.
Mientras tanto, el Real Decreto-ley 7/2025 transpuso parcialmente la directiva. La consecuencia práctica para una empresa española es incómoda pero clara: no existe todavía un texto nacional completo al que remitirse, la directiva sigue marcando el suelo europeo, y los requisitos llegan igualmente por vía contractual desde clientes que ya los están exigiendo.
Esperar a la ley es la estrategia más cara. Las medidas del artículo 21 no van a cambiar sustancialmente con la transposición, y son entre seis y doce meses de trabajo.