La NIS2 es la directiva europea de ciberseguridad, la Directiva (UE) 2022/2555[1]. Obliga a las empresas medianas y grandes de ciertas actividades de dieciocho sectores, como la energía, el transporte, la sanidad o parte de la industria, a gestionar sus riesgos informáticos y a avisar en 24 horas de sus incidentes significativos[1][2]. En España aún no se aplica, porque falta la ley[3][4]. Una empresa de menos de 50 personas y hasta 10 millones de euros de facturación, contando su grupo, queda fuera salvo excepciones[1][5].
A una pyme puede llegarle por otro lado. Las empresas obligadas deben cuidar la seguridad de sus proveedores[1], y la Comisión Europea reconoce que eso se ha traducido en peticiones de información extensas, con cuestionarios y formatos dispares[6].
Qué es la directiva NIS2 y qué cambia frente a la de 2016
En los textos oficiales en español se llama Directiva SRI 2, por seguridad de las redes y sistemas de información[1]. Está en vigor desde el 16 de enero de 2023 y sustituye a la de 2016, que España aplicó con el Real Decreto-ley 12/2018[3][7].
La primera se limitaba a los operadores de servicios esenciales y a algunos proveedores digitales[3]. La NIS2 alcanza a toda entidad mediana o grande de los tipos de sus anexos, que en general debe identificarse ella misma, y las reparte en dos grupos[1][8].
- Entidades esenciales
- Sobre todo, las grandes de los sectores de alta criticidad (anexo I) y las que designe el Estado. Se las puede inspeccionar sin que haya pasado nada[1].
- Entidades importantes
- Las demás de los dos anexos. La supervisión llega después, cuando hay indicios de que no cumplen[1].
La NIS2 en España: sin ley y ante el Tribunal de Justicia
Los países tenían hasta el 17 de octubre de 2024 para pasarla a su ley, y la mayoría cumplió[1][2]. España no. El Consejo de Ministros aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, por la vía urgente[9], pero el texto no ha llegado al Congreso[10] y a 22 de octubre de 2026 no hay ley en el BOE[4].
Tras una carta de emplazamiento en noviembre de 2024 y un dictamen motivado (el último aviso antes de la demanda) en mayo de 2025, la Comisión Europea decidió el 8 de julio de 2026 llevar a España, con otros tres países, ante el Tribunal de Justicia de la UE. Pide una cantidad a tanto alzado y multas diarias hasta que la transposición esté completa[2], sanciones que pagaría el Estado y no las empresas.
Mientras, la NIS2 no obliga por sí sola a las empresas: a diferencia de un reglamento como el de inteligencia artificial, una directiva necesita la ley nacional, como recuerda INCIBE[3]. Si vendes a empresas de otros países de la UE, la mayoría ya la tiene en su ley[2].
A quién obliga la NIS2: sectores y tamaño
Hacen falta dos cosas a la vez: que tu actividad sea de uno de los tipos que enumeran sus anexos y que tu empresa sea mediana o grande[1].
- Anexo I
- Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas (quien administra o mantiene sistemas informáticos de otras), Administración pública y espacio[1].
- Anexo II
- Correos y mensajería, residuos, química, alimentación industrial y distribución al por mayor, fabricación de productos sanitarios, informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos y otro material de transporte, mercados en línea, buscadores, redes sociales e investigación[1]. El anteproyecto español añade la industria nuclear y la seguridad privada[9].
- Mediana o grande
- 50 personas o más en plantilla, o más de 10 millones de euros de facturación anual y más de 10 millones de balance a la vez[5][1].
- Cuenta el grupo
- Se suman las cifras de las empresas vinculadas y, en proporción, las de las asociadas desde el 25 % de participación[5].
- Sin mirar el tamaño
- Entre otras, telecomunicaciones para el público, servicios de confianza (como los certificados electrónicos), registros de dominios de primer nivel, proveedores de DNS, incluido quien gestiona el DNS de dominios ajenos, y quien el Estado señale por su peso en la seguridad, el orden o la salud públicos[1]. Quien solo vende dominios entra, sobre todo, para mantener al día los datos de quien los registra[1].
Resumen de los artículos 2 y 3 de la directiva y de la definición europea de pyme[1][5].
Qué exige a las empresas obligadas
Pide medidas «adecuadas y proporcionadas» al riesgo y al tamaño, y fija diez como mínimo, de la letra a) a la j) del artículo 21[1].
- ✓a) Análisis de riesgos y políticas de seguridad.
- ✓b) Gestión de incidentes.
- ✓c) Copias de seguridad, recuperación y gestión de crisis.
- ✓d) Seguridad de la cadena de suministro y de cada proveedor directo.
- ✓e) Seguridad al comprar, desarrollar y mantener sistemas, con gestión de vulnerabilidades.
- ✓f) Comprobar que las medidas funcionan.
- ✓g) Higiene digital básica y formación.
- ✓h) Criptografía y, en su caso, cifrado.
- ✓i) Control de accesos, gestión de activos y seguridad del personal.
- ✓j) Autenticación multifactor y comunicaciones seguras, cuando proceda.
Un incidente es significativo si causa o puede causar perturbaciones graves, pérdidas económicas o perjuicios considerables a otros. Se avisa al CSIRT, el equipo nacional de respuesta, o a la autoridad: alerta temprana en 24 horas, notificación con una primera evaluación en 72 horas e informe final un mes después, como muy tarde[1]. La dirección aprueba las medidas, responde de ellas y tiene que formarse[1].
Las multas por incumplir las medidas o los avisos las fija cada país, pero la directiva marca el mínimo al que tiene que poder llegar la máxima[1].
- Entidad esencial
- 10 millones de euros o el 2 % de la facturación mundial del año anterior, la cifra mayor[1].
- Entidad importante
- 7 millones de euros o el 1,4 %, también la cifra mayor[1].
Por qué le llega a una pyme que no está en la lista
La NIS2 llega a los proveedores porque a las empresas obligadas se les exige cuidar «la seguridad de la cadena de suministro», incluida la relación con cada proveedor directo, y valorar sus vulnerabilidades y prácticas (artículo 21, apartados 2.d y 3)[1]. La directiva les anima a llevarlo a los contratos[1]. Proveedor directo puede ser quien almacena sus datos, quien les mantiene la web y el correo corporativo, o el instalador que entra en remoto a sus máquinas.
La directiva explica el motivo: las pymes sufren cada vez más ataques a la cadena de suministro porque suelen tener menos medidas, y esos ataques pueden saltar en cascada a las empresas a las que sirven[1].
En la práctica suele llegar como cuestionario. La Comisión reconoce en su propuesta de enero de 2026 que la obligación ha llevado a muchas entidades a pedir a sus proveedores información extensa con cuestionarios y formatos dispares, una carga que puede ser importante cuando hay que repetir lo mismo[6]. Propone directrices sobre qué pedir y cómo, y que no se trasladen obligaciones indebidas a quien no está en la NIS2[6].
Una idea de lo que pueden pedirte la da la política tipo de INCIBE para que una pyme controle a sus propios proveedores: requisitos mínimos de seguridad, cláusulas de ciberseguridad en el contrato, reparto de responsabilidades, niveles de servicio, certificaciones para lo más crítico, auditorías y qué pasa con la información al acabar[11].
El anteproyecto español va en la misma línea, porque las obligadas notificarán sus incidentes significativos «tanto si son redes y servicios propios como si pertenecen a proveedores externos»[9]. Con 24 horas para dar la alerta, es probable que tu cliente te pida por contrato avisar enseguida.
Qué conviene tener hecho aunque no te obligue
Lo normal es que un cliente obligado te pregunte por la lista del artículo 21. Para empezar:
- ✓Doble factor en el correo, la banca y los accesos remotos a clientes, con contraseñas que no se repitan.
- ✓Copias de seguridad fuera del equipo principal, con una restauración probada y su fecha apuntada.
- ✓Actualizaciones al día en ordenadores, móviles, web y servidores.
- ✓Una lista de quién entra a qué, sin cuentas de gente que ya no trabaja contigo.
- ✓Un procedimiento corto para incidentes: a quién se llama, qué se desconecta y cuándo se avisa al cliente.
- ✓Formación para reconocer un correo falso.
- ✓El dominio del correo protegido con SPF, DKIM y DMARC.
INCIBE ordena sus recursos para empresas por las letras del artículo 21, con políticas tipo para pymes y una herramienta de autodiagnóstico[12], y atiende a empresas en su línea de ayuda, el 017[8].
Sin humo: la directiva no crea ningún «certificado NIS2» para proveedores; las certificaciones europeas que contempla son de productos y servicios TIC[1]. Ante un cliente pesa más enseñar las copias, el doble factor, los accesos y cómo avisas. Dejar bien atados la web y el correo de tu dominio es parte de lo que hacemos en diseño web. Comprobado el 22-10-2026; es divulgación, no asesoramiento legal.
Dudas rápidas
¿Cómo saber si me aplica la NIS2?
Tu actividad tiene que ser de uno de los tipos de sus anexos y tu empresa, contando su grupo, tiene que tener 50 personas o más, o más de 10 millones de euros de facturación y de balance[1][5]. Si no se cumplen las dos, quedas fuera, salvo excepciones como las telecomunicaciones para el público, los servicios de confianza o el DNS[1]. En general es la propia empresa la que tiene que identificarse[8].
¿La NIS2 ya es obligatoria en España?
Para las empresas, todavía no: una directiva necesita su ley nacional y la española no se ha publicado[3][4]. Sigue en vigor el Real Decreto-ley 12/2018 para quienes ya estaban obligados por él[7].
¿Me afecta la NIS2 si soy autónomo o microempresa?
En general no, salvo que tu grupo sea mediano o grande en una actividad de los anexos, que des telecomunicaciones al público, servicios de confianza o DNS, o que el Estado te designe[1][5]. Sí puede llegarte como proveedor de una empresa obligada[1].
¿Es lo mismo la NIS2 que el ENS?
No. La NIS2 depende del sector y del tamaño. El Esquema Nacional de Seguridad (Real Decreto 311/2022) es la norma del sector público y se aplica también a los sistemas de las empresas que, por contrato, le prestan servicios o soluciones; los pliegos de esos contratos deben recoger sus requisitos[13].
¿Cuándo entra en vigor la NIS2?
En la UE está en vigor desde el 16 de enero de 2023, con plazo hasta el 17 de octubre de 2024 para pasarla a las leyes nacionales[3]. En España se aplicará cuando se publique su ley.
¿La NIS2 obliga a tener un MDM para los móviles de la empresa?
No lo nombra. El artículo 21.2 exige control de accesos y gestión de activos (letra i) y, cuando proceda, autenticación multifactor y comunicaciones seguras (letra j)[1]. Un MDM (gestión de dispositivos móviles) es una forma habitual de cumplir eso en los móviles y portátiles del equipo, pero la directiva no impone ninguna herramienta con ese nombre.
¿Qué MDM cumple el ENS y la NIS2?
Ninguna de las dos certifica productos para cualquier empresa. El Centro Criptológico Nacional mantiene el CPSTIC, un catálogo de productos y servicios cualificados para los sistemas del Esquema Nacional de Seguridad, pensado para las Administraciones y quien les presta servicio por contrato, no una exigencia para toda pyme[14]. La NIS2 no tiene un catálogo equivalente: que un MDM «cumpla la NIS2» no es, de por sí, algo que la norma pida con ese nombre.
Fuentes
[1] Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (Directiva SRI 2). Texto publicado en el BOE (DOUE-L-2022-81963), considerandos 16, 56 y 85, artículos 2, 3, 6, 20, 21, 23, 24, 28, 32, 33, 34 y 41 y anexos I y II, consultado el 22 de octubre de 2026. Directiva NIS2 en el BOE
[2] Comisión Europea. (2026, 8 de julio). La Comisión lleva a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber transpuesto las normas sobre ciberseguridad, comunicado de prensa IP/26/1499, consultado el 22 de octubre de 2026. Comunicado IP/26/1499 de la Comisión
[3] INCIBE-CERT. FAQ NIS2, preguntas sobre la entrada en vigor, el calendario de implementación y la cadena de suministro, consultadas el 22 de octubre de 2026. Preguntas frecuentes sobre la NIS2 de INCIBE-CERT
[4] Agencia Estatal Boletín Oficial del Estado. Legislación consolidada, búsqueda de normas con «ciberseguridad» en el título ordenadas por fecha de publicación, consultada el 22 de octubre de 2026: la norma estatal más reciente es la Orden PCI/487/2019, que publica la Estrategia Nacional de Ciberseguridad 2019. Buscador de legislación del BOE
[5] Comisión Europea. (2003, 6 de mayo). Recomendación 2003/361/CE sobre la definición de microempresas, pequeñas y medianas empresas, Diario Oficial de la Unión Europea L 124 de 20 de mayo de 2003, artículos 2, 3 y 6 del anexo, consultada en la copia del BOE el 22 de octubre de 2026. Recomendación 2003/361/CE (PDF del BOE)
[6] Comisión Europea. (2026, 20 de enero). Proposal for a Directive amending Directive (EU) 2022/2555 as regards simplification measures and alignment with the Cybersecurity Act 2, COM(2026) 13 final, procedimiento 2026/0012 (COD), exposición de motivos y considerando 9, consultada en inglés el 22 de octubre de 2026. Propuesta COM(2026) 13 en la web de la Comisión
[7] Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Texto consolidado del BOE, última actualización publicada el 30 de marzo de 2022, consultado el 22 de octubre de 2026. Real Decreto-ley 12/2018 en el BOE
[8] Vivancos, E. (INCIBE). (2024, 16 de enero). NIS2: las pymes también son importantes y esenciales (II), blog de Protege tu empresa, consultado el 22 de octubre de 2026. Entrada del blog de INCIBE
[9] La Moncloa. (2025, 14 de enero). Referencia del Consejo de Ministros, apartado de Presidencia, Justicia y Relaciones con las Cortes sobre el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (aprobado «a los efectos previstos en el artículo 26.4 de la Ley 50/1997» y con tramitación urgente autorizada), consultada el 22 de octubre de 2026. Referencia del Consejo de Ministros del 14 de enero de 2025
[10] Congreso de los Diputados. Datos abiertos: proyectos de ley de la XV legislatura, fichero generado el 22 de octubre de 2026 con 115 proyectos, el último presentado el 23 de septiembre de 2026; ninguno trata de ciberseguridad, consultado el 22 de octubre de 2026. Datos abiertos de iniciativas del Congreso
[11] INCIBE. Políticas de seguridad para la pyme: relación con proveedores, apartado 1.3 (checklist), consultado el 22 de octubre de 2026. Política de relación con proveedores de INCIBE (PDF)
[12] INCIBE. Cumpliendo con la NIS2, temática de Protege tu empresa con los recursos ordenados por las letras del artículo 21.2, consultada el 22 de octubre de 2026. Cumpliendo con la NIS2, en INCIBE
[13] Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. Texto consolidado del BOE, última actualización publicada el 6 de noviembre de 2024, artículo 2, consultado el 22 de octubre de 2026. Esquema Nacional de Seguridad en el BOE
[14] Centro Criptológico Nacional. CPSTIC: Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación, portal oficial, consultado el 3 de noviembre de 2026. Catálogo CPSTIC del CCN
¿Te ha llegado un cuestionario de seguridad de un cliente?
Cuéntanos qué te piden y vemos contigo qué parte toca a tu web y a tu correo, y qué conviene preguntar a quien te lleva el resto.