NIS2 y la transposición española de la directiva
Módulo 9: Normativa y organización · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá explicar qué regula la directiva NIS2 y su transposición nacional, para quién es de aplicación y qué significa a través de la cadena para las pequeñas empresas.
Conceptos clave: NIS2, transposición nacional de NIS2, entidad esencial e importante, sector, tamaño, deber de diligencia, obligación de notificación (24 horas, 72 horas, 1 mes), obligación de registro, cadena de suministro, autoevaluación de la autoridad competente
De directiva europea a ley nacional
NIS2 es una directiva europea de 2022 (Directiva (UE) 2022/2555) que busca aumentar la resiliencia digital de las organizaciones importantes en toda la UE. Una directiva no se aplica de forma directa: cada país la incorpora en su propia legislación nacional. En España, esta transposición aún está en trámite; a principios de noviembre de 2026 todavía no ha entrado en vigor. Mientras tanto, conviene seguir de cerca el proceso legislativo y consultar las fuentes oficiales para conocer la fecha de entrada en vigor y el desarrollo reglamentario que la acompañará. No se indica aquí ninguna fecha ni número de ley, ya que ambos pueden cambiar hasta la publicación oficial.
Según las estimaciones del regulador europeo, solo una parte reducida de todas las organizaciones de un país queda sujeta a esta normativa. Por eso, para la mayoría de las pequeñas empresas la pregunta más importante no es "¿qué debo hacer yo por la ley?", sino "¿qué me pedirán mis clientes porque ellos sí están sujetos a la ley?". Volveremos sobre esto más adelante.
El organismo de referencia para estas cuestiones en España es INCIBE (Instituto Nacional de Ciberseguridad), que también atiende a las pequeñas y medianas empresas a través de su sección dedicada a empresas, https://www.incibe.es/empresas.
¿Le afecta a usted? Sector y tamaño
Que una organización quede sujeta a esta normativa depende de dos preguntas.
1. ¿Trabaja usted en un sector incluido en la norma? La directiva tiene dos anexos.
| Anexo 1 (11 sectores) | Anexo 2 (7 sectores) |
|---|---|
| energía, transporte, banca, agua potable, infraestructura digital, gestión de servicios TIC, espacio, infraestructura del mercado financiero, sanidad, aguas residuales, administración pública | proveedores digitales, servicios postales y de mensajería, gestión de residuos, alimentación, sustancias químicas, investigación, fabricación (industria manufacturera) |
Para algunos sectores se aplican condiciones adicionales que determina el ministerio competente. No toda organización que tenga algo que ver con "alimentación" queda, por tanto, automáticamente incluida.
2. ¿Es usted lo bastante grande? Su organización cuenta si usted tiene:
- 50 o más empleados (ETC), o
- menos de 50 empleados, pero su facturación anual y su balance total superan ambos los 10 millones de euros.
Las empresas asociadas y vinculadas cuentan también. Una empresa con 20 empleados que pertenece a un grupo de 200 puede, por tanto, quedar incluida de todos modos.
Excepciones: independientemente del tamaño. Algunos tipos de organizaciones quedan siempre incluidos, por pequeños que sean: proveedores de servicios DNS, registros de dominios de primer nivel, proveedores de redes y servicios públicos de comunicaciones electrónicas, prestadores de servicios de confianza y organismos de la administración pública. También los proveedores de servicios de registro de nombres de dominio deben registrarse.
Esencial o importante
Las organizaciones sujetas a la norma son entidades esenciales o importantes. En términos generales: las organizaciones grandes de los sectores del anexo 1 y algunos tipos designados independientemente del tamaño son esenciales; el resto es importante. La diferencia está sobre todo en la supervisión: en las entidades esenciales, la autoridad competente puede controlar por iniciativa propia, por ejemplo mediante inspecciones y auditorías; en las entidades importantes, interviene sobre todo a posteriori, cuando hay indicios de que algo no va bien. Las obligaciones en sí son en gran parte iguales. Si usted es esencial o importante se determina con la autoevaluación que se indica a continuación.
Compruébelo usted mismo
Siga las fuentes oficiales de su país para conocer si existe una herramienta de autoevaluación equivalente a la prevista en otros estados miembros, que suele consistir en una serie de preguntas sobre sector, tamaño y servicios que ofrecen un resultado orientativo. Si tiene dudas, por ejemplo porque su empresa pertenece a un grupo o trabaja en varios países, consulte con un asesor especializado o con la autoridad competente de su país.
Qué exige la norma
Si su organización queda sujeta a ella, se aplican tres obligaciones.
Obligación de registro
Usted registra su organización ante la autoridad competente de su país, a través del canal de registro correspondiente. Así la administración sabe quién está sujeto a la norma y puede contactarle en caso de una amenaza.
Deber de diligencia
Usted realiza un análisis de riesgos y, a partir de este, adopta medidas adecuadas y proporcionadas para la seguridad de sus sistemas de redes e información. La directiva europea señala al menos diez ámbitos, todos los cuales ha visto ya en este curso:
- análisis de riesgos (lección 1.1 y 9.3);
- gestión de incidentes con un plan de incidentes (lección 8.1);
- preparación ante interrupciones: copias de seguridad, planes de recuperación, gestión de crisis (módulo 6);
- seguridad de la cadena de suministro, incluidos los riesgos de los proveedores (lección 7.2);
- ciberhigiene y formación (lección 9.2);
- adquisición, desarrollo y mantenimiento seguros de sistemas, incluidas las actualizaciones (lección 5.1);
- personal, política de accesos y gestión de equipos y software (lección 7.1);
- passkeys o autenticación multifactor y comunicaciones seguras (módulo 2);
- una política de criptografía (cifrado);
- evaluar si las medidas funcionan, por ejemplo mediante pruebas periódicas (lección 6.3 y 9.3).
La dirección de la organización es responsable: aprueba las medidas y supervisa su ejecución. Según la directiva europea, los miembros de la dirección también deben recibir formación sobre ciberriesgos. La ciberseguridad deja así de ser una tarea que se delega sin más en el informático.
Obligación de notificación
Un incidente significativo se notifica ante la autoridad competente de su país. Se trata de un incidente que perturba gravemente su prestación de servicios, causa un perjuicio económico o puede causar un perjuicio considerable a terceros; los umbrales exactos varían según el sector. Los plazos se cuentan desde el momento en que usted tiene conocimiento del incidente:
| Plazo | Qué envía |
|---|---|
| En un plazo de 24 horas | Alerta temprana: si es presuntamente malicioso, si hay efectos transfronterizos, quién es la persona de contacto |
| En un plazo de 72 horas | Notificación del incidente: una actualización con una primera valoración de gravedad e impacto |
| En el plazo de 1 mes tras la notificación | Informe final: qué ocurrió, la causa y las medidas (si el incidente se prolonga: un informe de situación) |
Una única notificación a la autoridad competente llega tanto al equipo de respuesta a incidentes (CSIRT) como al supervisor. Además, según la directiva, usted debe informar, cuando sea necesario, a los destinatarios de sus servicios sobre los incidentes significativos que puedan afectarles.
Notificación por NIS2 y notificación por el RGPD: dos cosas distintas
Se parece a la obligación de notificación de brechas de datos del RGPD (lección 8.2), y el plazo de "72 horas" aparece en ambas. Aun así, son dos obligaciones independientes.
| Transposición de NIS2 | RGPD (brecha de datos) | |
|---|---|---|
| Para quién | Organizaciones sujetas a la transposición de NIS2 | Cualquiera que trate datos personales, también un autónomo |
| Sobre qué | Incidentes significativos relacionados con su prestación de servicios | Violaciones de la seguridad de los datos personales |
| Ante quién | La autoridad competente de ciberseguridad | La Agencia Española de Protección de Datos (AEPD) |
| Plazos | 24 horas, 72 horas, 1 mes | Sin dilación indebida, a ser posible en 72 horas |
Un ataque de ransomware sufrido por una organización sujeta a NIS2 en el que también se roben datos de clientes debe notificarse, por tanto, a ambos organismos. Y una pequeña empresa que no esté sujeta a la transposición de NIS2 sí tiene la obligación de notificación del RGPD si se filtran datos personales.
Si no le afecta directamente: la cadena de suministro
Para la mayoría de los lectores de este curso, la respuesta a la primera pregunta es: no, mi empresa no está sujeta a la transposición de NIS2. La panadería con doce empleados, la gestoría con cinco, el desarrollador web que trabaja solo. En ese caso, usted no tiene obligaciones legales derivadas de esa normativa: ni registro, ni obligación de notificación ante la autoridad competente, ni supervisión.
Pero la norma puede llegarle igualmente a través de sus clientes. Las organizaciones sujetas a ella deben proteger su cadena de suministro: deben tener en cuenta las vulnerabilidades de sus proveedores directos y prestadores de servicios. Las guías oficiales señalan que la norma no impone obligaciones directas a los proveedores en sí, pero que las organizaciones sujetas a ella sí pueden exigir a sus proveedores determinados requisitos de seguridad digital. Esos requisitos acaban entonces reflejados en su contrato o en un cuestionario.
Un ejemplo. Una pequeña empresa de TI con seis empleados gestiona los portátiles y la red de una empresa de transporte mediana con 140 empleados. La empresa de transporte está sujeta a la normativa (transporte, lo bastante grande). La empresa de TI en sí no lo está: "gestión de servicios TIC" sí figura en el anexo 1, pero la empresa es demasiado pequeña. Aun así, recibe un cuestionario: ¿tienen verificación en dos pasos en las herramientas de gestión?, ¿quién tiene acceso a nuestros sistemas?, ¿con qué rapidez nos notificarían un incidente?, ¿dónde están las copias de seguridad?
Lo que indican las guías oficiales al respecto, y lo que eso significa para usted:
- Los requisitos deben ser proporcionados. Un cliente debe valorar el riesgo que su servicio le supone. Un proveedor con acceso a los sistemas recibirá requisitos más estrictos que el panadero que entrega el almuerzo.
- Se trata de proveedores directos. Los proveedores de sus proveedores quedan fuera del alcance de la norma.
- Un certificado no es obligatorio. La normativa no exige ningún sello de calidad concreto. Un certificado puede facilitar la conversación, pero no es ninguna garantía ni una exigencia legal.
- Empiece pronto la conversación. Identifique qué medidas ya tiene implantadas en los puntos de contacto con el cliente, y deje constancia de los acuerdos por escrito.
No lo exagere, por tanto. La normativa no convierte a una pequeña empresa en una organización "sujeta a NIS2", y un asesor que le diga lo contrario para venderle una certificación cara solo le cuenta una parte de la historia. Pero tampoco lo subestime: quien suministra a organizaciones más grandes cada vez debe poder demostrar más a menudo que tiene cubierto lo básico. Las medidas básicas de este curso son exactamente lo que suele pedir ese tipo de cuestionario.
Esta lección ofrece una explicación general y no constituye asesoramiento jurídico. Consulte la normativa vigente en las fuentes oficiales de su país y, para el marco europeo, en el texto de la directiva: https://eur-lex.europa.eu/eli/dir/2022/2555/oj.
Resumen
- La transposición nacional de NIS2 desarrolla esta directiva europea; a principios de noviembre de 2026 aún no ha entrado en vigor en España.
- Queda sujeto si opera en un sector del anexo 1 o 2 y tiene 50 o más ETC, o facturación anual y balance total superan ambos los 10 millones de euros; algunos tipos (como los proveedores de servicios DNS y la administración pública) quedan incluidos independientemente del tamaño.
- Obligaciones: registro ante la autoridad competente, deber de diligencia con análisis de riesgos y medidas adecuadas bajo responsabilidad de la dirección, y notificación de incidentes significativos en 24 horas, 72 horas y 1 mes.
- La notificación por NIS2 ante la autoridad competente es independiente de la notificación de brechas de datos del RGPD ante la AEPD; a veces deben hacerse ambas.
- Una pequeña empresa normalmente no queda sujeta por sí misma, pero puede recibir, a través de clientes que sí lo estén, requisitos de seguridad proporcionados.
Cuestionario
Ejercicio
Ejercicio A9.1: ¿Está sujeta a la transposición española de NIS2? Recibirá seis breves descripciones de organizaciones (sector, número de empleados, facturación, balance total, y en su caso un grupo o un gran cliente). Determine para cada organización: queda sujeta, no queda sujeta pero probablemente recibirá requisitos a través de un cliente, o no queda sujeta. El programa corrige y muestra, para cada organización, los pasos del árbol de decisión.
Para saber más
Sobre la transposición española de NIS2 todavía no hay ningún artículo en la base de conocimientos de WebOké; utilice las fuentes oficiales.
- INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
- Directiva (UE) 2022/2555 (NIS2), texto completo: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Comisión Europea, sobre la directiva NIS2: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- ENISA, Agencia de la Unión Europea para la Ciberseguridad: https://www.enisa.europa.eu/
- Texto del RGPD: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Agencia Española de Protección de Datos (AEPD): https://www.aepd.es/
- Comité Europeo de Protección de Datos (EDPB), autoridades de protección de datos: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en