¿Qué es la Directiva NIS2 y Cómo Afecta a tu PYME?
NIS2 es la Directiva (UE) 2022/2555, la norma europea sobre medidas para un nivel común elevado de ciberseguridad. Sustituye a la Directiva NIS1 (2016/1148), que quedó derogada con efectos desde el 18 de octubre de 2024 (art. 44), y amplía los sectores y tipos de entidad incluidos.
Una Directiva no es un reglamento
Una Directiva obliga a los Estados miembros a aprobar leyes nacionales; no impone directamente sanciones a una empresa. Por eso lo que tendrá que hacer una empresa española depende de la ley que apruebe España, no solo del texto europeo.
Estado de la transposición en España (revisado el 20/09/2026)
El plazo terminó el 17 de octubre de 2024 (art. 41). El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que prevé un Centro Nacional de Ciberseguridad como autoridad competente única. En las fuentes oficiales consultadas no consta su publicación en el BOE. Hasta entonces no hay autoridad, canal de notificación ni régimen sancionador NIS2 fijados por ley española; se mantiene el marco de NIS1 (Real Decreto-ley 12/2018).
A quién se aplica
Se aplica a entidades públicas o privadas de los tipos de los anexos I y II que sean al menos medianas, y a otras concretas con independencia del tamaño (art. 2). Se distinguen entidades esenciales e importantes (art. 3). El detalle y el método para comprobarlo están en ¿Tu PYME está obligada por NIS2? y en los sectores de los anexos.
Qué exige la Directiva a las entidades incluidas
| Materia | Artículo | Qué dice, en resumen |
|---|---|---|
| Gobernanza | 20 | Los órganos de dirección aprueban las medidas de gestión de riesgos, supervisan su aplicación y responden por su incumplimiento; sus miembros deben recibir formación |
| Gestión de riesgos | 21 | Medidas técnicas, operativas y de organización “adecuadas y proporcionadas”, con un enfoque de todos los peligros y, como mínimo, diez áreas (políticas y análisis de riesgos, gestión de incidentes, continuidad, cadena de suministro, ciberhigiene, criptografía, control de accesos, MFA cuando proceda, entre otras) |
| Notificación | 23 | Aviso de los incidentes significativos al CSIRT o a la autoridad competente: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes |
| Supervisión y sanciones | 32-34 | Poderes de supervisión y multas máximas mínimas de 10 M€ / 2 % (esenciales) y 7 M€ / 1,4 % (importantes) |
Lo que no hace la Directiva es prescribir productos, algoritmos, frecuencias de auditoría, plazos de recuperación ni certificaciones: exige medidas proporcionadas al riesgo, al tamaño y a la exposición de cada entidad. Los detalles técnicos concretos, cuando existan, vendrán de la ley nacional o de actos de ejecución.
Qué puede hacer una PYME mientras tanto
- Comprobar si su sector y tamaño la sitúan dentro (guía).
- Aunque no esté incluida, ordenar lo básico: inventario de activos, copias de seguridad probadas, control de accesos, formación y un plan de respuesta a incidentes. Es buena práctica y puede pedírtelo un cliente por contrato.
- Consultar el checklist orientativo y compararlo con un marco voluntario como ISO 27001 (NIS2 vs ISO 27001).
- Seguir la tramitación de la ley española antes de tomar decisiones de inversión.
Artículos relacionados
- ¿Tu PYME está obligada por NIS2? Cómo saberlo
- Sectores de NIS2: qué recogen realmente los anexos I y II
- Checklist orientativo de medidas del artículo 21
- NIS2 vs ISO 27001
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2) en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- Departamento de Seguridad Nacional: anteproyecto de ley
- BOE: Real Decreto-ley 12/2018 (marco NIS1 vigente)
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a todas las PYMEs?
- No. Como regla general se aplica a entidades de los sectores de los anexos I y II que sean al menos medianas (las micro y pequeñas quedan fuera salvo excepciones del artículo 2). Depende de la actividad y del tamaño, no solo de ser PYME.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes (art. 34). La sanción concreta la fijará la ley española, todavía no publicada.
- ¿Necesito una consultora para cumplir NIS2?
- No existe obligación general de contratar una consultora. Depende del alcance aplicable, de los riesgos, de los recursos internos y de la complejidad técnica de tu empresa.
