Sectores de NIS2: Qué Recogen Realmente los Anexos I y II
Muchas guías presentan una “lista de sectores afectados” ampliada con ejemplos que no están en la Directiva. Esta página reproduce lo que dicen los anexos I y II del texto oficial y marca lo que no incluyen. Para saber si tu empresa concreta está obligada, sigue el método de ¿Tu PYME está obligada por NIS2?.
Cómo leer los anexos
- Los anexos enumeran tipos de entidad, con referencias a otras normas europeas que los definen. No son “sectores enteros”.
- Estar en un anexo no basta: la regla general exige además ser al menos mediana empresa (art. 2.1), salvo excepciones del art. 2.
- El anexo I son sectores de “alta criticidad”; el II, “otros sectores críticos”. La diferencia influye en si la entidad es esencial o importante (art. 3), no en las medidas de seguridad del art. 21.
Anexo I: sectores de alta criticidad
| Sector | Qué recoge (resumen) |
|---|---|
| Energía | Electricidad (suministro, redes de distribución y transporte, productores, operadores del mercado, agregación y almacenamiento, puntos de recarga); calefacción y refrigeración urbanas; crudo; gas; hidrógeno |
| Transporte | Aéreo (compañías, aeropuertos, control del tráfico), ferrocarril, marítimo y fluvial (empresas, puertos, tráfico de buques), carretera (autoridades viarias y sistemas de transporte inteligentes) |
| Banca | Entidades de crédito |
| Infraestructuras de mercados financieros | Gestores de centros de negociación y entidades de contrapartida central |
| Sanitario | Prestadores de asistencia sanitaria; laboratorios de referencia de la UE; I+D de medicamentos; fabricantes de productos farmacéuticos de base y especialidades; fabricantes de productos sanitarios esenciales en emergencias de salud pública |
| Agua potable | Suministradores y distribuidores (excluidos los que lo hacen como parte no esencial de otra actividad) |
| Aguas residuales | Recogida, eliminación o tratamiento (excluidas las empresas para las que es parte no esencial de su actividad) |
| Infraestructura digital | Puntos de intercambio de internet, DNS, registros de dominio de primer nivel, computación en nube, centros de datos, redes de distribución de contenidos, servicios de confianza, redes y servicios de comunicaciones electrónicas públicos |
| Gestión de servicios de TIC (entre empresas) | Proveedores de servicios gestionados y de servicios de seguridad gestionados |
| Administración pública | Administración central y regional (no el poder judicial, los parlamentos ni los bancos centrales) |
| Espacio | Operadores de infraestructuras terrestres que apoyan servicios espaciales |
Anexo II: otros sectores críticos
| Sector | Qué recoge (resumen) |
|---|---|
| Servicios postales y de mensajería | Proveedores de servicios postales, incluidos los de mensajería |
| Gestión de residuos | Empresas de gestión de residuos, salvo aquellas para las que no es su principal actividad económica |
| Sustancias y mezclas químicas | Fabricación y distribución de sustancias o mezclas, y producción de artículos a partir de ellas |
| Alimentos | Empresas alimentarias dedicadas a la distribución al por mayor y a la producción y transformación industriales |
| Fabricación | Productos sanitarios y de diagnóstico in vitro; productos informáticos, electrónicos y ópticos; material eléctrico; maquinaria y equipo; vehículos de motor, remolques y semirremolques; otro material de transporte |
| Proveedores de servicios digitales | Mercados en línea, motores de búsqueda en línea y plataformas de redes sociales |
| Investigación | Organismos de investigación |
Lo que la Directiva no dice
Estas actividades no aparecen como tipo de entidad en los anexos, aunque algunas guías las incluyan: comercio electrónico en general (el anexo II recoge a los proveedores de mercados en línea, no a cualquier tienda online), seguros, farmacias de venta al público (sí figuran fabricantes e I+D farmacéuticos), consultoría, gestorías, comercio minorista de alimentos o talleres de mantenimiento. Que la ley española amplíe el alcance es posible (el art. 2.5 permite a los Estados extender la Directiva, por ejemplo, a la Administración local y a los centros de enseñanza); habrá que verlo en el texto final.
Estado de la transposición (revisado el 20/09/2026)
España debía transponer NIS2 antes del 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que según la Moncloa sigue un procedimiento de urgencia con informes y dictamen del Consejo de Estado antes de remitirse a las Cortes. En las fuentes oficiales consultadas no consta su publicación en el BOE, por lo que el alcance final y las obligaciones concretas para las empresas españolas siguen pendientes.
Medidas de seguridad: no hay listas por sector
El artículo 21 exige medidas técnicas, operativas y de organización “adecuadas y proporcionadas” al riesgo, con el mismo esquema de diez áreas para todos los sectores. Los anexos no prescriben MFA, cifrado, SCADA, monitorización 24/7 ni auditorías con una frecuencia dada. Si un sector tiene requisitos específicos, vendrán de normativa sectorial o de la ley española.
Artículos relacionados
- ¿Tu PYME está obligada por NIS2? Cómo saberlo
- ¿Qué es la Directiva NIS2 y cómo afecta a tu PYME?
- NIS2 y cadena de suministro: qué debes exigir a tus proveedores
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), anexos I y II, en EUR-Lex
- La Moncloa, 14/01/2025: Ley de Coordinación y Gobernanza de la Ciberseguridad
- Departamento de Seguridad Nacional: anteproyecto de ley
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Mi sector aparece en los anexos? ¿Eso significa que estoy obligada?
- No necesariamente. Estar en un anexo es la primera condición; después hay que cumplir el criterio de tamaño (como regla general, ser al menos mediana) o encajar en una de las excepciones del artículo 2. Además, la ley española puede concretar o ampliar el alcance.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados miembros a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes), pero la sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Los anexos imponen controles técnicos distintos por sector?
- No. Los anexos solo determinan qué tipos de entidad están incluidos. Las medidas de seguridad son las del artículo 21 (proporcionadas al riesgo, tamaño y exposición de cada entidad), no listas de controles por sector.
