La mayoría de las empresas españolas que tendrán que cumplir NIS2 no se consideran infraestructura crítica. Ese es precisamente el punto. La Directiva (UE) 2022/2555, conocida como NIS2, amplía el esquema anterior a muchos más sectores y tamaños, y alcanza a empresas más pequeñas a través de la cadena de suministro de las organizaciones que sí nombra. La primera pregunta no es cómo cumplir, sino si estás dentro del ámbito.
Entidades esenciales e importantes: las dos categorías
NIS2 divide a las organizaciones obligadas en entidades esenciales y entidades importantes. Las dos afrontan las mismas obligaciones básicas de seguridad; la diferencia está en la supervisión y en las sanciones. Las entidades esenciales se supervisan de forma proactiva y se exponen a sanciones máximas más altas; las importantes se supervisan sobre todo a posteriori, cuando ocurre un incidente. La categoría depende del sector y del tamaño de la entidad.
Los sectores y el umbral de tamaño
El ámbito se define por sector (los anexos de la directiva) y por tamaño. El Anexo I recoge los sectores de alta criticidad (energía, transporte, banca, infraestructuras del mercado financiero, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC, administración pública y espacio). El Anexo II recoge otros sectores críticos (servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación de ciertos productos, proveedores digitales e investigación). Como regla general entran las entidades de tamaño mediano o superior: desde 50 empleados o 10 millones de euros de facturación para las importantes, y desde 250 empleados o 50 millones para las esenciales, con algunas entidades obligadas con independencia de su tamaño.
Cómo alcanza NIS2 a empresas que no figuran en los anexos: la cadena de suministro
Aunque tu empresa no esté en los anexos, NIS2 puede alcanzarte igualmente. El artículo 21 obliga a las entidades cubiertas a gestionar la seguridad de su cadena de suministro, de modo que trasladan requisitos de seguridad a sus proveedores mediante contratos. Para buena parte del mercado medio español, el primer contacto con NIS2 es el cuestionario de un cliente o una cláusula nueva, no una carta de un regulador, igual que ocurre con un pliego que de repente exige el ENS.
Qué exige NIS2: medidas de gestión de riesgos y notificación de incidentes
El artículo 21 fija una base de medidas de gestión de riesgos: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, seguridad en la adquisición y el desarrollo, gestión de vulnerabilidades, políticas para evaluar la eficacia, higiene básica y formación, criptografía, control de accesos y gestión de activos, y autenticación multifactor. El artículo 23 fija los plazos para un incidente significativo: una alerta temprana en 24 horas, una notificación completa en 72 horas y un informe final en un mes.
La responsabilidad de la dirección: el órgano de gobierno responde
NIS2 convierte la ciberseguridad en un deber del órgano de dirección. El artículo 20 exige que la dirección apruebe las medidas de gestión de riesgos, supervise su implantación y responda por los incumplimientos. Los directivos también deben recibir formación. La seguridad deja de ser algo que se delega por completo en el área de TI.
NIS2 en España: estado de la transposición y quién supervisa
La directiva se aplica en toda la UE desde el 17 de octubre de 2024, fecha límite para que los Estados miembros la transpusieran. España no cumplió ese plazo. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, sigue en tramitación parlamentaria y no se ha publicado en el BOE a finales de 2026; la Comisión Europea ha abierto un procedimiento de infracción por el retraso. El anteproyecto reparte la supervisión entre varios organismos y mantiene el modelo español de tres CSIRT: INCIBE-CERT para el sector privado y la ciudadanía, CCN-CERT para el sector público y ESPDEF-CERT para el ámbito de defensa. Cuando se publique la ley, se prevé que los plazos de adaptación sean cortos.
Cómo prepararse sin convertir NIS2 en un proyecto aparte
Las medidas de NIS2 se solapan en gran medida con marcos que muchas empresas españolas ya aplican, sobre todo ISO 27001 y el ENS. El análisis de riesgos, la gestión de incidentes, el control de accesos y los requisitos de cadena de suministro encajan de cerca con controles que esos marcos ya definen. Una plataforma reutiliza esos controles y sus evidencias para NIS2, de modo que prepararse es una extensión de un programa existente y no uno nuevo. Qalea lo opera en su plataforma, con el acompañamiento de su equipo y junto al equipo propio de la empresa. Para ver cómo encaja la parte de cumplimiento con la de seguridad operada, mira cómo se relaciona una plataforma de compliance con la seguridad operada.
