Estado de la transposición de la Directiva NIS2 en España: ¿Por qué las pymes deben actuar ya?
NIS2 es la directiva europea de ciberseguridad que endurece las obligaciones para miles de empresas que hasta ahora no tenían ninguna exigencia legal en esta materia. En España genera una duda constante: si la ley española todavía no está aprobada, ¿hay que hacer algo ya? La respuesta corta es sí, y este análisis explica por qué.
1. Estado de la transposición en España (Agosto 2026)
El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, pero a día de hoy sigue en tramitación parlamentaria y no se ha publicado en el BOE. España incumplió el plazo de transposición del 17 de octubre de 2024, y la Comisión Europea ha remitido ya un segundo requerimiento formal (mayo de 2026) exigiendo que se transponga con urgencia. La ley puede llegar con sanciones aplicables desde su entrada en vigor, sin margen de adaptación adicional — esperar a que se publique para empezar a prepararse deja muy poco tiempo de maniobra.
2. ¿Qué es NIS2?
NIS2 (Directiva UE 2022/2555) es la actualización de la primera directiva de seguridad de redes y sistemas de información. Amplía de forma notable qué empresas quedan obligadas, exige medidas concretas de gestión de riesgos, impone plazos estrictos para notificar incidentes y responsabiliza directamente a la dirección de la organización — no solo al departamento técnico.
3. ¿A quién afecta?
La directiva clasifica a las organizaciones obligadas en dos niveles — entidades esenciales y entidades importantes — según dos criterios que se combinan:
- Criterio de Tamaño: 50 empleados o más de 10 M€ de facturación anual (basta con superar uno de los dos).
- Criterio de Sector: Anexo I (alta criticidad) o Anexo II de la directiva.
Sectores afectados:
- El Anexo I incluye, entre otros: Energía, transporte y agua potable/residuales, Banca e infraestructuras de mercados financieros, Sanidad, Infraestructura digital y gestión de servicios TIC, Administración pública y espacio.
- El Anexo II amplía el alcance a: Fabricación, alimentación, gestión de residuos, servicios postales, productos químicos y proveedores digitales, entre otros.
⚠️ La trampa de la cadena de suministro: «no me aplica» no es lo mismo que «no me van a pedir nada»
Aunque tu empresa esté muy por debajo de los umbrales de tamaño y no opere en ningún sector del Anexo I o II, eso solo significa que NIS2 no te obliga directamente — no que estés a salvo del todo. El artículo 21 de la directiva obliga a las entidades esenciales e importantes a gestionar también el riesgo de su cadena de suministro, evaluando la ciberseguridad de cada proveedor con el que trabajan. Y esa obligación no se queda en un informe interno: se traslada por contrato hacia abajo, a proveedores que muchas veces no tienen ni idea de que NIS2 existe.
En la práctica esto se traduce en cosas muy concretas que ya están empezando a pasar en España, incluso sin ley aprobada:
- Cuestionarios de seguridad como requisito para renovar o firmar un contrato, a veces con decenas de preguntas sobre gestión de riesgos, control de accesos o respuesta a incidentes.
- Cláusulas contractuales nuevas que exigen notificar cualquier incidente que afecte al cliente en un plazo determinado, o que dan derecho a auditar tus medidas de seguridad.
- Petición de certificaciones o evidencias (ISO 27001, ENS, o simplemente un análisis de riesgos documentado) como condición para seguir siendo proveedor homologado.
- Exclusión directa de concursos o RFPs si no puedes acreditar un mínimo de gestión de riesgos, sobre todo en licitaciones donde el cliente final es una entidad esencial.
Es probable que te llegue por esta vía si trabajas como proveedor —de software, de servicios TIC, de mantenimiento, de logística, de cualquier cosa con acceso a sus sistemas o datos— de clientes en banca, energía, sanidad, infraestructuras digitales o administración pública. Y a diferencia de la ley española, esto no depende de ningún BOE: lo decide cada cliente grande a su ritmo, y normalmente da poco margen de reacción cuando llega el cuestionario o la cláusula nueva.
La forma práctica de no verte pillado a contrapié es tener ya, aunque nadie te lo haya pedido todavía, un análisis de riesgos actualizado, un inventario de activos y un mínimo de evidencia documentada de cómo gestionas la seguridad — exactamente lo que se pide en cualquiera de esos cuestionarios, y lo que cuesta mucho improvisar en los pocos días que suele dar un cliente para responder.
4. ¿Qué exige exactamente?
Las obligaciones de seguridad son las mismas para entidades esenciales e importantes (lo que cambia es la supervisión y el tope sancionador). Entre ellas:
- Análisis y gestión de riesgos de ciberseguridad, documentado y actualizado.
- Gestión y respuesta a incidentes.
- Continuidad de negocio y gestión de crisis (planes de recuperación, copias de seguridad).
- Seguridad de la cadena de suministro frente a proveedores y prestadores de servicios.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
- Políticas para evaluar la eficacia de las medidas implantadas.
- Higiene básica de ciberseguridad y formación del personal.
- Cifrado y, cuando proceda, autenticación multifactor.
- Control de accesos y gestión de activos.
Notificación de incidentes: plazos escalonados
| Plazo | Qué hay que enviar |
|---|---|
| 24 horas | Alerta temprana ante un incidente significativo |
| 72 horas | Notificación con evaluación inicial del incidente |
| 1 mes | Informe final con causas, impacto y medidas correctoras |
Sanciones y responsabilidad de la dirección
Hasta 10 millones de euros o el 2% de la facturación anual global para entidades esenciales (el mayor de los dos importes), con topes algo menores para entidades importantes. La directiva responsabiliza también a los órganos de dirección, que deben aprobar y supervisar las medidas de gestión de riesgos.
5. ¿Qué hacer ya, aunque la ley española no esté publicada?
La Directiva NIS2 ya es de aplicación a nivel europeo desde octubre de 2024 — el retraso es solo de la ley española que la transpone al ordenamiento interno, no de la obligación de fondo. Cuando se publique, previsiblemente no habrá un periodo largo de adaptación. Tiene sentido empezar ahora por lo que ya se sabe con certeza que va a exigir:
- Identificar si tu empresa entra por tamaño/sector, o si es previsible que te lo exijan como proveedor.
- Inventariar activos y procesos críticos.
- Poner en marcha un proceso de análisis de riesgos recurrente, no un ejercicio puntual.
- Documentar las medidas de seguridad y quién es responsable de cada una.
- Definir cómo se notificaría un incidente y en qué plazos, antes de necesitarlo de verdad.
Cómo ayuda TRustea GRC
TRustea GRC conecta en una sola plataforma el inventario de activos, el análisis de riesgos (con un catálogo de amenazas basado en MAGERIT 3.0), las salvaguardas y controles, y las evidencias de cumplimiento — exactamente el tipo de gestión de riesgos documentada y trazable que NIS2 exige, y que hoy muchas pymes tienen repartida en hojas de cálculo sueltas. Si ya cumples ENS o ISO 27001, buena parte del trabajo se reaprovecha directamente.