NIS2 en España: qué se sabe en octubre de 2026

La directiva europea NIS2 (Directiva (UE) 2022/2555) amplía las obligaciones de ciberseguridad a muchos más sectores y empresas que la NIS original, y endurece las sanciones. Los Estados miembros tenían que transponerla antes del 17 de octubre de 2024. A fecha de este artículo, octubre de 2026, España no ha publicado en el BOE la ley que la transpone, la futura Ley de Coordinación y Gobernanza de la Ciberseguridad.

Dónde está la ley española

• 14 de enero de 2025: el Consejo de Ministros aprueba el anteproyecto y lo tramita por la vía de urgencia.
• Mayo de 2025: la Comisión Europea envía a España un dictamen motivado por no haber notificado la transposición.
• Julio de 2026: la Comisión lleva a España ante el Tribunal de Justicia de la UE por el mismo motivo.

Mientras tanto siguen en vigor el Real Decreto-ley 12/2018 y su reglamento, el Real Decreto 43/2021, que transponen la NIS anterior y solo obligan a operadores de servicios esenciales y proveedores de servicios digitales. Si trabajas con la Administración, también aplica el Esquema Nacional de Seguridad (ENS).

Conviene comprobar el estado en el BOE antes de tomar decisiones: este artículo describe la situación en una fecha concreta.

A quién afectará NIS2

La directiva distingue entre entidades esenciales e importantes, según el sector y el tamaño. Como regla general entran las medianas y grandes empresas (a partir de 50 empleados o 10 millones de euros de facturación) de sectores como energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación de ciertos productos y proveedores digitales. Algunas entidades entran sea cual sea su tamaño, como los proveedores de DNS o de servicios de confianza.

Lo que más se pasa por alto: aunque tu empresa no entre, si eres proveedor de una que sí, te van a llegar requisitos por contrato. NIS2 obliga a las entidades a gestionar la seguridad de su cadena de suministro.

Qué exige

El artículo 21 de la directiva enumera las medidas mínimas de gestión de riesgos. Las que más trabajo dan en la práctica:

• Análisis de riesgos y políticas de seguridad de los sistemas de información.
• Gestión de incidentes, continuidad de negocio y copias de seguridad.
• Seguridad de la cadena de suministro.
• Gestión de vulnerabilidades, incluida su divulgación.
• Autenticación multifactor, control de accesos y gestión de activos.
• Cifrado, formación y ciberhigiene básica.

Y la parte con plazos: ante un incidente significativo, una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. La directiva hace además responsables a los órganos de dirección: tienen que aprobar las medidas y formarse.

Sanciones

Para entidades esenciales, hasta 10 millones de euros o el 2 % de la facturación mundial anual, lo que sea mayor. Para entidades importantes, hasta 7 millones o el 1,4 %. La cuantía concreta en España dependerá de la ley final.

Qué conviene hacer sin esperar a la ley

Casi todo lo que pide el artículo 21 es buena práctica que conviene tener igualmente, y la ley no va a cambiar la directiva en lo esencial:

1. Confirmar si tu organización, o tus clientes, entran en el ámbito por sector y tamaño.
2. Tener un procedimiento de gestión de incidentes que permita cumplir el plazo de 24 horas: quién decide qué es significativo y quién notifica.
3. Inventario de activos y de proveedores críticos.
4. MFA y mínimo privilegio en las cuentas con acceso a sistemas importantes. Es el punto que con menos esfuerzo más riesgo quita.
5. Un proceso de gestión de vulnerabilidades que priorice por explotación real y no solo por CVSS.

Preguntas frecuentes

¿NIS2 ya es obligatoria en España?

La directiva está en vigor a nivel europeo, pero obliga a los Estados, no directamente a las empresas. En España las obligaciones concretas llegarán con la ley de transposición, que en octubre de 2026 aún no está publicada en el BOE. Hoy se aplica el Real Decreto-ley 12/2018.

¿Mi pyme está afectada por NIS2?

Las pequeñas empresas (menos de 50 empleados y menos de 10 millones de facturación) quedan fuera en general, salvo excepciones por actividad. Pero pueden recibir requisitos si son proveedoras de una entidad obligada.

¿Qué diferencia hay entre NIS2 y el ENS?

El ENS es la norma española de seguridad para el sector público y sus proveedores. NIS2 es una directiva europea para sectores críticos públicos y privados. Se solapan en muchas medidas, y estar certificado en ENS adelanta buena parte del trabajo.