NIS2 a Espanya: què se sap a l'octubre de 2026

La directiva europea NIS2 (Directiva (UE) 2022/2555) amplia les obligacions de ciberseguretat a molts més sectors i empreses que la NIS original, i endureix les sancions. Els estats membres l'havien de transposar abans del 17 d'octubre de 2024. En la data d'aquest article, octubre de 2026, Espanya no ha publicat al BOE la llei que la transposa, la futura Ley de Coordinación y Gobernanza de la Ciberseguridad.

On és la llei espanyola

• 14 de gener de 2025: el Consell de Ministres aprova l'avantprojecte i el tramita per la via d'urgència.
• Maig de 2025: la Comissió Europea envia a Espanya un dictamen motivat per no haver notificat la transposició.
• Juliol de 2026: la Comissió porta Espanya davant el Tribunal de Justícia de la UE pel mateix motiu.

Mentrestant continuen en vigor el Real Decreto-ley 12/2018 i el seu reglament, el Real Decreto 43/2021, que transposen la NIS anterior i només obliguen operadors de serveis essencials i proveïdors de serveis digitals. Si treballes amb l'Administració, també s'aplica l'Esquema Nacional de Seguridad (ENS).

Convé comprovar l'estat al BOE abans de prendre decisions: aquest article descriu la situació en una data concreta.

A qui afectarà NIS2

La directiva distingeix entre entitats essencials i importants, segons el sector i la mida. Com a regla general hi entren les mitjanes i grans empreses (a partir de 50 empleats o 10 milions d'euros de facturació) de sectors com energia, transport, banca, sanitat, aigua, infraestructura digital, gestió de serveis TIC, administració pública, serveis postals, gestió de residus, química, alimentació, fabricació de certs productes i proveïdors digitals. Algunes entitats hi entren sigui quina sigui la seva mida, com els proveïdors de DNS o de serveis de confiança.

El que més es passa per alt: encara que la teva empresa no hi entri, si ets proveïdor d'una que sí, et arribaran requisits per contracte. NIS2 obliga les entitats a gestionar la seguretat de la seva cadena de subministrament.

Què exigeix

L'article 21 de la directiva enumera les mesures mínimes de gestió de riscos. Les que donen més feina a la pràctica:

• Anàlisi de riscos i polítiques de seguretat dels sistemes d'informació.
• Gestió d'incidents, continuïtat de negoci i còpies de seguretat.
• Seguretat de la cadena de subministrament.
• Gestió de vulnerabilitats, inclosa la seva divulgació.
• Autenticació multifactor, control d'accessos i gestió d'actius.
• Xifratge, formació i ciberhigiene bàsica.

I la part amb terminis: davant d'un incident significatiu, una alerta primerenca en 24 hores, una notificació en 72 hores i un informe final en un mes. La directiva fa a més responsables els òrgans de direcció: han d'aprovar les mesures i formar-se.

Sancions

Per a entitats essencials, fins a 10 milions d'euros o el 2 % de la facturació mundial anual, el que sigui més gran. Per a entitats importants, fins a 7 milions o l'1,4 %. La quantia concreta a Espanya dependrà de la llei final.

Què convé fer sense esperar la llei

Quasi tot el que demana l'article 21 és bona pràctica que convé tenir igualment, i la llei no canviarà la directiva en l'essencial:

1. Confirmar si la teva organització, o els teus clients, entren en l'àmbit per sector i mida.
2. Tenir un procediment de gestió d'incidents que permeti complir el termini de 24 hores: qui decideix què és significatiu i qui notifica.
3. Inventari d'actius i de proveïdors crítics.
4. MFA i mínim privilegi en els comptes amb accés a sistemes importants. És el punt que amb menys esforç treu més risc.
5. Un procés de gestió de vulnerabilitats que prioritzi per explotació real i no només per CVSS.

Preguntes freqüents

NIS2 ja és obligatòria a Espanya?

La directiva és en vigor a nivell europeu, però obliga els estats, no directament les empreses. A Espanya les obligacions concretes arribaran amb la llei de transposició, que l'octubre de 2026 encara no és publicada al BOE. Avui s'aplica el Real Decreto-ley 12/2018.

La meva pime està afectada per NIS2?

Les petites empreses (menys de 50 empleats i menys de 10 milions de facturació) en general en queden fora, tret d'excepcions per activitat. Però poden rebre requisits si són proveïdores d'una entitat obligada.

Quina diferència hi ha entre NIS2 i l'ENS?

L'ENS és la norma espanyola de seguretat per al sector públic i els seus proveïdors. NIS2 és una directiva europea per a sectors crítics públics i privats. Es solapen en moltes mesures, i estar certificat en ENS avança bona part de la feina.