NIS2 (Directiva UE 2022/2555) obliga a las entidades esenciales e importantes de sectores críticos con 50 o más empleados o más de 10 M€ de facturación. En España se transpone mediante el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14/1/2025 y todavía en tramitación parlamentaria.
NIS2 lleva tiempo en el calendario de los responsables de ciberseguridad, pero en España sigue sin haber ley aprobada que la transponga. Eso no significa que se pueda esperar: el plazo europeo venció el 17 de octubre de 2024 y los reguladores están aplicando criterios coherentes con la directiva mientras la norma nacional cierra su tramitación. Esta guía explica qué obliga, a quién y cómo prepararse.
Qué es NIS2 y qué amplía respecto a NIS1
NIS2 es la nueva directiva europea de seguridad de las redes y sistemas de información. Sustituye a la NIS de 2016 y la endurece en tres ejes principales: más sectores cubiertos, obligaciones más detalladas de gestión de riesgos y un régimen sancionador mucho más serio.
Entidades esenciales vs. importantes
La directiva distingue dos categorías de sujeto obligado:
- Entidades esenciales — sectores como energía, transporte, banca, sanidad, agua, infraestructuras digitales. Supervisión proactiva.
- Entidades importantes — servicios postales, gestión de residuos, fabricación, química, alimentación, proveedores digitales relevantes. Supervisión reactiva.
El umbral general de aplicación es de 50+ empleados o 10 M€ de facturación o balance, dentro de uno de los sectores designados, aunque existen excepciones que cubren entidades por debajo del umbral cuando son únicas o críticas.
Estado de la transposición en España
El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, es el vehículo de la transposición en España. A día de hoy sigue en tramitación parlamentaria y no se ha publicado en el BOE. La Comisión Europea abrió procedimiento de infracción por el retraso. Mientras tanto, el CCN-CERT e INCIBE-CERT siguen aplicando criterios alineados con la directiva.
Obligaciones de gestión de riesgos y notificación de incidentes
NIS2 fija una lista mínima de medidas técnicas, operativas y organizativas —política de riesgos, gestión de incidentes, continuidad, criptografía, seguridad de la cadena de suministro, formación, control de accesos, etc.— que deben implantarse y mantenerse.
El plazo de notificación de incidentes significativos es escalonado:
- 24 horas — alerta temprana al CSIRT competente.
- 72 horas — notificación con valoración inicial.
- 1 mes — informe final.
Multas y responsabilidad del órgano de dirección
Las multas pueden llegar a 10 M€ o el 2 % de la facturación mundial (el mayor de los dos) para entidades esenciales. La directiva consagra además la responsabilidad del órgano de dirección: la dirección debe aprobar las medidas, supervisarlas y formarse en ciberseguridad. La responsabilidad puede ser solidaria si se acredita negligencia.
Plan de adecuación: autoevaluación, GAP y hoja de ruta
- Inventario inicial: actividad, sector, tamaño, clasificación previsible (esencial o importante).
- Autoevaluación contra las obligaciones del artículo 21 de la directiva y el texto del Anteproyecto.
- GAP analysis — identifica lo que falta entre tu estado actual y lo exigido.
- Hoja de ruta de adecuación con prioridades, recursos y plazos, alineada con el ciclo de vida del SGSI.
- Plan de respuesta a incidentes que permita cumplir los plazos de 24 h / 72 h / 1 mes.
Para integrar NIS2 con el resto de tu programa de cumplimiento, revisa la guía cómo encajan ENS, NIS2 e ISO 27001. En Nexus ayudamos a montar el programa de compliance sobre un único marco operativo y a evitar duplicidades innecesarias.