NIS2: qué es, a quién afecta y en qué punto está en España

Desde hace un tiempo, muchas empresas de software reciben cuestionarios de seguridad de sus clientes que preguntan por NIS2. La pregunta que nos hacen después casi siempre es la misma: «¿esto ya es obligatorio en España?». La respuesta corta es que todavía no hay ley española que la transponga, pero eso no significa que se pueda ignorar. En este artículo explicamos qué es la directiva, a quién afecta y en qué punto está en España, con enlace a la fuente oficial de cada dato.

Qué es NIS2

La Directiva (UE) 2022/2555 (en español, «SRI 2») sustituye a la primera directiva NIS de 2016. Es una directiva, no un reglamento: no se aplica directamente a las empresas, sino que cada Estado miembro tiene que trasladarla a su derecho nacional. El plazo para hacerlo terminó el 17 de octubre de 2024 (artículo 41).

Lo que pide a las entidades que entran en su ámbito se resume en tres bloques:

• Gobernanza (artículo 20). Los órganos de dirección aprueban las medidas de ciberseguridad, supervisan su aplicación y responden de su incumplimiento. También deben recibir formación.
• Medidas de gestión de riesgos (artículo 21). Una lista mínima de diez elementos: políticas de seguridad y análisis de riesgos, gestión de incidentes, continuidad (copias de seguridad, recuperación ante desastres y gestión de crisis), seguridad de la cadena de suministro, seguridad en el desarrollo y mantenimiento de sistemas (incluida la gestión de vulnerabilidades), evaluación de la eficacia de las medidas, ciberhigiene y formación, criptografía, seguridad de los recursos humanos y control de acceso, y autenticación multifactor.
• Notificación de incidentes (artículo 23). Ante un incidente significativo: alerta temprana en 24 horas, notificación en 72 horas e informe final en el plazo de un mes.

A quién afecta

El artículo 2 aplica la directiva a las entidades de los sectores de sus anexos I y II que sean medianas o grandes empresas según la Recomendación 2003/361/CE. A grandes rasgos, a partir de 50 empleados, o de más de 10 millones de euros de volumen de negocio y de balance anual. Algunos tipos de entidad entran sea cual sea su tamaño (por ejemplo, proveedores de DNS o prestadores de servicios de confianza).

Para una empresa de software, estos son los apartados de los anexos que más conviene revisar:

Las entidades del anexo I que superan el tamaño de mediana empresa son, en general, esenciales; el resto, importantes (artículo 3). La diferencia está sobre todo en la supervisión y en el importe máximo de las multas que la directiva obliga a prever a cada Estado (artículo 34).

Y hay un efecto que alcanza a empresas más pequeñas: el artículo 21 obliga a las entidades afectadas a cuidar la seguridad de su cadena de suministro. Si vuestro cliente está en el ámbito de NIS2, os va a pedir pruebas de cómo gestionáis la seguridad, aunque vosotros no lo estéis. Por eso llegan los cuestionarios.

En qué punto está en España (noviembre de 2026)

Lo hemos comprobado hoy, 2 de noviembre de 2026, en las fuentes oficiales:

1. Anteproyecto, enero de 2025. El Consejo de Ministros del 14 de enero de 2025 aprobó en primera vuelta el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el texto con el que el Gobierno pretendía transponer NIS2. No llegó a aprobarse como ley.
2. Tribunal de Justicia de la UE, julio de 2026. El 8 de julio de 2026 la Comisión Europea decidió llevar a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia por no haber notificado la transposición completa, y pidió sanciones económicas hasta que se produzca.
3. Cortes disueltas, octubre de 2026. El Real Decreto 806/2026 disolvió el Congreso y el Senado y convocó elecciones para el 29 de noviembre de 2026. La tramitación de una ley de transposición queda, por tanto, en manos de las nuevas Cortes.
4. Norma vigente. Mientras tanto, sigue en vigor el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que transpuso la primera directiva NIS y se aplica a los operadores de servicios esenciales y proveedores de servicios digitales que define.

Además, el 20 de enero de 2026 la Comisión propuso modificaciones puntuales de la propia directiva para dar más claridad jurídica, dentro de un paquete que también revisa el Reglamento de Ciberseguridad. Es decir: el texto europeo también puede cambiar.

Conclusión práctica: hoy en España no hay obligaciones NIS2 exigibles por ley nacional ni régimen sancionador español propio de NIS2. Quien os diga lo contrario, o que os ofrezca «cumplir NIS2» con un sello, os está vendiendo algo que todavía no existe.

Por qué prepararse ya

Que no haya ley no quiere decir que no haya presión:

• La transposición llegará. España está ante el Tribunal de Justicia precisamente por no haberla hecho. Cuando se apruebe, lo razonable es esperar que el contenido se parezca mucho a la directiva, porque es lo que la directiva exige.
• Vuestros clientes ya la aplican. En otros Estados miembros la directiva ya está transpuesta, y las empresas afectadas trasladan los requisitos a sus proveedores por la vía del contrato.
• Las medidas del artículo 21 son buena práctica de todos modos. Copias de seguridad que se restauran de verdad, gestión de vulnerabilidades, autenticación multifactor, un procedimiento de incidentes que alguien ha ensayado. Nada de eso es exclusivo de NIS2.
• Si ya trabajáis con el ENS o con ISO 27001, tenéis mucho hecho. Las medidas se solapan bastante, aunque cada marco tiene sus particularidades. Lo explicamos en los artículos sobre el ENS para proveedores del sector público y sobre qué cambió en ISO 27001:2022.

Cómo empezaríamos

1. Comprobad si estáis en el ámbito: sector (anexos I y II) y tamaño (Recomendación 2003/361/CE). Si no lo estáis, mirad si lo están vuestros clientes principales.
2. Comparad lo que tenéis con los diez puntos del artículo 21. Una tabla con tres columnas basta para empezar: hecho, a medias, pendiente.
3. Preparad el procedimiento de incidentes con los plazos de 24 horas, 72 horas y un mes. Es lo que más cuesta improvisar.
4. Documentad lo técnico que ya hacéis. Muchas empresas tienen buenas prácticas sin una sola evidencia escrita.

En la adecuación al ENS e ISO 27001 explicamos cómo os preparamos también para NIS2, y en la auditoría de fiabilidad y seguridad, cómo revisamos la parte técnica de una plataforma que ya existe. Si queréis saber por dónde empezar en vuestro caso, escribidnos un email.

Preguntas frecuentes

¿NIS2 ya es obligatoria en España?

No como ley nacional. A 2 de noviembre de 2026 no se ha publicado en el BOE ninguna norma que la transponga, y sigue vigente el Real Decreto-ley 12/2018. Otra cosa son los contratos: un cliente puede exigir requisitos de NIS2 a sus proveedores.

¿Una empresa de software de 20 personas está afectada?

Por tamaño, en general no, salvo que sea de los tipos de entidad que entran sea cual sea su tamaño o supere los 10 millones de volumen de negocio y de balance. Pero si vende a entidades afectadas, lo más probable es que le pidan demostrar medidas parecidas por la vía de la cadena de suministro.

¿Existe un certificado NIS2?

La directiva no crea un certificado propio para las empresas. Lo que se puede demostrar con certificación son marcos como el ENS o ISO 27001, que cubren buena parte de las medidas del artículo 21.

¿Qué multas prevé?

La directiva obliga a cada Estado a prever multas de un máximo de, al menos, 10 millones de euros o el 2 % del volumen de negocios mundial para las entidades esenciales, y de 7 millones o el 1,4 % para las importantes (artículo 34). España todavía no ha fijado las suyas.

Referencias

• Directiva (UE) 2022/2555 (NIS2), EUR-Lex: artículos 2, 3, 20, 21, 23, 34 y 41, y anexos I y II.
• Recomendación 2003/361/CE, EUR-Lex: definición de pequeña y mediana empresa.
• Comisión Europea: Directiva SRI 2, página de la política.
• Comisión Europea, IP/26/1499, 8 de julio de 2026: remisión de España al Tribunal de Justicia.
• Comisión Europea: propuesta de directiva que modifica NIS2, 20 de enero de 2026.
• La Moncloa: referencia del Consejo de Ministros del 14 de enero de 2025: anteproyecto de ley.
• BOE: Real Decreto 806/2026, disolución de las Cortes.
• BOE: Real Decreto-ley 12/2018, norma vigente.