NIS2: què és, a qui afecta i en quin punt està a Espanya
Què exigix la directiva NIS2, quines empreses entren en el seu àmbit i en quin punt està a Espanya al novembre de 2026, amb enllaços a les fonts oficials.
Per Equip Pod SREPublicat el 9 min de lectura
Des de fa un temps, moltes empreses de programari reben qüestionaris de seguretat dels seus clients que pregunten per NIS2. La pregunta que ens fan després quasi sempre és la mateixa: «això ja és obligatori a Espanya?». La resposta curta és que encara no hi ha cap llei espanyola que la transposa, però això no vol dir que es puga ignorar. En aquest article expliquem què és la directiva, a qui afecta i en quin punt està a Espanya, amb enllaç a la font oficial de cada dada.
En resum: NIS2 és la Directiva (UE) 2022/2555, que obliga entitats mitjanes i grans de díhuit sectors a gestionar els seus riscos de ciberseguretat i a notificar incidents. A 2 de novembre de 2026, Espanya no l’ha transposada: el Govern va aprovar un avantprojecte al gener de 2025, la Comissió Europea va portar Espanya davant del Tribunal de Justícia de la UE al juliol de 2026 i les Corts estan dissoltes des del 6 d’octubre de 2026. Continua en vigor el Reial decret llei 12/2018. El més assenyat hui és preparar-se, no esperar.
Què és NIS2
La Directiva (UE) 2022/2555 (en castellà, «SRI 2») substituïx la primera directiva NIS de 2016. És una directiva, no un reglament: no s’aplica directament a les empreses, sinó que cada Estat membre l’ha de traslladar al seu dret nacional. El termini per a fer-ho va acabar el 17 d’octubre de 2024 (article 41).
El que demana a les entitats que entren en el seu àmbit es resumix en tres blocs:
- Governança (article 20). Els òrgans de direcció aproven les mesures de ciberseguretat, en supervisen l’aplicació i responen del seu incompliment. També han de rebre formació.
- Mesures de gestió de riscos (article 21). Una llista mínima de deu elements: polítiques de seguretat i anàlisi de riscos, gestió d’incidents, continuïtat (còpies de seguretat, recuperació davant de desastres i gestió de crisis), seguretat de la cadena de subministrament, seguretat en el desenvolupament i el manteniment de sistemes (inclosa la gestió de vulnerabilitats), avaluació de l’eficàcia de les mesures, ciberhigiene i formació, criptografia, seguretat dels recursos humans i control d’accés, i autenticació multifactor.
- Notificació d’incidents (article 23). Davant d’un incident significatiu: alerta primerenca en 24 hores, notificació en 72 hores i informe final en el termini d’un mes.
A qui afecta
L’article 2 aplica la directiva a les entitats dels sectors dels seus annexos I i II que siguen mitjanes o grans empreses segons la Recomanació 2003/361/CE. A grans trets, a partir de 50 empleats, o de més de 10 milions d’euros de volum de negoci i de balanç anual. Alguns tipus d’entitat hi entren siga quina siga la seua grandària (per exemple, proveïdors de DNS o prestadors de serveis de confiança).
Per a una empresa de programari, estos són els apartats dels annexos que més convé revisar:
| Annex | Sector | Tipus d’entitat |
|---|---|---|
| I | Infraestructura digital | Computació en núvol, centres de dades, xarxes de distribució de continguts, DNS, serveis de confiança |
| I | Gestió de serveis de TIC (d’empresa a empresa) | Proveïdors de serveis gestionats i de serveis de seguretat gestionats |
| II | Proveïdors de serveis digitals | Mercats en línia, motors de cerca, plataformes de xarxes socials |
Les entitats de l’annex I que superen la grandària de mitjana empresa són, en general, essencials; la resta, importants (article 3). La diferència està sobretot en la supervisió i en l’import màxim de les multes que la directiva obliga cada Estat a preveure (article 34).
I hi ha un efecte que arriba a empreses més xicotetes: l’article 21 obliga les entitats afectades a cuidar la seguretat de la seua cadena de subministrament. Si el vostre client està en l’àmbit de NIS2, us demanarà proves de com gestioneu la seguretat, encara que vosaltres no hi estigueu. Per això arriben els qüestionaris.
En quin punt està a Espanya (novembre de 2026)
Ho hem comprovat hui, 2 de novembre de 2026, en les fonts oficials:
- Avantprojecte, gener de 2025. El Consell de Ministres del 14 de gener de 2025 va aprovar en primera volta l’Avantprojecte de llei de coordinació i governança de la ciberseguretat (en castellà), que és el text amb què el Govern pretenia transposar NIS2. No es va arribar a aprovar com a llei.
- Tribunal de Justícia de la UE, juliol de 2026. El 8 de juliol de 2026 la Comissió Europea va decidir portar Espanya, juntament amb Irlanda, França i els Països Baixos, davant del Tribunal de Justícia per no haver notificat la transposició completa, i va demanar sancions econòmiques fins que es produïsca.
- Corts dissoltes, octubre de 2026. El Reial decret 806/2026 va dissoldre el Congrés i el Senat i va convocar eleccions per al 29 de novembre de 2026. La tramitació d’una llei de transposició queda, per tant, en mans de les noves Corts.
- Norma vigent. Mentrestant, continua en vigor el Reial decret llei 12/2018, de seguretat de les xarxes i sistemes d’informació, que va transposar la primera directiva NIS i s’aplica als operadors de serveis essencials i proveïdors de serveis digitals que definix.
A més, el 20 de gener de 2026 la Comissió va proposar modificacions puntuals de la mateixa directiva per a donar més claredat jurídica, dins d’un paquet que també revisa el Reglament de Ciberseguretat. És a dir: el text europeu també pot canviar.
Conclusió pràctica: hui a Espanya no hi ha obligacions NIS2 exigibles per llei nacional ni règim sancionador espanyol propi de NIS2. Qui us diga el contrari, o us oferisca «complir NIS2» amb un segell, us està venent una cosa que encara no existix.
Per què preparar-se ja
Que no hi haja llei no vol dir que no hi haja pressió:
- La transposició arribarà. Espanya està davant del Tribunal de Justícia precisament per no haver-la feta. Quan s’aprove, el raonable és esperar que el contingut s’assemble molt a la directiva, perquè és el que la directiva exigix.
- Els vostres clients ja l’apliquen. En altres Estats membres la directiva ja està transposada, i les empreses afectades traslladen els requisits als seus proveïdors per la via del contracte.
- Les mesures de l’article 21 són bona pràctica igualment. Còpies de seguretat que es restauren de veritat, gestió de vulnerabilitats, autenticació multifactor, un procediment d’incidents que algú ha assajat. Res d’això és exclusiu de NIS2.
- Si ja treballeu amb l’ENS o amb ISO 27001, teniu molt fet. Les mesures se solapen prou, encara que cada marc té les seues particularitats. Ho expliquem en els articles sobre l’ENS per a proveïdors del sector públic i sobre què va canviar en ISO 27001:2022.
Com començaríem
- Comproveu si esteu en l’àmbit: sector (annexos I i II) i grandària (Recomanació 2003/361/CE). Si no hi esteu, mireu si hi estan els vostres clients principals.
- Compareu el que teniu amb els deu punts de l’article 21. Una taula amb tres columnes és prou per a començar: fet, a mitges, pendent.
- Prepareu el procediment d’incidents amb els terminis de 24 hores, 72 hores i un mes. És el que més costa improvisar.
- Documenteu la part tècnica que ja feu. Moltes empreses tenen bones pràctiques sense ni una evidència escrita.
En l’adequació a l’ENS i ISO 27001 expliquem com us preparem també per a NIS2, i en l’auditoria de fiabilitat i seguretat, com revisem la part tècnica d’una plataforma que ja existix. Si voleu saber per on començar en el vostre cas, escriviu-nos un correu.
Preguntes freqüents
NIS2 ja és obligatòria a Espanya?
No com a llei nacional. A 2 de novembre de 2026 no s’ha publicat en el BOE cap norma que la transposa, i continua vigent el Reial decret llei 12/2018. Una altra cosa són els contractes: un client pot exigir requisits de NIS2 als seus proveïdors.
Una empresa de programari de 20 persones està afectada?
Per grandària, en general no, llevat que siga d’algun dels tipus d’entitat que hi entren siga quina siga la seua grandària o supere els 10 milions de volum de negoci i de balanç. Però si ven a entitats afectades, el més probable és que li demanen demostrar mesures semblants per la via de la cadena de subministrament.
Existix un certificat NIS2?
La directiva no crea un certificat propi per a les empreses. El que es pot demostrar amb certificació són marcs com l’ENS o ISO 27001, que cobrixen bona part de les mesures de l’article 21.
Quines multes preveu?
La directiva obliga cada Estat a preveure multes d’un màxim de, almenys, 10 milions d’euros o el 2 % del volum de negocis mundial per a les entitats essencials, i de 7 milions o l’1,4 % per a les importants (article 34). Espanya encara no ha fixat les seues.
Referències
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex: articles 2, 3, 20, 21, 23, 34 i 41, i annexos I i II (en castellà).
- Recomanació 2003/361/CE, EUR-Lex: definició de xicoteta i mitjana empresa (en castellà).
- Comissió Europea: Directiva SRI 2, pàgina de la política (en castellà).
- Comissió Europea, IP/26/1499, 8 de juliol de 2026: remissió d’Espanya al Tribunal de Justícia (en castellà).
- Comissió Europea: proposta de directiva que modifica NIS2, 20 de gener de 2026.
- La Moncloa: referència del Consell de Ministres del 14 de gener de 2025: avantprojecte de llei (en castellà).
- BOE: Reial decret 806/2026, dissolució de les Corts (en castellà).
- BOE: Reial decret llei 12/2018, norma vigent (en castellà).
