NIS2 en España: guía completa de la directiva (2026)

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué es la directiva NIS2?

NIS2 es la Directiva (UE) 2022/2555, que sustituye a la primera directiva NIS para lograr «un elevado nivel común de ciberseguridad» en toda la Unión (art. 1.1). Amplía el ámbito a 18 sectores, impone diez medidas mínimas de seguridad (art. 21), plazos de notificación de incidentes (art. 23) y responsabilidad directa de la dirección (art. 20).

En vigor desde el 16 de enero de 2023 (art. 45), no nació por capricho de Bruselas. Los considerandos 4 y 5 reconocen que la primera NIS fracasó porque dejó el ámbito de aplicación «en gran medida a discreción de los Estados miembros», y eso fragmentó el mercado interior. NIS2 corrige esto invirtiendo el modelo. Donde antes el Estado te designaba como operador (art. 5 de la Directiva (UE) 2016/1148), ahora eres tú quien debe autoevaluarse con una regla de tamaño y una lista de sectores (arts. 2 y 3). El primer deber que crea la norma es, por tanto, mirarse al espejo: comprueba si tu empresa está obligada.

NIS2 en España: qué es exigible ya y qué depende de la ley

Aquí está el nudo que la prensa suele enredar. Que NIS2 esté «en vigor» no significa que tu empresa ya esté obligada por ella. Una directiva vincula a los Estados miembros, no directamente a los particulares: el mandato del artículo 41 —transponer la norma antes del 17 de octubre de 2024— se dirige a los Estados, no a tu pyme. Y el artículo 44 derogó la primera directiva NIS a escala europea desde el 18 de octubre de 2024, pero eso no vacía el Derecho español que la desarrolló.

Sea cual sea el ritmo de la transposición española —que puedes seguir en el bloque de estado más abajo—, hay tres vías por las que NIS2, o su espíritu, ya te alcanza hoy:

• El marco español heredado sigue vivo. El Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que transpusieron la primera NIS, no caen con el artículo 44: son Derecho español vigente y ya exigen a los operadores afectados un responsable de seguridad y la notificación de incidentes.
• DORA no espera a nadie. Si eres entidad financiera, el Reglamento (UE) 2022/2554 (DORA) es de aplicación directa desde el 17 de enero de 2025 y desplaza a NIS2 como norma especial: tu marco ya es obligatorio, sin esperar a nada.
• La vía del contrato. El artículo 21 obliga a cada entidad afectada a asegurar su cadena de suministro y a evaluar a sus proveedores directos, trasladando esas medidas a los acuerdos contractuales (art. 21.2.d y 21.3). Traducción: si vendes a un hospital, una eléctrica o un fabricante obligado, recibirás cuestionarios y cláusulas de seguridad mucho antes de que exista la ley. Una pyme proveedora cumple parte de NIS2 de facto.

Transposición de NIS2 en España: en qué punto estás

Lo que la ley española de transposición terminará de cerrar es la exigibilidad directa ante la Administración: las autoridades competentes, la lista nacional de entidades y el régimen sancionador concreto. Antes de planificar nada, conviene mirar el dato real y actualizado:

No es una excusa para esperar de brazos cruzados. Las diez medidas del artículo 21 y la formación de la dirección (art. 20.2) te van a caer con ley o sin ella —tus clientes ya te las reclaman por contrato—, así que empezar por ahí es la apuesta segura.

A quién obliga NIS2: 18 sectores y una regla de tamaño

NIS2 se aplica a las entidades de 18 sectores repartidos en dos anexos: 11 sectores de «alta criticidad» en el Anexo I (energía, transporte, banca, sanidad, agua, infraestructura digital, servicios de TIC, Administración pública, espacio…) y 7 «otros sectores críticos» en el Anexo II (servicios postales, residuos, químico, alimentación, fabricación, proveedores digitales e investigación).

Dentro de esos sectores, la regla general exige ser al menos mediana empresa: 50 o más empleados, o más de 10 millones de euros de facturación y más de 10 millones de balance (art. 2.1). Algunas actividades entran sin importar el tamaño (art. 2.2-2.4).

La Directiva separa además dos categorías (art. 3): entidades esenciales e importantes. La distinción asusta menos de lo que parece, porque las obligaciones de fondo son idénticas: mismas medidas (art. 21), misma notificación (art. 23), misma responsabilidad de la dirección (art. 20). Solo cambian la intensidad de la supervisión y el máximo de las multas.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Las obligaciones de NIS2: medidas, incidentes y dirección

Tres bloques resumen lo que la Directiva te pide:

Diez medidas de gestión de riesgos (art. 21.2). Un catálogo mínimo con enfoque «de todos los peligros»: políticas y análisis de riesgos, gestión de incidentes, continuidad y copias de seguridad, seguridad de la cadena de suministro, desarrollo y parcheo seguros, evaluación de la eficacia de las medidas, formación y ciberhigiene, criptografía, control de accesos y autenticación multifactor. Cada una hay que ajustarla a tu tamaño y tu riesgo (art. 21.1); el desglose práctico está en las 10 medidas del artículo 21.

Notificación de incidentes significativos (art. 23). Una cadena de plazos desde que tienes constancia: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Un alivio poco conocido: notificar no incrementa tu responsabilidad (art. 23.1), así que avisar pronto siempre juega a tu favor.

Responsabilidad del órgano de dirección (art. 20). Aquí está el cambio que más afecta a un gerente. La dirección debe aprobar las medidas, supervisar su puesta en práctica y responder del incumplimiento de la empresa (art. 20.1); además, sus miembros están obligados a formarse en ciberseguridad (art. 20.2). No es algo que puedas delegar y olvidar en el departamento de informática.

¿Y si no cumples? Las autoridades pueden inspeccionar, dar instrucciones vinculantes e imponer multas cuyos topes fija la propia Directiva:

Cómo se gradúan esas multas y en qué consiste la posible suspensión de directivos lo desarrollamos en las sanciones y la responsabilidad de directivos.

Por dónde empezar

• Sitúate en el mapa. Comprueba tu sector y tu tamaño; si eres entidad financiera, tu norma es DORA, no NIS2.
• No esperes a la ley. Arranca por las diez medidas del artículo 21 y por la formación de la dirección (art. 20.2): es lo primero que será exigible y lo que ya te piden tus clientes por contrato.
• Pon número al esfuerzo. Antes de comprometer presupuesto, mira qué cuesta adecuarse y con qué alcance mínimo puedes empezar.

NIS2 no va de aprobar un examen puntual, sino de sostener una forma de trabajar. Quien arranca con el mapa claro convierte una obligación difusa en un plan concreto —y, de paso, en un argumento de venta frente a los clientes que ya la exigen.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.