¿Tu empresa está obligada por NIS2? Sectores y umbrales

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué empresas están obligadas por NIS2?

Están obligadas las entidades públicas y privadas de los 18 sectores de los Anexos I y II de la Directiva (UE) 2022/2555 que tengan al menos 50 empleados o superen los 10 millones de euros de facturación y de balance (art. 2.1). Ciertas actividades entran sin importar el tamaño.

La decisión se toma, por tanto, en tres pasos: sector, tamaño y excepciones. Y si sales limpio de los tres, te queda un último test: ¿vendes a alguien que sí está dentro? No es una herramienta oficial — es la aplicación directa, en orden, de los artículos 2 y 3.

Paso 1: ¿está tu actividad en los Anexos I o II?

La Directiva no da nombres: da 18 sectores, 11 de “alta criticidad” (Anexo I) y 7 “críticos” (Anexo II). Busca tu epígrafe.

Anexo I — sectores de alta criticidad (11)

1. Energía (electricidad, calefacción y refrigeración urbanas, petróleo, gas e hidrógeno)
2. Transporte (aéreo, ferroviario, marítimo y fluvial, por carretera)
3. Banca
4. Infraestructuras de los mercados financieros
5. Sector sanitario
6. Agua potable
7. Aguas residuales
8. Infraestructura digital
9. Gestión de servicios de TIC entre empresas (servicios gestionados y de seguridad gestionados)
10. Administración pública
11. Espacio

Anexo II — otros sectores críticos (7)

1. Servicios postales y de mensajería
2. Gestión de residuos
3. Sector químico
4. Alimentación
5. Fabricación (productos sanitarios, informática, electrónica y ópticos, material eléctrico, maquinaria, vehículos y otro material de transporte — códigos NACE C 26-30)
6. Proveedores digitales (mercados en línea, buscadores, redes sociales)
7. Investigación

Dos avisos. El primero: fíjate en “fabricación”. Muchas industrias medianas que nunca se han visto como infraestructura crítica —un fabricante de maquinaria o de componentes de automoción— están en el Anexo II. El segundo: si tu empresa es una entidad financiera, la banca figura en el Anexo I, pero tu régimen operativo real es el Reglamento (UE) 2022/2554 (DORA), que desplaza a NIS2 como norma especial (art. 4 de la Directiva).

Paso 2: el tamaño se calcula con el grupo, no con tu plantilla

Si tu sector aparece, la regla general exige ser al menos mediana empresa: 50 o más empleados, o más de 10 millones de euros de volumen de negocio y de balance (art. 2.1). Micro y pequeñas empresas quedan fuera por defecto.

El matiz que casi nadie cuenta: esos umbrales se computan según la Recomendación 2003/361/CE, que suma las empresas asociadas y vinculadas (empresas del mismo grupo o participadas). Una filial de 20 empleados dentro de un grupo grande puede ser “mediana” a efectos de NIS2 por consolidación. El considerando 16 de la Directiva permite a los Estados modular el cómputo según el grado de independencia real de la entidad — pero es una facultad del legislador, no un derecho tuyo. Si perteneces a un grupo, haz el cálculo consolidado antes de darte por excluido.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Paso 3: empresas obligadas por NIS2 sin importar su tamaño

El artículo 2, apartados 2 a 4, incluye a ciertas entidades aunque sean microempresas:

• proveedores de redes o servicios de comunicaciones electrónicas públicas;
• prestadores de servicios de confianza (certificados, firma y sellos electrónicos);
• registros de dominios de primer nivel, proveedores de DNS y registradores de nombres de dominio;
• el proveedor único de un servicio esencial en un Estado miembro;
• entidades cuya perturbación afectaría a la seguridad, el orden o la salud públicos, o supondría un riesgo sistémico;
• entidades críticas según la Directiva CER (UE) 2022/2557;
• la Administración pública central (y la regional, previa evaluación de riesgo).

Si gestionas DNS o vendes certificados digitales con doce empleados, estás dentro. ¿Y desde cuándo es exigible todo esto en España? El estado real, actualizado, es este:

¿Esencial o importante? Cambia quién te vigila, no lo que debes hacer

Dentro del ámbito hay dos categorías (art. 3). Son esenciales, entre otras, las grandes empresas del Anexo I (250 empleados o más, o bien más de 50 M€ de facturación y más de 43 M€ de balance, conforme al art. 3.1 y la Recomendación 2003/361/CE) y, sin umbral, los prestadores cualificados de servicios de confianza y los operadores de DNS y dominios de primer nivel. Son importantes todas las demás: las medianas del Anexo I y las medianas y grandes del Anexo II.

No pierdas tiempo deseando ser “solo” importante: las obligaciones de fondo son idénticas. Mismas diez medidas de seguridad (art. 21), misma notificación de incidentes (art. 23), misma responsabilidad del órgano de dirección (art. 20). Lo que cambia es la supervisión —a las esenciales se las inspecciona de oficio (art. 32); a las importantes, solo cuando hay indicios de incumplimiento (art. 33)— y los máximos sancionadores:

Para decidir con qué marco cubrir esas medidas, tienes NIS2 comparada con ENS e ISO 27001.

Obligada sin estar en la ley: la vía del contrato

Aquí está lo que casi ningún resumen cuenta. Entre las diez medidas mínimas, el art. 21.2.d exige a cada entidad obligada “la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos”. Y el art. 21.3 la obliga a evaluar de cada proveedor sus vulnerabilidades específicas, la calidad de sus productos y sus prácticas de ciberseguridad, incluido el desarrollo seguro.

¿Cómo se ejecuta eso? Por contrato. El considerando 85 pide incorporar esas medidas “en los acuerdos contractuales con sus proveedores y prestadores de servicios directos”, y la FAQ oficial de INCIBE lo recoge en los mismos términos.

Traducción: una pyme de 30 empleados que vende software, mantenimiento informático o logística a un hospital, una eléctrica o un fabricante obligado empezará a recibir cuestionarios de seguridad, cláusulas contractuales y derechos de auditoría. No responde ante ninguna autoridad —su exposición es contractual, no legal—, pero o cumple buena parte de NIS2 de facto, o pierde al cliente.

La paradoja final la pone el considerando 86: los proveedores de servicios de seguridad gestionados (respuesta a incidentes, pruebas de penetración, auditorías) merecen una diligencia reforzada por su estrecha integración en las operaciones del cliente. El sector que vende ciberseguridad es el primero arrastrado. Y este mecanismo tiene un primo veterano en el sector público: si además vendes a la Administración, el ENS lleva años funcionando exactamente igual.

Qué hacer esta semana

• Localiza tu epígrafe en los Anexos I y II de este artículo. Si eres entidad financiera, tu norma es DORA.
• Calcula el tamaño en consolidado si perteneces a un grupo: plantilla y cifras sumando asociadas y vinculadas.
• Si estás dentro: no esperes a que te busquen. La Directiva prevé listas nacionales de entidades y mecanismos de autorregistro (art. 3.3 y 3.4); empieza por las diez medidas del art. 21 y la formación del órgano de dirección (art. 20.2). Si tu cliente es la Administración, revisa además el Esquema Nacional de Seguridad, exigible ya hoy en los pliegos.
• Si estás fuera: repasa tu cartera de clientes con esta misma lista de sectores. Cada cliente obligado es un cuestionario de seguridad en camino; quien llega con las respuestas preparadas convierte NIS2 en argumento de venta.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.