La Unión Europea aprobó en diciembre de 2022 la Directiva NIS2 (Directiva UE 2022/2555), la norma europea de ciberseguridad más exigente hasta la fecha. Su objetivo es claro y es que las empresas en sectores críticos tengan sistemas de seguridad robustos, no como recomendación, sino como obligación legal con sanciones concretas.
La fecha límite para que los Estados miembros transpusieran la directiva fue el 17 de octubre de 2024. España está en proceso de adaptar su legislación interna. Las obligaciones que impone la directiva ya están definidas y el reloj corre. Cuanto más tarde empiece tu empresa, más difícil será llegar a tiempo cuando comiencen las inspecciones.
Este artículo explica a quién afecta la NIS2, qué exige concretamente y qué pasos debe dar tu empresa ahora.
Qué es la directiva NIS2 y en qué se diferencia de la primera NIS
La NIS2 es la segunda versión de la directiva europea sobre seguridad de redes y sistemas de información. Amplía de forma significativa el alcance de su predecesora aprobada en 2016:
- La NIS original afectaba a un número reducido de operadores de servicios esenciales.
- La NIS2 amplía los sectores cubiertos, reduce los umbrales de tamaño para su aplicación y endurece las sanciones.
El cambio más relevante para las pymes: la NIS2 ya no se limita a infraestructuras gestionadas por grandes corporaciones. Ahora afecta a empresas medianas de sectores mucho más amplios, incluyendo sanidad, fabricación, servicios digitales y gestión de residuos.
A qué sectores y empresas afecta la NIS2 en España
La directiva distingue dos categorías de entidades:
Entidades esenciales (sectores de mayor criticidad):
- Energía (electricidad, gas, petróleo, calor)
- Transporte (aéreo, ferroviario, marítimo, por carretera)
- Banca y mercados financieros
- Sanidad (hospitales, fabricantes de medicamentos)
- Agua potable y aguas residuales
- Infraestructuras digitales (proveedores de nube, centros de datos, DNS)
- Administración pública central y regional
Entidades importantes (sectores adicionales):
- Servicios postales y de mensajería
- Gestión de residuos
- Fabricación (productos químicos, alimentación, equipos médicos, dispositivos electrónicos)
- Proveedores de servicios digitales (plataformas de comercio electrónico, motores de búsqueda)
Umbrales de tamaño aplicables: La NIS2 aplica a medianas y grandes empresas en estos sectores. En general, quedan incluidas las que tengan más de 50 empleados o más de 10 millones de euros de facturación anual. Las microempresas quedan fuera, salvo que sean proveedoras críticas de alguna infraestructura esencial.
Obligaciones concretas de ciberseguridad
Si tu empresa entra en el ámbito de aplicación, la NIS2 exige implantar medidas técnicas y organizativas en estas áreas:
| Obligación | Detalle |
| Gestión de riesgos | Análisis y tratamiento formal de riesgos de ciberseguridad |
| Política de seguridad | Documento aprobado por la dirección con medidas técnicas y organizativas. |
| Gestión de incidentes | Procedimiento para detectar, contener y notificar brechas de seguridad |
| Continuidad de negocio | Plan de recuperación ante ciberataques: backups, contingencias documentadas |
| Seguridad en la cadena de suministro | Evaluación de proveedores con acceso a tus sistemas o datos |
| Cifrado | Uso de cifrado para datos sensibles en tránsito y en reposo |
| Control de acceso | Autenticación multifactor para accesos a sistemas críticos |
| Formación | Programa de concienciación en ciberseguridad para todos los empleados |
La diferencia clave respecto a otras normativas: la NIS2 exige que la alta dirección supervise, apruebe y sea responsable directa del cumplimiento. No es una función que pueda delegarse completamente al departamento de IT. Los órganos de administración deben formarse en ciberseguridad y responder personalmente por su aplicación.
Notificación de incidentes: los plazos que debes conocer
La NIS2 introduce obligaciones de notificación más exigentes que las del RGPD. Si tu empresa sufre un incidente significativo que afecte a la continuidad del servicio o cause daños relevantes, debes:
- En 24 horas: alerta inicial a la autoridad competente (en España, el INCIBE o el CCN-CERT según el sector).
- En 72 horas: informe de situación con la evaluación preliminar del impacto.
- En 1 mes: informe final con causa raíz, alcance y medidas adoptadas.
Este régimen de notificación es paralelo al del RGPD. Cuando un incidente afecta a datos personales, las obligaciones de notificación del RGPD también se activan. Las dos notificaciones son independientes y simultáneas.
Sanciones por incumplimiento
| Tipo de entidad | Sanción máxima |
| Entidades esenciales | 10.000.000 € o el 2% de la facturación global anual |
| Entidades importantes | 7.000.000 € o el 1,4% de la facturación global anual |
Además, la directiva introduce responsabilidad personal para los directivos. Si la empresa no implanta las medidas requeridas, los órganos de dirección pueden ser sancionados individualmente y, en casos graves, inhabilitados temporalmente para el ejercicio de funciones directivas.
La relación entre NIS2 y RGPD: no son alternativas
El RGPD y la NIS2 se aplican de forma simultánea cuando hay datos personales involucrados. El primero protege los datos; el segundo protege los sistemas que los albergan.
En la práctica:
- Un ciberataque que afecte a datos de clientes o empleados activa obligaciones bajo las dos normativas.
- La NIS2 exige medidas técnicas de seguridad (cifrado, control de acceso, backups). El RGPD exige que esas medidas sean adecuadas al riesgo del tratamiento.
- Las sanciones son independientes: tu empresa puede ser multada por incumplir las dos a la vez.
Una auditoría de protección de datos que analice las medidas técnicas de seguridad puede cubrir una parte significativa de los requisitos de la NIS2 y reducir el trabajo de cumplimiento. En los casos en que los sistemas afectados traten datos personales de forma intensiva, también es recomendable realizar una evaluación de impacto en protección de datos.
Conclusión
La NIS2 es obligatoria en Europa. España está adaptando su legislación, pero los requisitos técnicos que establece la directiva no van a reducirse durante ese proceso. Las empresas en sectores afectados que esperen a la aprobación de la ley española perderán tiempo que necesitarán para implantar medidas reales.
El punto de partida es identificar si tu empresa entra en el ámbito de aplicación, revisar qué medidas de seguridad ya tienes documentadas y establecer un plan para cerrar las brechas. Las empresas que empiecen antes tendrán una posición significativamente mejor cuando comiencen las inspecciones.
En Acoran te ayudamos a revisar si la NIS2 aplica a tu empresa, a evaluar tus medidas actuales de ciberseguridad y a documentar el cumplimiento de forma coordinada con el RGPD. Solicita tu consulta gratuita.
Preguntas frecuentes
¿La NIS2 afecta solo a grandes empresas?
No. La NIS2 aplica a entidades medianas y grandes en sectores regulados: más de 50 empleados o más de 10 millones de euros de facturación anual. Las microempresas quedan fuera, salvo que sean proveedoras críticas de alguna infraestructura esencial.
¿En qué se diferencia la NIS2 del RGPD?
El RGPD regula el tratamiento de datos personales. La NIS2 regula la seguridad de las redes y sistemas de información. Ambas normas se aplican de forma simultánea cuando hay datos personales involucrados. Un ciberataque que provoque una brecha de datos puede activar obligaciones bajo las dos normativas a la vez.
¿Cuándo entra en vigor la NIS2 en España?
La fecha límite de transposición para los estados miembros fue el 17 de octubre de 2024. España está adaptando su legislación nacional. Las empresas en sectores afectados deben preparar ya sus medidas técnicas y organizativas, independientemente de cuándo se apruebe la ley española.
¿Qué pasa si mi empresa no cumple con la NIS2?
Las sanciones dependen de la categoría. Las entidades esenciales pueden ser multadas con hasta 10 millones de euros o el 2% de su facturación global anual. Las entidades importantes, con hasta 7 millones de euros o el 1,4% de su facturación. Los directivos pueden ser responsabilizados personalmente y, en casos graves, inhabilitados para el ejercicio de funciones de dirección.
Otros artículos de interés
La obligación de notificar una brecha de seguridad en 72 horas
Puedes escribirnos sin ningún tipo de compromiso:
📧 acoran@acoran.es
📱 915 30 21 31
📍 C. del Laurel, 10, Bajo A, 28005 Madrid
Comentarios recientes