¿A qué empresas afecta la NIS2? Sectores y umbrales de tamaño

La primera pregunta que debe responder cualquier directivo es directa: ¿entra mi empresa en el ámbito de NIS2? El criterio de tamaño es el primer filtro, y hay un error frecuente que conviene aclarar desde el inicio: el umbral es 50 empleados O más de 10 M€ de facturación anual, no los dos a la vez. Basta con superar uno de los dos criterios para que el tamaño sea suficiente.

El segundo filtro es el sector. NIS2 distingue dos categorías de entidades:

Entidades esenciales (Anexo I — 11 sectores de alta criticidad)

Empresas grandes (más de 250 empleados o facturación superior a 50 M€) que operen en alguno de estos sectores: energía (electricidad, gas, petróleo, hidrógeno), transporte (aéreo, ferroviario, marítimo, por carretera), banca, infraestructuras de mercados financieros, sector sanitario, agua potable, aguas residuales, infraestructura digital (IXPs, DNS, TLDs, cloud, centros de datos, redes de comunicación, servicios de confianza), gestión de servicios TIC B2B, administración pública y espacio. Están sujetas a supervisión proactiva con auditorías periódicas.

Entidades importantes (Anexo II — 7 sectores críticos adicionales)

Empresas medianas (entre 50 y 250 empleados o facturación entre 10 y 50 M€) en los sectores del Anexo I, o medianas y grandes en los sectores del Anexo II: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación industrial (dispositivos médicos, ordenadores, electrónica, maquinaria, vehículos), proveedores de servicios digitales (marketplaces, motores de búsqueda, plataformas de redes sociales) e investigación. Se supervisan de forma reactiva.

Si tu empresa no alcanza los umbrales de tamaño ni opera en los sectores listados, no estás obligado directamente por NIS2. Sin embargo, como se explica en la sección siguiente, eso no significa que la directiva no te afecte: muchas pymes más pequeñas quedan dentro del ámbito de forma contractual, a través de sus clientes regulados.

Qué obligaciones concretas impone la NIS2: análisis de riesgos, incidentes y seguridad de la cadena de suministro

El artículo 21 de la directiva establece las medidas mínimas que toda entidad obligada debe implementar. No son recomendaciones: son obligaciones técnicas, operativas y organizativas que deben estar documentadas, aprobadas por la dirección y revisadas al menos anualmente. Se estructuran en cuatro bloques principales:

NIS2 y proveedores: cómo afecta a pymes que trabajan con grandes clientes o en licitaciones

Uno de los efectos más importantes de NIS2 no está en las multas ni en las inspecciones directas, sino en lo que está ocurriendo en toda la cadena de valor de las empresas reguladas: el efecto cascada contractual.

El artículo 21.2.d de la directiva obliga a todas las entidades esenciales e importantes a gestionar los riesgos de ciberseguridad de sus proveedores. En la práctica, esto significa que cualquier empresa que suministre productos o servicios a una entidad NIS2 —con independencia de su propio tamaño o sector— empieza a recibir exigencias de seguridad por vía contractual:

La analogía que mejor explica este mecanismo es el RGPD: cuando el reglamento obligó a los responsables del tratamiento a garantizar que sus encargados cumplían la normativa de privacidad, miles de pymes que nunca habían oído hablar del RGPD se encontraron firmando contratos de encargo del tratamiento. Con NIS2 ocurre lo mismo en el ámbito de la ciberseguridad, pero con mayor urgencia: el volumen de empresas afectadas en España multiplica por diez el de la normativa anterior.

Las consecuencias no llegan necesariamente en forma de sanción directa. En muchos casos, la consecuencia es la exclusión silenciosa: el cliente NIS2 simplemente no renueva el contrato con el proveedor que no puede demostrar medidas de seguridad adecuadas. No hay expediente, no hay notificación: el contrato no se renueva y el proveedor no siempre sabe por qué.

Para las pymes que participan en licitaciones públicas o trabajan con grandes empresas europeas, esto es especialmente relevante. Los pliegos de contratación están incorporando ya cláusulas NIS2 y los responsables de compras de entidades reguladas tienen la obligación legal de documentar cómo gestionan el riesgo de su cadena de suministro. Un proveedor que no puede responder a un cuestionario de seguridad —o que tarda semanas en hacerlo— es un riesgo visible que el cliente tratará de eliminar.

Responsabilidad activa del directivo ante NIS2: qué debe hacer la dirección

NIS2 introduce una novedad que distingue a esta directiva de cualquier norma de ciberseguridad anterior: la obligación explícita de gobernanza activa por parte del órgano de dirección. No es suficiente con delegar en el equipo IT y firmar un documento anual. El artículo 20 es claro en lo que la dirección debe hacer —no solo evitar o sancionar—.

Tres obligaciones de gobernanza que recaen sobre el consejo

1. Aprobar formalmente el programa de seguridad. La política de gestión de riesgos y las medidas del artículo 21 deben estar aprobadas por el órgano de dirección, no simplemente conocidas por él. Esto implica que deben presentarse al consejo, discutirse y quedar reflejadas en acta. Un programa de ciberseguridad que vive únicamente en la bandeja de entrada del responsable de IT no cumple este requisito.

2. Supervisar activamente su ejecución. La directiva no exige que la dirección sea técnica en ciberseguridad. Exige que supervise. Esto se traduce en revisiones periódicas del estado de las medidas, informes de seguimiento del responsable de seguridad y capacidad de identificar cuándo hay incumplimientos o riesgos no gestionados.

3. Completar formación específica en gestión de riesgos cibernéticos. El artículo 20 obliga explícitamente a que los miembros del órgano de dirección reciban formación periódica en ciberseguridad. No es formación técnica: es formación en gestión de riesgos, supervisión de programas de seguridad y toma de decisiones ante incidentes. La ignorancia técnica del CEO o del CFO no es excusa ante una autoridad supervisora; la ignorancia sobre las obligaciones de gobernanza, menos aún.

Para el detalle del régimen sancionador, las multas aplicables y la responsabilidad de inhabilitación personal de directivos, consulta el artículo específico del sitio: Sanciones NIS2 y responsabilidad de los directivos.

Hoja de ruta práctica para adaptar tu empresa a la NIS2 paso a paso

La adaptación a NIS2 no es un proyecto puntual de IT: es un proceso de gobernanza que la dirección debe liderar. La secuencia siguiente es la que más sentido tiene para una pyme española que parte de cero o de un nivel básico de madurez:

Cuánto cuesta y cuánto tiempo lleva adaptarse a la NIS2

La primera pregunta que plantea casi cualquier CEO cuando entra en materia NIS2 es directa: ¿cuánto me va a costar esto? La respuesta honesta es que depende de tres factores que varían significativamente de una empresa a otra:

El punto de partida. Una empresa que ya tiene políticas documentadas, backups verificados y MFA activado en los accesos críticos tiene una brecha mucho menor que una que parte de cero. El diagnóstico inicial es precisamente el paso que determina cuánto trabajo real queda por hacer —y cuánto creías que había que hacer pero ya está en realidad resuelto.

El sector y el nivel de supervisión. Una entidad esencial en el sector energético tiene requisitos de demostración más exigentes que una entidad importante en fabricación. No es el mismo proyecto ni el mismo esfuerzo. La categoría regulatoria concreta de tu empresa es el segundo factor determinante del alcance.

El gap identificado en el diagnóstico. Este es el factor de mayor variabilidad. Algunas empresas descubren en el diagnóstico que tienen el 60 % del camino recorrido sin saberlo; otras descubren que necesitan construir el programa desde cero. El coste no es lineal al tamaño de la empresa: es lineal al gap real entre la situación actual y los requisitos del artículo 21.

En cuanto al tiempo, la adaptación básica de una pyme mediana con punto de partida razonable puede completarse en un plazo de tres a seis meses, siempre que la dirección esté involucrada activamente desde el inicio. Los proyectos que se dilatan no suelen hacerlo por complejidad técnica: suelen hacerlo porque la aprobación del órgano de dirección no llegó a tiempo, porque la documentación se trató como un trámite burocrático o porque se empezó por la tecnología en lugar de por la gobernanza.

Si quieres saber cuál es tu punto de partida real y qué tiene sentido priorizar en tu situación concreta, agenda una llamada de diagnóstico gratuita de 15 minutos. Sin compromiso y sin tecnicismos.

Cómo demostrar cumplimiento NIS2 ante clientes, auditores y licitaciones

El cumplimiento NIS2 tiene dos dimensiones que conviene distinguir. La primera es técnica: implementar las medidas del artículo 21. La segunda es documental: poder demostrar que las has implementado. Sin la segunda, la primera no existe a efectos regulatorios ni comerciales. Un auditor no puede valorar lo que no está documentado; un cliente que revisa su cadena de suministro tampoco.

Evidencias que un inspector o un cliente NIS2 va a solicitar

Las siguientes son las evidencias concretas que constituyen el expediente de cumplimiento de una pyme bajo NIS2:

El cumplimiento como ventaja competitiva

Más allá de evitar sanciones, las pymes que construyen este expediente de cumplimiento obtienen una ventaja competitiva concreta en dos contextos:

En contratos con grandes empresas. Las entidades esenciales e importantes están incorporando ya cláusulas NIS2 en sus procesos de homologación de proveedores. La pyme que puede responder un cuestionario de seguridad con evidencias reales —y no con declaraciones vacías— se diferencia de la competencia sin necesidad de bajar precio. El cumplimiento documentado reduce fricciones en la renovación de contratos y abre puertas con clientes que antes no te habrían considerado.

En licitaciones públicas. La combinación de NIS2 y ENS en pliegos de contratación pública española está creciendo rápidamente. Las empresas que participan en licitaciones con componente tecnológico o que acceden a sistemas de la administración necesitan acreditar un nivel de madurez en ciberseguridad. El expediente NIS2 es la base sobre la que se construye esa acreditación.

Si quieres revisar qué evidencias tienes ya cubiertas y cuáles te faltan, descarga la checklist NIS2/ENS para dirección: una página, sin tecnicismos, que puedes revisar antes de tu próxima reunión de consejo.

Preguntas frecuentes sobre la adaptación a NIS2 para pymes