Directiva NIS2 en España: guía para PYMEs 2026 | Mencar
Directiva NIS2 en España:
qué es, a quién afecta y cómo cumplirla
La Directiva NIS2 convierte la ciberseguridad en una responsabilidad personal del CEO, COO y CFO, con multas de hasta 10 millones de euros o el 2 % de la facturación global. Si tu empresa tiene entre 50 y 250 empleados y opera en uno de los sectores cubiertos por la directiva, probablemente estás dentro del ámbito de aplicación, y el desconocimiento no será excusa.
El contexto de amenazas justifica la urgencia: según el balance oficial de INCIBE, en 2024 se gestionaron 97.348 incidentes de ciberseguridad en España, un +16,6 % respecto al año anterior. De ellos, 31.540 afectaron directamente a empresas —incluyendo pymes y autónomos—, lo que supone un incremento interanual del +43 %, el mayor salto registrado hasta la fecha. De forma proactiva, INCIBE detectó además 183.851 sistemas vulnerables susceptibles de ser explotados. Fuente: Balance de Ciberseguridad INCIBE 2024 (publicado marzo 2025).
Esta guía desglosa todo lo que la alta dirección necesita saber: qué exige la normativa, qué evidencias debes tener preparadas, cómo se relaciona con el Esquema Nacional de Seguridad y cuáles son los errores que ya están cometiendo la mayoría de pymes.
Qué es la Directiva NIS2 y por qué puede afectar a tu pyme
La Directiva (UE) 2022/2555, conocida como NIS2, entró en vigor el 16 de enero de 2023 y sustituyó a la anterior Directiva NIS1 de 2016. Su objetivo es establecer un nivel común elevado de ciberseguridad en toda la Unión Europea. El cambio de escala es radical: NIS1 cubría 7 sectores y afectaba a unas 15.000 entidades en Europa; NIS2 abarca 18 sectores y alcanza a más de 160.000 organizaciones.
La directiva clasifica a las entidades obligadas en dos categorías:
Entidades esenciales
Organizaciones en los 11 sectores de alta criticidad del Anexo I (energía, transporte, banca, sanidad, agua potable, infraestructura digital, gestión de servicios TIC B2B, administración pública, espacio…) que sean grandes empresas (más de 250 empleados o facturación superior a 50 millones de euros). Están sujetas a supervisión proactiva (ex ante): auditorías periódicas e inspecciones regulares.
Entidades importantes
Empresas medianas (entre 50 y 250 empleados o facturación entre 10 y 50 millones) en sectores del Anexo I, o medianas y grandes en los 7 sectores del Anexo II (servicios postales, gestión de residuos, fabricación, alimentación, proveedores de servicios digitales, investigación). Se supervisan de forma reactiva (ex post): la autoridad actúa cuando hay evidencia de incumplimiento.
Entre los sectores cubiertos figuran energía, transporte, banca, sanidad, infraestructura digital, fabricación industrial, alimentación, servicios postales, gestión de residuos, proveedores de servicios digitales e investigación, entre otros. La regla de tamaño es el primer filtro: a partir de 50 empleados o 10 millones de euros de facturación en uno de esos sectores, la empresa queda dentro del ámbito de NIS2. Existen excepciones donde entidades más pequeñas quedan incluidas independientemente del tamaño: proveedores de DNS, registros de dominios de primer nivel (TLD) y proveedores de servicios de confianza cualificados.
De NIS1 a NIS2: una escalada que la dirección no puede ignorar
La diferencia entre ambas directivas no es incremental; es estructural. NIS1 dejaba a cada Estado miembro la discreción de definir quién era "operador de servicios esenciales". España identificó apenas unas 400 entidades bajo el Real Decreto-ley 12/2018. NIS2 elimina esa discrecionalidad: en España se estima que el número de entidades afectadas pasará de unos cientos a más de 10.000.
| Aspecto | NIS1 (2016) | NIS2 (2023) |
|---|---|---|
| Sectores cubiertos | 7 sectores | 18 sectores (Anexo I y II) |
| Entidades obligadas (UE) | ~15.000 | ~160.000 |
| Entidades obligadas en España | ~400 | ~10.000+ |
| Responsabilidad directivos | No mencionada | Explícita (Art. 20) — responsabilidad personal y posible inhabilitación |
| Cadena de suministro | Apenas mencionada | Medida obligatoria (Art. 21.2.d) con evaluación y cláusulas contractuales |
| Notificación incidentes | "Sin demora indebida" (vago) | 24h alerta / 72h notificación / 1 mes informe final |
| Sanciones mínimas armonizadas | No | Sí: hasta 10 M€ o 2 % facturación global (esenciales) |
El ENS y su relación con NIS2: cuándo aplica a una pyme privada
El Esquema Nacional de Seguridad (Real Decreto 311/2022) es el marco español que establece la política de seguridad para los sistemas electrónicos del sector público y de las empresas privadas que les prestan servicios. Se estructura en cinco dimensiones de seguridad y define tres categorías de certificación:
| Categoría ENS | Impacto | Requisito |
|---|---|---|
| Básica | Limitado | Declaración de conformidad (autoevaluación) |
| Media | Grave | Certificación obligatoria por entidad acreditada ENAC, renovable cada 2 años |
| Alta | Muy grave | Misma certificación que Media + controles adicionales |
¿Cuándo te obliga el ENS? Cuando prestas servicios al sector público mediante contrato, ya que los pliegos de contratación pública incluyen requisitos de adecuación al ENS. Fuera de la contratación pública, el ENS no es obligatorio para el sector privado.
¿Se puede estar obligado por ambos? Sí. Una empresa que provee servicios al sector público (→ ENS) y opera en un sector NIS2 (→ NIS2) debe cumplir ambos marcos. El CCN ha publicado el Perfil de Cumplimiento Específico NIS2 (guía CCN-STIC 892), que mapea los controles del ENS contra los requisitos de NIS2. La posición oficial es que el ENS categoría Alta cubre en gran medida los requisitos estructurales de NIS2, aunque existen tres obligaciones adicionales de NIS2 que hay que abordar por separado: la responsabilidad explícita de la dirección, los plazos estructurados de notificación de incidentes y los requisitos reforzados de seguridad de la cadena de suministro.
Las 10 medidas de gobernanza que NIS2 exige a la alta dirección
El Artículo 21.2 establece diez categorías de medidas que toda entidad esencial e importante debe implementar. No son medidas técnicas delegables al departamento de IT; son medidas de gobernanza corporativa que el Artículo 20 exige que los órganos de dirección aprueben formalmente y supervisen de manera continua.
Qué evidencias concretas necesitas para superar una auditoría
NIS2 introduce un cambio fundamental: de la seguridad basada en políticas a la seguridad basada en evidencias demostrables. No basta con tener un documento de política de seguridad; hay que demostrar que se aplica, se revisa y se mejora continuamente. Una empresa bajo NIS2 necesita mantener aproximadamente 30 documentos formales más la evidencia operativa asociada.
Gobernanza
Política de seguridad de la información aprobada por la dirección (con acta de aprobación e historial de versiones), marco de gestión de riesgos, registros de formación individual de directivos con fechas y resultados, y actas de reuniones del consejo donde se traten temas de ciberseguridad incluyendo decisiones sobre riesgos y asignación presupuestaria.
Gestión de riesgos
Metodología documentada de evaluación, registro de riesgos actualizado periódicamente, planes de tratamiento vinculados a cada riesgo, y registros de aceptación de riesgo residual firmados por la dirección.
Gestión de incidentes
Plan de respuesta a incidentes (IRP) con criterios de clasificación, registro histórico de incidentes reales con acciones tomadas, actas de simulacros y ejercicios de mesa (tabletop exercises), informes post-incidente con lecciones aprendidas, y evidencia de capacidad de notificación en los plazos de 24 y 72 horas.
Cadena de suministro
Política de seguridad de proveedores, cuestionarios de evaluación completados, contratos con cláusulas de ciberseguridad y SLA de notificación, y registro de proveedores críticos con calificaciones de riesgo.
Evidencia técnica
Informes de pruebas de penetración con seguimiento de remediación (un pentest sin evidencia de corrección es insuficiente), resultados de escaneos de vulnerabilidades, registros de parcheado, inventario de activos con clasificación de criticidad, y registros de despliegue y uso de MFA.
Notificación de incidentes: los plazos que no admiten improvisación
El régimen del Artículo 23 establece una secuencia de cuatro fases con plazos estrictos que arranca desde el momento en que la entidad tiene conocimiento de un incidente significativo — aquel que causa o puede causar perturbación operativa grave, pérdidas financieras relevantes o daños considerables a terceros.
Comunicar al CSIRT competente (INCIBE-CERT para el sector privado) indicando si el incidente parece tener origen malicioso y si podría tener impacto transfronterizo. Notificación mínima; prima la velocidad sobre el detalle.
Actualiza la alerta con una evaluación inicial de la gravedad e impacto, indicadores de compromiso (IoCs) disponibles, sistemas y usuarios afectados, y medidas de mitigación adoptadas.
Actualizaciones de estado durante la gestión del incidente, a solicitud del CSIRT. Sin plazo fijo predeterminado.
Descripción detallada del incidente, causa raíz, medidas de mitigación aplicadas e impacto transfronterizo si aplica. Si el incidente sigue activo al mes, se presenta informe de progreso y el final se entrega un mes después de la resolución.
Sanciones: las cifras que justifican la inversión en cumplimiento
NIS2 establece un régimen sancionador con mínimos armonizados en toda la UE que los Estados miembros pueden incrementar pero nunca reducir.
Entidades esenciales
10 M€
o lo que sea mayor:
2 % facturación global
Supervisión proactiva + posible inhabilitación temporal de directivos
Entidades importantes
7 M€
o lo que sea mayor:
1,4 % facturación global
Supervisión reactiva + instrucciones vinculantes y divulgación pública
El arsenal de medidas adicionales incluye instrucciones vinculantes de las autoridades, obligación de divulgar públicamente las infracciones identificando a los responsables, designación de un supervisor externo y multas coercitivas periódicas para forzar el cese de infracciones.
Los 8 errores que están cometiendo las pymes ante NIS2
La experiencia de los primeros meses de preparación en Europa ha revelado patrones recurrentes. Reconocerlos a tiempo puede ahorrar meses de trabajo y sanciones evitables.
Ruta práctica de cumplimiento para tu pyme
La hoja de ruta recomendada por INCIBE y CCN para pymes tecnológicas de 50 a 250 empleados sigue una secuencia lógica:
INCIBE ofrece recursos gratuitos a través de su portal PYMES NIS2, incluyendo herramientas de autodiagnóstico, kits de concienciación y la Línea de Ayuda en Ciberseguridad (017). El CCN proporciona herramientas como PILAR (análisis de riesgos) e INES (auditoría ENS) y un buzón de consultas específico sobre NIS2.
Recursos oficiales
incibe.es/incibe-cert/sectores-estrategicos/pymes-nis2 ↗
ccn.cni.es/es/normativa/directiva-nis2 ↗
incibe.es/incibe-cert/sectores-estrategicos/FAQNIS2 ↗
interior.gob.es ↗
Preguntas frecuentes sobre NIS2 y ENS
¿Mi empresa de 45 empleados está obligada por NIS2?
El umbral principal es 50 empleados O 10 millones de euros de facturación anual. Con 45 empleados, quedarías fuera del ámbito directo salvo que tu facturación supere los 10 millones, o que seas proveedor de DNS, registro de dominios TLD o proveedor de servicios de confianza cualificados, que quedan incluidos independientemente del tamaño. No obstante, si eres proveedor de una empresa que sí está regulada, recibirás exigencias contractuales de ciberseguridad aunque no seas entidad obligada directamente.
¿Cuándo será exigible NIS2 en España?
La directiva debía estar transpuesta antes del 17 de octubre de 2024. España aprobó el Anteproyecto de Ley en enero de 2025, pero a mayo de 2026 la ley sigue en tramitación parlamentaria y la Comisión Europea ya abrió un procedimiento de infracción. Las obligaciones serán exigibles desde el día siguiente a la publicación en el BOE. La recomendación unánime de INCIBE, CCN-CERT y las principales consultoras es no esperar a esa fecha para iniciar la adaptación.
¿Qué diferencia hay entre ser entidad esencial o entidad importante?
La diferencia principal es el régimen de supervisión y las sanciones máximas. Las entidades esenciales se supervisan de forma proactiva (ex ante): auditorías e inspecciones periódicas aunque no haya incidente. Las entidades importantes se supervisan de forma reactiva (ex post): la autoridad actúa cuando hay evidencia de incumplimiento. En sanciones, las esenciales pueden recibir multas de hasta 10 M€ o el 2 % de la facturación global; las importantes, hasta 7 M€ o el 1,4 %.
Si soy proveedor de una empresa regulada por NIS2, ¿me aplica la directiva?
No directamente como entidad obligada, salvo que alcances los umbrales de tamaño y sector. Pero el Artículo 21.2.d obliga a las entidades reguladas a gestionar los riesgos de su cadena de suministro, lo que significa que recibirás cuestionarios de seguridad, cláusulas contractuales y posibles derechos de auditoría por parte de tus clientes regulados. En la práctica, las exigencias llegan contractualmente aunque no seas entidad NIS2 directa.
¿Las multas de NIS2 pueden afectar personalmente al CEO o al CFO?
Sí. El Artículo 20.1 establece expresamente que los miembros de los órganos de dirección pueden ser considerados personalmente responsables de las infracciones. Para entidades esenciales, el Artículo 32.5.b permite además solicitar la prohibición temporal de ejercer funciones directivas. Muchas pólizas de seguro D&O excluyen las violaciones deliberadas de normativa, lo que amplifica la exposición personal del CEO, COO y CFO.
¿El ENS es obligatorio para empresas privadas que no trabajan con la administración?
No. El Esquema Nacional de Seguridad (Real Decreto 311/2022) es obligatorio para el sector público y para las empresas privadas que prestan servicios a las administraciones mediante contrato. Si tu empresa no tiene contratos con el sector público, el ENS no te es legalmente exigible. Sin embargo, muchas empresas lo adoptan voluntariamente como marco de referencia para NIS2, ya que la guía CCN-STIC 892 establece que el ENS categoría Alta cubre en gran medida los requisitos estructurales de NIS2.
¿Qué es lo primero que debería hacer mi empresa para empezar con NIS2?
Lo primero es la autoidentificación: determinar si tu empresa es entidad esencial o importante usando la FAQ oficial de INCIBE y la herramienta del Ministerio de Industria. Si confirmas que estás en el ámbito, el segundo paso es un análisis de brechas contra las 10 medidas del Artículo 21. INCIBE ofrece herramientas de autodiagnóstico gratuitas en su portal PYMES NIS2. No recomendamos empezar comprando herramientas: el primer bloqueo suele ser la ausencia de gobernanza documentada, no de tecnología.
Conclusión: la ciberseguridad ya no es un tema de IT, es un tema de consejo
NIS2 representa un cambio de paradigma para las pymes españolas. Por primera vez, la ciberseguridad se eleva formalmente al nivel de responsabilidad personal de la alta dirección, con sanciones económicas que pueden comprometer la viabilidad de una empresa mediana y consecuencias profesionales que pueden inhabilitar temporalmente a sus directivos.
La ventana de oportunidad es ahora. Mientras la Ley de Coordinación y Gobernanza de la Ciberseguridad completa su tramitación, cada mes invertido en construir el sistema de gobernanza, documentar procesos y acumular evidencias es un mes que restará presión cuando las obligaciones sean plenamente exigibles.
Las empresas que traten NIS2 como un proyecto de transformación organizativa — no como una compra de herramientas o una tarea del departamento de IT — serán las que conviertan el cumplimiento en ventaja competitiva, especialmente en la contratación con grandes empresas europeas ya reguladas y con el sector público español a través del ENS.
La pregunta ya no es si tu pyme debe prepararse, sino cuántos meses de evidencia demostrable tendrás acumulados cuando llegue la primera auditoría.
o por dónde empezar? Agenda una llamada de 15 minutos con nosotros. Sin coste y sin compromiso. Te ayudamos a identificar si tu empresa está en el ámbito de la directiva y qué tres acciones tiene más sentido priorizar en tu situación concreta.
Previous Post
Next Post