La Directiva NIS2 (Directiva (UE) 2022/2555) es la norma europea de ciberseguridad que obliga a las empresas de sectores esenciales e importantes a gestionar sus riesgos, notificar incidentes en plazos muy cortos y responder ante las autoridades. Sustituye a la Directiva NIS de 2016, amplía los sectores afectados y endurece las sanciones. En España aún no se ha publicado la ley que la transpone, pero las empresas afectadas ya deberían prepararse.
En esta guía, elaborada por el equipo de RCQuality Consultores, resumimos qué es NIS2, a quién aplica, qué obligaciones impone, en qué punto está su transposición en España y cómo cumplirla con un sistema de gestión basado en ISO 27001.
Qué es la Directiva NIS2 y por qué nace
La Directiva (UE) 2022/2555, conocida como NIS2 (Network and Information Security Directive 2), se publicó en el DOUE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Su objetivo es elevar el nivel de ciberseguridad en toda la Unión Europea ante el aumento de los ciberataques y la dependencia digital de la economía.
Según INCIBE, la directiva amplía el ámbito de aplicación y da mayor cobertura a los sectores y servicios de mayor relevancia social y económica. Los Estados miembros debían transponerla a su legislación nacional antes del 17 de octubre de 2024.
A quién aplica la NIS2
La directiva distingue entre entidades esenciales y entidades importantes, según su sector, tamaño y criticidad.
| Categoría | Sectores |
|---|---|
| Esenciales | Energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable y residual, infraestructuras digitales, administración pública, espacio |
| Importantes | Servicios postales, gestión de residuos, productos químicos, producción y distribución de alimentos, fabricación (incluidos productos sanitarios), proveedores digitales, investigación |
Por tamaño, afecta en general a medianas empresas (entre 50 y 250 empleados, con ingresos de entre 10 y 50 millones de euros) y a grandes empresas (más de 250 empleados o más de 50 millones de euros de ingresos). En casos concretos también a pequeñas empresas, si prestan servicios críticos.
Aunque una empresa no esté directamente sujeta, puede verse afectada indirectamente si es proveedora de una entidad que sí lo está: sus clientes le exigirán evidencias de ciberseguridad en la cadena de suministro.
Principales obligaciones de la NIS2
- Gestión de riesgos de ciberseguridad: medidas técnicas, operativas y organizativas para prevenir, detectar y mitigar incidentes.
- Notificación de incidentes significativos: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en un mes.
- Seguridad en la cadena de suministro: evaluar proveedores y exigirles cláusulas de ciberseguridad.
- Gobernanza: la alta dirección debe aprobar y supervisar las medidas y responde por su cumplimiento.
- Supervisión y sanciones: las autoridades podrán auditar y sancionar. Las multas pueden alcanzar 10 millones de euros o el 2 % de la facturación mundial en entidades esenciales, y 7 millones o el 1,4 % en entidades importantes.
Diferencias clave frente a la Directiva NIS (2016)
- Incluye más sectores y tipos de entidades.
- Elimina la distinción entre «operadores de servicios esenciales» y «proveedores de servicios digitales».
- Refuerza la responsabilidad de la alta dirección.
- Incorpora la cadena de suministro y plazos de notificación más estrictos.
Estado de la NIS2 en España
España no transpuso la directiva en plazo. El Consejo de Ministros aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que designa al Centro Criptológico Nacional como autoridad de referencia. A mediados de 2026 la ley seguía en tramitación y sin publicarse en el BOE. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, que transpuso la NIS original.
Esperar a la publicación definitiva supone un riesgo: los requisitos europeos ya están definidos y adaptar un sistema de gestión lleva meses.
¿Basta con tener la ISO 27001 para cumplir la NIS2?
No automáticamente, pero es la mejor base. La implantación de ISO 27001 aporta la gestión de riesgos, los controles y la mejora continua que exige NIS2. Sin embargo, la directiva va más allá en cuatro aspectos:
- Responsabilidad directa de la alta dirección.
- Notificación de incidentes en 24 y 72 horas.
- Seguridad de la cadena de suministro.
- Supervisión activa de las autoridades.
El paso recomendado es un análisis de brechas (gap analysis) frente a NIS2 y completar los procedimientos que falten. Si quieres entender mejor la base del sistema, lee la diferencia entre tener medidas de seguridad y tener un SGSI.
Cómo preparar tu empresa para la NIS2
- Determinar si eres entidad esencial, importante o proveedor de una.
- Realizar un diagnóstico: activos críticos, proveedores y puntos débiles.
- Implantar o adaptar un SGSI conforme a ISO 27001.
- Definir procedimientos de gestión y notificación de incidentes.
- Formar a la dirección y al personal técnico.
- Revisar contratos con proveedores e incluir cláusulas de ciberseguridad.
- Preparar la empresa para auditorías y requerimientos de las autoridades.
Consultoría NIS2 con RCQuality
En RCQuality somos especialistas en sistemas de gestión y cumplimiento normativo. Te ayudamos con el diagnóstico inicial y análisis de brechas, la implantación de un SGSI alineado con ISO 27001, los planes de acción y la preparación para auditorías y notificación de incidentes.
¿Quieres saber en qué punto está tu empresa? Contacta con nosotros y te orientamos sin compromiso.
Preguntas frecuentes sobre la NIS2
¿Es obligatoria la NIS2 en España?
La directiva europea está en vigor, pero la ley española que la transpone no estaba publicada en el BOE a mediados de 2026. Las obligaciones concretas se fijarán en esa ley.
¿Qué empresas deben cumplir la NIS2?
Medianas y grandes empresas de sectores esenciales e importantes, y proveedores críticos. Otras empresas pueden verse afectadas como proveedoras de una entidad sujeta.
¿Cuál es el plazo para notificar un incidente?
Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
¿Cuáles son las sanciones por incumplir la NIS2?
Hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes.
¿La ISO 27001 sirve para cumplir la NIS2?
Es una base muy sólida, pero hay que completarla con los requisitos específicos de NIS2 mediante un análisis de brechas.