NIS2 en España 2026: qué te obliga ya y cómo comprobarlo en 5 minutos

A julio de 2026, España sigue sin transponer la NIS2, y me encuentro este razonamiento casi todas las semanas: «cuando salga la ley española, nos ponemos». Suena prudente. Nadie quiere invertir en adaptarse a un texto que todavía puede cambiar.

El problema es que parte de una premisa falsa. El cumplimiento de la NIS2 no empieza cuando se publique el BOE: las obligaciones están escritas desde 2022 en el articulado europeo. Y este mes ha pasado algo que lo deja bastante claro.

1. Lo que ha pasado este mes

El 8 de julio de 2026, la Comisión Europea decidió llevar a España, Irlanda, Francia y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado las medidas de transposición de la NIS2. Y no se ha quedado ahí: ha solicitado la imposición de sanciones económicas.

El recorrido hasta aquí es el habitual en un procedimiento de infracción, y conviene verlo en orden porque explica por qué esto ya no es una anécdota administrativa:

Para tu empresa esto tiene una lectura doble. La mala: el marco nacional sigue sin cerrarse, así que hay detalles que todavía no puedes saber con certeza. La buena —o la útil, más bien—: la presión para que la ley se apruebe es hoy máxima. Quien esté esperando a tener el BOE delante para empezar, va a tener muy poco margen.

2. Lo que no va a cambiar

Aquí está el punto que de verdad importa, y el motivo por el que esperar no ahorra trabajo. En dos líneas:

• La ley española concretará el quién y el cómo: autoridades, registro, procedimiento sancionador.
• El qué —las medidas técnicas y los plazos— ya está fijado en la Directiva y no puede rebajarse.

La NIS2 es una directiva: fija el resultado que hay que alcanzar y deja a cada Estado el cómo encajarlo en su ordenamiento. Lo que la ley española va a concretar es, básicamente:

• Qué autoridad supervisa cada sector y quién recibe las notificaciones.
• Cómo y cuándo te registras, y qué datos tienes que aportar.
• El régimen sancionador interno y el reparto competencial con las comunidades autónomas.
• Posibles ampliaciones de ámbito a entidades que la Directiva no obliga a incluir.

Lo que no va a cambiar es el contenido técnico. Las diez familias de medidas del artículo 21, los plazos de notificación del artículo 23 y las obligaciones de gobernanza del artículo 20 están en el articulado europeo. Un Estado puede ser más exigente, pero no menos.

Y por si quedaba duda de hasta dónde llega el detalle, ya existe el Reglamento de Ejecución (UE) 2024/2690, que es directamente aplicable y desmenuza los requisitos técnicos del artículo 21 y los criterios para saber cuándo un incidente es significativo. Está pensado para proveedores de servicios digitales y de infraestructura digital, pero como referencia de «qué hay que implantar» es lo más concreto que hay encima de la mesa hoy.

¿Y no habrá un plazo para adaptarse?

Conviene ser honesto con esto, porque se afirma mucho en los dos sentidos. El anteproyecto sí incluye tres disposiciones transitorias, con plazos propios para cosas como la designación de responsables de seguridad, la puesta en marcha del Centro Nacional de Ciberseguridad o la elaboración de la Estrategia Nacional. Es normal: son piezas que no existen todavía y hay que construirlas.

Lo que nadie puede afirmar hoy es si habrá una moratoria general para que las entidades implanten las medidas del artículo 21, ni de cuánto sería. El texto está en tramitación y puede cambiar. Lo que sí es un hecho es que el artículo 41 de la Directiva fijó el 18 de octubre de 2024 como fecha a partir de la cual esas medidas debían aplicarse, y que el retraso de un Estado no crea derechos para quien tenía que cumplir. Contar con una prórroga amplia es una apuesta, no una previsión.

3. ¿Te aplica? Tres preguntas

El ámbito de aplicación se decide combinando sector y tamaño, con unas cuantas excepciones que se saltan el tamaño por completo. Este es el camino completo de un vistazo:

Y ahora, paso por paso.

Primera: ¿tu sector está en los anexos?

El Anexo I recoge los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas (MSP y MSSP), administración pública y espacio.

El Anexo II suma otros sectores críticos: servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación de productos sanitarios, de productos informáticos y electrónicos, de material eléctrico, de maquinaria, de vehículos y de otro material de transporte, proveedores de servicios digitales e investigación.

Ojo con dos que se pasan por alto a menudo: gestión de servicios TIC entre empresas —si eres un MSP o un MSSP, estás en el Anexo I— y fabricación, que mete en el ámbito a un montón de industria que no se veía a sí misma como «infraestructura crítica».

Segunda: ¿qué tamaño tienes?

Se aplican los umbrales de la Recomendación 2003/361/CE. La plantilla es el criterio principal y se combina con una alternativa financiera: facturación o balance. No basta con escoger automáticamente el dato más alto.

El cálculo no siempre usa solo las cifras de la sociedad aislada: deben agregarse los datos de las empresas asociadas o vinculadas conforme al artículo 6 del anexo. Además, un cambio de categoría solo surte efecto cuando los límites se superan o dejan de superarse durante dos ejercicios consecutivos. Si la empresa es de nueva creación y aún no tiene cuentas aprobadas, se utiliza una estimación de buena fe del ejercicio.

Tercera: ¿te aplica alguna excepción?

El artículo 2.2 sujeta a determinadas entidades con independencia de su tamaño. En estos casos, los datos económicos no deciden la sujeción; para los prestadores de comunicaciones electrónicas sí ayudan a distinguir entre entidad esencial e importante:

• Proveedores de servicios DNS, registros de nombres de dominio de primer nivel (TLD) y prestadores cualificados de servicios de confianza.
• Prestadores de redes o servicios públicos de comunicaciones electrónicas.
• Quien sea único prestador en el Estado de un servicio esencial para una actividad social o económica crítica.
• Aquellos cuya interrupción tendría un impacto significativo en la seguridad, la protección o la salud públicas.
• Entidades críticas designadas conforme a la Directiva CER (UE) 2022/2557, y los operadores de servicios esenciales ya designados bajo el RD 43/2021.
• Entidades de la Administración pública central.

Los supuestos de único prestador o impacto significativo requieren que la autoridad competente identifique el caso. La inclusión de administraciones autonómicas y locales dependerá de la norma española. Por eso, ante cualquiera de esas circunstancias, el resultado correcto es revisar la designación, no pedir datos económicos que no resuelven la cuestión.

Si después de esto sigues con dudas —que es lo normal, porque las combinaciones son muchas—, ese es exactamente el trabajo que hace el autodiagnóstico que tengo publicado: recoge los datos de sector, tamaño y excepciones y te devuelve una calificación orientativa con el artículo que la sostiene.

4. Entidad esencial o importante: qué cambia de verdad

Este es el malentendido más frecuente que me encuentro. Mucha gente asume que ser «importante» en lugar de «esencial» rebaja las obligaciones. No es así.

Traducido: lo que tienes que hacer es idéntico. Lo que cambia es la probabilidad de que alguien venga a comprobarlo y lo que te cuesta si no lo has hecho. Ser «importante» no es una versión ligera; es la misma exigencia con menos vigilancia.

5. Las tres fechas del artículo 23 que no se improvisan

Si tuviera que señalar la obligación que más empresas van a incumplir sin darse cuenta, es esta. Ante un incidente significativo, el artículo 23 marca tres hitos:

1. 24 horas — alerta temprana. Basta con indicar si se sospecha que el incidente es ilícito o malintencionado y si puede tener impacto transfronterizo.
2. 72 horas — notificación con una evaluación inicial: gravedad, impacto e indicadores de compromiso.
3. Un mes — informe final: descripción detallada, tipo de amenaza, causa raíz, medidas aplicadas y efectos transfronterizos.

Además hay que informar a los destinatarios del servicio cuando el incidente pueda afectarles, y la autoridad puede pedir informes intermedios.

El detalle que se le escapa a casi todo el mundo: las 24 horas cuentan desde que tienes conocimiento del incidente. Si tu capacidad de detección consiste en que alguien te llame diciendo que algo no funciona, el reloj empieza tarde y encima no tienes datos que aportar. Sin registro de eventos y sin un flujo escrito con responsables y suplentes designados, esas 24 horas se consumen enteras decidiendo quién llama y a dónde.

6. Los diez bloques del artículo 21, en cristiano

El artículo 21.2 enumera diez familias de medidas mínimas, que deben ser proporcionadas al riesgo y al tamaño de la entidad. Sin lenguaje de boletín oficial:

1. Análisis de riesgos y política de seguridad — el punto de partida de todo lo demás.
2. Gestión de incidentes — detectarlos, responder y dejar constancia.
3. Continuidad — copias de seguridad, recuperación ante desastres y gestión de crisis.
4. Cadena de suministro — evaluar a tus proveedores directos y llevarlo al contrato.
5. Adquisición y desarrollo seguros — incluida la gestión y divulgación de vulnerabilidades.
6. Evaluación de la eficacia — comprobar que las medidas funcionan de verdad, no que existen.
7. Ciberhigiene y formación — para toda la plantilla.
8. Criptografía y cifrado — con una política detrás, no a criterio de cada uno.
9. Seguridad del personal, control de acceso y gestión de activos — aquí caben el inventario y, sobre todo, las bajas.
10. Autenticación multifactor y comunicaciones seguras — incluidos los canales de emergencia.

Fíjate en el bloque 9, que es donde más brechas encuentro y el que menos titulares ocupa: las cuentas de gente que ya no trabaja en la empresa. Es un hallazgo casi garantizado en cualquier auditoría, cuesta poco arreglarlo y es una vía de entrada de manual.

7. La parte que le toca a tu dirección

El artículo 20 es el que más conversaciones incómodas genera, y merece la pena leerlo con calma porque se cita mucho y se entiende poco.

Dice dos cosas. Primera: el órgano de dirección aprueba las medidas de gestión de riesgos, supervisa su aplicación y responde de su incumplimiento. Segunda: sus miembros deben recibir formación periódica suficiente para identificar riesgos y valorar prácticas de gestión de ciberseguridad.

Sobre la responsabilidad conviene ser preciso y no vender miedo: las multas del artículo 34 se imponen a la entidad, no al directivo. Lo que la Directiva añade es que la dirección responde de que las medidas se adopten y se supervisen, y que el artículo 32.6 permite a las autoridades solicitar la prohibición temporal de ejercer funciones directivas en entidades esenciales. Cómo se articula eso en España dependerá de la norma de transposición.

Dicho de otro modo: lo que se le pide a un consejo no es que entienda de tecnología. Es que haga cuatro cosas perfectamente razonables:

• Aprobar formalmente la política y las medidas, con acta. No un correo de conformidad.
• Asignar responsabilidades con nombre y apellidos, no a un departamento.
• Poner la seguridad como punto fijo del comité, con indicadores que se revisen.
• Formarse una vez al año, con registro de asistencia.

8. Por dónde empezar si vas tarde

Si estás empezando de cero, este es el orden que yo seguiría por relación entre esfuerzo e impacto. No es el orden del articulado: es el orden que reduce riesgo antes.

1. MFA en todo lo que dé a internet —accesos remotos, cuentas privilegiadas y correo—. Es la medida con mejor retorno de toda la lista, y suele ser cuestión de días.
2. Una copia de seguridad aislada o inmutable, y probar que restaura. Una copia que no se ha restaurado nunca no es una copia: es una intención.
3. El flujo de notificación por escrito, con responsables, suplentes, plantillas y el canal identificado. Es barato y sin él los plazos del artículo 23 son inalcanzables.
4. El inventario de activos con propietario y criticidad. Sin él, ningún análisis de riesgos es fiable y no sabes qué estás protegiendo.
5. El acta de dirección aprobando la política y designando responsable. Una reunión.

Con esos cinco puntos no cumples la NIS2, que conste. Pero cubres las brechas por las que entran de verdad los incidentes y dejas constancia de diligencia, que es lo primero que se mira cuando algo sale mal.

9. Compruébalo tú mismo en 5 minutos

Para no dejarte con una lista de deberes y ya está, he publicado el checklist que uso con mis clientes. Es gratuito y está abierto:

• Test de aplicabilidad según los artículos 2 y 3: sector, tamaño y excepciones, con la calificación orientativa y el artículo que la sostiene.
• 16 controles mapeados a los artículos 20, 21 y 23, cada uno con sus cinco niveles descritos para ese control concreto, para que no tengas que interpretar una escala genérica.
• Diagnóstico de madurez por dominio y brechas priorizadas por criticidad regulatoria.
• Informe en PDF para llevar a tu dirección.

Y el trato, que para mí es la parte importante: sin registro, sin muro de correo electrónico y sin cookies. Todo el cálculo y el PDF se generan en tu navegador; tus respuestas no salen de tu equipo porque no hay servidor que las reciba. Puedes comprobarlo con las herramientas de desarrollo abiertas: lo único que se descarga es de mi propio dominio —una tipografía y la librería que compone el PDF—, y ninguna lleva un solo dato tuyo.

Abrir el checklist NIS2 →

Preguntas frecuentes

¿La NIS2 afecta a las pymes?

Con carácter general, las pequeñas empresas quedan fuera: deben tener menos de 50 UTA y, además, una facturación anual de hasta 10 M€ o un balance anual de hasta 10 M€. El cálculo considera las empresas asociadas o vinculadas y, normalmente, dos ejercicios consecutivos; las nuevas empresas utilizan una estimación de buena fe. Aun así, una pequeña empresa puede quedar sujeta por las excepciones del artículo 2.2 —por ejemplo, si presta servicios DNS o servicios cualificados de confianza— y puede recibir por contrato las obligaciones de cadena de suministro de sus clientes.

¿Qué diferencia hay entre NIS2 y DORA?

DORA es el Reglamento (UE) 2022/2554, aplicable al sector financiero desde el 17 de enero de 2025. La NIS2 es transversal. La clave está en el artículo 4 de la NIS2: cuando una norma sectorial de la Unión impone requisitos al menos equivalentes, se aplica esa en lugar de los artículos 21 y 23. Traducido: una entidad financiera sujeta a DORA cumple por DORA y no duplica el régimen. Conviene confirmar el encaje exacto cuando salga la ley española.

¿Qué relación tiene con el ENS?

El Esquema Nacional de Seguridad (RD 311/2022) se aplica al sector público y a quien le presta servicios TIC. Es otro marco, con otro origen, pero se solapa en buena parte del contenido técnico: si ya estás adecuado al ENS, tienes mucho del artículo 21 hecho y puedes reutilizar evidencias. No es equivalente, ojo: al ENS le faltan la gobernanza del artículo 20 y los plazos del 23.

¿Qué pasa si no me registro ante la autoridad competente?

El artículo 3.4 obliga a las entidades sujetas a comunicar sus datos y a informar de cualquier cambio. Es una obligación autónoma: se incumple por el simple hecho de no registrarse, sin que tenga que ocurrir ningún incidente. Y tiene un efecto práctico que se subestima: las autoridades construyen sus listados de entidades a partir de esos registros. En España, el procedimiento y el plazo concretos saldrán de la norma de transposición.

Soy proveedor de una empresa sujeta, ¿me afecta?

Directamente no, si no estás en los anexos ni alcanzas los umbrales. En la práctica, sí. El artículo 21.2.d obliga a tus clientes sujetos a gestionar la seguridad de su cadena de suministro, así que sus requisitos te van a llegar por contrato: cláusulas de seguridad, obligación de notificar incidentes en plazos cortos y cuestionarios antes de adjudicarte nada. Lo estoy viendo ya en licitaciones.

Tengo la ISO 27001, ¿me vale?

Es una base excelente y te ahorra buena parte del camino del artículo 21, pero no es equivalente. Los tres huecos que encuentro siempre: la gobernanza del artículo 20, con aprobación y supervisión por el órgano de dirección —algo que trabajo a menudo como CISO externo—; los plazos del artículo 23, mucho más agresivos que lo que suele contemplar un sistema de gestión; y el registro ante la autoridad. La certificación ayuda a demostrar diligencia; no sustituye al cumplimiento.

¿Cuándo entrará en vigor la ley española?

No hay fecha cierta, y desconfía de quien te la dé. El anteproyecto se aprobó en enero de 2025 y sigue sin publicarse. La remisión al TJUE aumenta mucho la presión, pero hasta que no esté en el BOE, no está. El texto aprobado en Consejo de Ministros incluye tres disposiciones transitorias con plazos para determinadas obligaciones, aunque su alcance definitivo puede cambiar en la tramitación parlamentaria. Verifica siempre la publicación efectiva antes de tomar decisiones con efectos jurídicos.

¿Las multas son a la empresa o al directivo?

Las del artículo 34, a la entidad: hasta 10 M€ o el 2 % de la facturación mundial para las esenciales, 7 M€ o el 1,4 % para las importantes. Lo que afecta a las personas es distinto: el artículo 20.1 hace responder a la dirección del incumplimiento de las medidas, y el 32.6 permite pedir la prohibición temporal de ejercer funciones directivas en entidades esenciales. El alcance real en España dependerá de la transposición.

Si te quedas con una sola idea, que sea esta: el retraso de España no es tu plazo. Es el suyo. Las medidas que tendrás que tener implantadas están escritas desde 2022, y cuando la ley llegue no va a haber ventana de adaptación. Los 640 días que llevamos de retraso son 640 días que se podían haber aprovechado.

Por cierto, si te interesa cómo se van conectando entre sí los marcos de cumplimiento europeos, hace unos días escribí sobre el Ómnibus digital sobre IA y su enganche con la ciberseguridad. Va de lo mismo: dejar de tratar cada norma como un proyecto aislado.

Cualquier duda, aquí estoy. Sin humo.