Inicio Herramientas Checklist NIS2
Autodiagnóstico de aplicabilidad y madurez frente a la Directiva (UE) 2022/2555. Primero comprobamos si tu empresa queda sujeta; después evaluamos 16 controles mapeados a los artículos 20, 21 y 23. Al final te llevas un informe en PDF con tus brechas priorizadas.
España lleva de retraso en la transposición de la NIS2
Desde el 17 de octubre de 2024, fecha límite fijada en el artículo 41 de la Directiva (UE) 2022/2555 para que los Estados miembros adoptaran y publicaran las disposiciones necesarias. El 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE —junto a Irlanda, Francia y Países Bajos— y solicitó la imposición de sanciones económicas.
La NIS2 es una directiva: no se aplica sola, necesita una norma nacional que la transponga. Pero mientras esa norma se tramita, el contenido técnico exigible ya está definido en el articulado europeo y no va a cambiar en lo sustancial. Por eso este checklist se construye sobre la Directiva, y no sobre un borrador español que todavía puede moverse.
Para entender el contexto
Si antes de hacer el test quieres el panorama completo —qué ha pasado con la transposición, quién queda sujeto, qué cambia entre entidad esencial e importante y los plazos del artículo 23—, lo he escrito con calma en NIS2 en España 2026: qué te obliga ya.
Aviso legal
Esta herramienta es un autodiagnóstico orientativo con fines divulgativos. No constituye asesoramiento jurídico ni una determinación oficial de sujeción a la NIS2, que corresponde en exclusiva a las autoridades competentes. La calificación real de una entidad depende de su actividad concreta, de las designaciones sectoriales y del texto final de la norma española de transposición, aún pendiente de publicación en el BOE en la fecha de esta revisión.
Los cálculos se ejecutan íntegramente en tu navegador: tus respuestas no se envían, ni se almacenan, ni salen de tu equipo. No hay cookies, recursos de terceros ni medición de uso: no se registran las descargas ni tus interacciones con la herramienta. Última revisión del contenido normativo: .
Este resultado es preliminar. El criterio combina el sector de actividad (Anexos I y II de la Directiva) con el tamaño de la entidad según la Recomendación 2003/361/CE, más las excepciones del artículo 2.
Si tu actividad encaja en varios, elige aquella por la que prestas el servicio más relevante para terceros.
Orientación inicial según los artículos 2 y 3 de la Directiva (UE) 2022/2555; no es una determinación oficial.
16 controles, cada uno mapeado a su artículo. Cada nivel está descrito para ese control concreto, así que no tienes que interpretar una escala genérica: elige el que retrate tu situación real. Un diagnóstico optimista no te protege de un incidente ni de una inspección.
Ordenadas por criticidad regulatoria y por distancia respecto al nivel exigible. Empieza por arriba.
Un diagnóstico solo vale si se convierte en un plan. Descarga el informe para compartirlo con tu dirección, o escríbeme y lo revisamos juntos sin compromiso.
El informe se genera en tu navegador. No se envía nada a ningún servidor.
Estos son los controles que evalúa el autodiagnóstico, agrupados por dominio y con el artículo de la Directiva del que sale cada uno. Puedes leerlos aquí como referencia, o hacer el test para puntuarlos y llevarte el informe con tus brechas priorizadas.
La dirección aprueba formalmente las medidas de gestión de riesgos de ciberseguridad y supervisa su aplicación. La NIS2 exige que los Estados miembros prevean la responsabilidad del órgano de dirección por las infracciones de la entidad en este ámbito.
Los miembros del órgano de dirección reciben formación periódica que les permite identificar riesgos y valorar prácticas de gestión de ciberseguridad.
Existe un análisis de riesgos documentado sobre los sistemas de información y una política de seguridad derivada de él, revisada con una periodicidad definida.
Se mantiene un inventario actualizado de activos de información y sistemas, con propietario asignado y clasificación según su criticidad.
Se evalúa periódicamente si las medidas funcionan de verdad, mediante auditorías, indicadores o pruebas técnicas, y los hallazgos generan acciones de mejora.
Hay capacidad de detección (registro de eventos, monitorización, alertas) y un procedimiento de respuesta a incidentes con roles, escalado y registro.
Existe un proceso definido, con responsables y canal identificado, para emitir la alerta temprana en 24 horas, la notificación en 72 horas y el informe final en un mes; y para avisar a los destinatarios del servicio cuando proceda.
Hay copias de seguridad conformes a una política definida, protegidas frente al cifrado o el borrado por un atacante, y se verifica su restauración.
Existen planes de continuidad y de gestión de crisis con RTO y RPO definidos, y se ponen a prueba mediante simulacros.
Se evalúa el riesgo de proveedores y prestadores de servicios, y los contratos incluyen requisitos de seguridad y de notificación de incidentes.
La seguridad se considera en la adquisición, el desarrollo y el mantenimiento de sistemas, con requisitos definidos y control de cambios.
Se identifican vulnerabilidades de forma sistemática, se priorizan por riesgo y se aplican parches en plazos definidos, con un canal de divulgación.
Se aplica el principio de mínimo privilegio, se revisan los accesos periódicamente y el MFA está desplegado en accesos remotos, cuentas privilegiadas y correo.
Existe una política de criptografía, la información sensible se cifra en tránsito y en reposo, y se dispone de canales seguros de comunicación, incluidos los de emergencia.
Toda la plantilla recibe formación periódica en prácticas básicas de ciberseguridad y se refuerza con ejercicios prácticos, como simulaciones de phishing.
Las incorporaciones, los cambios de puesto y sobre todo las salidas siguen un proceso definido: acuerdo de confidencialidad, permisos según el puesto y retirada de accesos y dispositivos el día de la baja.
Cada control se valora en una escala de cinco niveles —no existe, informal, documentado, implantado, medido y mejorado— descrita para ese control concreto, y pondera según su criticidad regulatoria a la hora de calcular el porcentaje de madurez.