Les nostres notícies
¿Le afecta la NIS2 a tu empresa? Guía para salir de dudas en cinco minutos
La NIS2 es la Directiva (UE) 2022/2555, la norma europea que obliga a las empresas de sectores clave a gestionar sus riesgos de ciberseguridad. Por regla general, le afecta la NIS2 a tu empresa si trabaja en uno de esos sectores y es mediana o grande: 50 empleados o más, o más de 10 millones de euros de facturación.
Si llevas la gestión de una pyme, es probable que un cliente, tu asesoría o tu proveedor de informática ya te haya hablado de ella. Esta guía te ayuda a saber si le afecta la NIS2 en cinco minutos. Encontrarás cinco preguntas, una tabla para saber qué tipo de entidad serías y qué hacer en cada caso.
¿Qué es la NIS2 y desde cuándo se aplica?
La NIS2 sustituye a la primera directiva NIS, de 2016, y amplía mucho el número de empresas obligadas. Se publicó en el Diario Oficial de la UE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Los Estados tenían hasta el 17 de octubre de 2024 para trasponerla a su ley nacional.
En España, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. Sin embargo, a finales de octubre de 2026 la ley todavía no se ha publicado en el BOE. Por ese retraso, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE en julio de 2026. Aun así, el texto de la Directiva (UE) 2022/2555 ya fija quién estará obligado, así que puedes comprobarlo hoy.
Cómo saber si le afecta la NIS2 a tu empresa: cinco preguntas
Basta con responder a cinco preguntas, por este orden. Las dos primeras deciden la mayoría de los casos: el sector y el tamaño. Las otras tres recogen las excepciones, que son las que suelen pasar desapercibidas. Si respondes sí a la primera y a la segunda, lo más probable es que le afecte la NIS2 a tu empresa.
- ¿Tu actividad está en un sector de la directiva? Revisa la lista de sectores de alta criticidad y de otros sectores críticos que verás más abajo.
- ¿Tienes 50 empleados o más, o superas los 10 millones de euros de facturación y de balance? Es el umbral de mediana empresa. Cuenta también las empresas vinculadas de tu grupo.
- ¿Prestas un servicio digital o de comunicaciones? Los proveedores de DNS, los registros de dominios y los servicios de confianza están obligados sea cual sea su tamaño. Lo mismo ocurre con las redes de comunicaciones públicas.
- ¿Eres el único proveedor de un servicio esencial en tu zona? En ese caso, la autoridad puede incluirte aunque seas pequeño.
- ¿Tus clientes están obligados? Aunque la directiva no te afecte de forma directa, tus clientes tendrán que exigirte medidas de seguridad como proveedor.
¿A qué sectores afecta la NIS2?
La directiva divide los sectores en dos anexos. El anexo I recoge los de alta criticidad. Son la energía, el transporte, la banca, los mercados financieros, la sanidad, el agua potable y las aguas residuales. También la infraestructura digital, la gestión de servicios TIC entre empresas, la administración pública y el espacio.
El anexo II recoge otros sectores críticos. Entre ellos están los servicios postales, la gestión de residuos, los productos químicos, la alimentación y la investigación. También los proveedores digitales, como mercados en línea, buscadores y redes sociales. Además, incluye buena parte de la industria: fabricación de productos sanitarios, de equipos informáticos y electrónicos, de material eléctrico, de maquinaria y de vehículos.
Si le afecta la NIS2, ¿serías entidad esencial o importante?
Si estás dentro, la directiva te clasificará como entidad esencial o importante según tu sector y tu tamaño. Las obligaciones de seguridad son las mismas para las dos. La diferencia está en cómo te supervisan y en el importe máximo de las sanciones, como resume esta tabla.
| Entidad esencial | Entidad importante | |
|---|---|---|
| Quién suele ser | Grandes empresas de los sectores del anexo I | Medianas empresas del anexo I y empresas del anexo II |
| Supervisión | Previa: inspecciones y auditorías periódicas | Posterior: si hay indicios de incumplimiento |
| Sanción máxima | 10 millones de euros o el 2 % de la facturación mundial | 7 millones de euros o el 1,4 % de la facturación mundial |
En los dos casos se aplica la cifra más alta. Además, la directiva hace responsable a la dirección de aprobar las medidas de ciberseguridad y de supervisar que se aplican. Por eso no es un asunto que se pueda dejar solo en manos del departamento técnico.
¿Y si no le afecta la NIS2 de forma directa?
Que la directiva no te afecte de forma directa no significa que puedas ignorarla. Las empresas obligadas tienen que controlar la seguridad de su cadena de suministro, así que pedirán garantías a sus proveedores: cuestionarios, cláusulas en los contratos, copias de seguridad probadas o doble factor en los accesos.
Si trabajas para una distribuidora de energía, un hospital o un fabricante grande, es probable que recibas esas peticiones pronto. Muchas llegarán antes de que se apruebe la ley española. Prepararte ahora te da ventaja frente a otros proveedores que todavía no lo han hecho.
¿Qué tendrás que hacer si le afecta la NIS2 a tu empresa?
Si estás obligado, tendrás que aplicar las medidas de gestión de riesgos del artículo 21. También tendrás que notificar los incidentes graves dentro de plazo y formar a la dirección. Conviene empezar antes de que llegue la ley española, porque ponerlo todo en marcha lleva varios meses.
Entre las medidas están el análisis de riesgos, las copias de seguridad, la seguridad de los proveedores, el cifrado y la autenticación multifactor. Ante un incidente grave, hay que enviar una alerta temprana en 24 horas. Después, una notificación completa en 72 horas y un informe final en un mes. Puedes ver todas las obligaciones en detalle en nuestra página sobre la normativa NIS2.
¿Cómo puede ayudarte Apen a saber si estás obligado?
En Apen revisamos tu sector, tu tamaño, tus contratos y tus servicios. Así te decimos con claridad si le afecta la NIS2 a tu empresa y qué tipo de entidad serías. Si lo estás, te damos un plan de medidas por prioridades. Si no, te ayudamos a responder lo que te pidan tus clientes como proveedor.
Llevamos más de 35 años trabajando con pymes del Vallès y de Barcelona. Por eso adaptamos cada requisito a una empresa de tu tamaño. Llámanos al 938 606 220 o pide tu diagnóstico gratuito, y en pocos días sabrás en qué punto estás.
Preguntes freqüents
¿La NIS2 ya es obligatoria en España?
La directiva está en vigor en la UE desde enero de 2023. Sin embargo, a finales de octubre de 2026 la ley española que la traspone aún no se ha publicado en el BOE. Las obligaciones concretas llegarán con esa ley.
¿Le afecta la NIS2 a una empresa de menos de 50 empleados?
Por regla general no. Las excepciones son los servicios de DNS, de confianza o de comunicaciones públicas, y el único proveedor de un servicio esencial. Aun así, sus clientes obligados pueden exigirle medidas.
¿Cómo se cuentan los empleados y la facturación?
Se usa la definición europea de pyme. Se cuentan los empleados, la facturación y el balance, y se suman los de las empresas vinculadas o asociadas del mismo grupo.
¿Qué diferencia hay entre la NIS2 y el ENS?
El ENS se aplica a la Administración y a quienes le prestan servicios. La NIS2 se aplica a sectores clave, públicos o privados. Muchas medidas coinciden, así que cumplir una ayuda con la otra.
¿Quién responde si la empresa incumple la NIS2?
La empresa, con multas de hasta 10 millones de euros o el 2 % de la facturación. Además, la directiva hace responsable a la dirección de aprobar y supervisar las medidas de ciberseguridad.
¿Por dónde empiezo si estoy obligado?
Por un análisis de riesgos y de las medidas que ya tienes. Con eso sabes qué te falta y puedes priorizar. En Apen hacemos ese diagnóstico de forma gratuita.
