En octubre de 2026, España sigue sin haber aprobado la ley que traspone la Directiva NIS2: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta en enero de 2025 y no ha llegado al BOE. Aun así, NIS2 ya afecta a muchas pymes: a las medianas de los sectores regulados, que estarán obligadas en cuanto la ley se publique, y a las pequeñas que trabajan para ellas, porque sus clientes ya les exigen controles por contrato. Lo sensato es prepararse ahora con lo que la directiva y el anteproyecto ya dejan claro.
En qué punto está NIS2 en España
La Directiva (UE) 2022/2555, conocida como NIS2, debía estar traspuesta el 17 de octubre de 2024. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero el texto no ha completado su tramitación.
Por ese retraso, la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE, junto con Irlanda, Francia y los Países Bajos, por no comunicar las medidas de trasposición. Es una señal clara de que la ley llegará, y de que puede hacerlo con prisas y con plazos de adaptación cortos.
Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 (la primera directiva NIS) para los operadores ya designados y el Esquema Nacional de Seguridad para el sector público y sus proveedores.
¿A qué empresas afecta NIS2?
NIS2 se aplica, con carácter general, a medianas y grandes empresas de los sectores de sus anexos. En la práctica, deja fuera a la pequeña empresa (menos de 50 empleados y no más de 10 millones de euros de facturación o de balance), salvo excepciones como los proveedores de DNS, los prestadores de servicios de confianza o algunas comunicaciones electrónicas.
- Entidades esenciales: sectores de alta criticidad, como energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC entre empresas (proveedores de servicios gestionados y de seguridad gestionada) y administración pública.
- Entidades importantes: otros sectores críticos, como servicios postales, gestión de residuos, química, alimentación, fabricación (productos sanitarios, electrónica, maquinaria, vehículos), proveedores digitales e investigación.
Si tu pyme es pequeña pero presta servicios informáticos, mantenimiento, software o logística a una empresa de esos sectores, NIS2 te llega igualmente por la cadena de suministro.
Por qué una pyme pequeña no puede ignorarla
La directiva obliga a las entidades afectadas a gestionar la seguridad de sus proveedores directos. El anteproyecto español lo recoge en su artículo 15, que incluye la seguridad de la cadena de suministro entre las medidas mínimas. Eso se traduce en cuestionarios de seguridad, cláusulas contractuales, auditorías y, a veces, en la exclusión de proveedores que no pueden demostrar controles básicos. Las empresas de países que ya han traspuesto la directiva aplican estas exigencias hoy a sus proveedores españoles.
Si ya te ha llegado uno de esos cuestionarios, te ayudará nuestra guía para responder el cuestionario de seguridad de un cliente.
Qué exige NIS2: las obligaciones clave
Aunque la ley española pueda cambiar detalles, el núcleo lo fija la directiva y los Estados no pueden rebajarlo:
- Gestión de riesgos (artículo 21). Políticas de análisis de riesgos, gestión de incidentes, continuidad del negocio y copias de seguridad, seguridad de la cadena de suministro, seguridad en la adquisición y el mantenimiento de sistemas, gestión de vulnerabilidades, formación e higiene básica, cifrado, control de accesos, gestión de activos y autenticación multifactor.
- Responsabilidad de la dirección (artículo 20). Los órganos de dirección deben aprobar las medidas, supervisar su aplicación y formarse. Pueden responder por los incumplimientos: la ciberseguridad deja de ser un asunto solo del informático.
- Notificación de incidentes (artículo 23). Alerta temprana en 24 horas desde que se conoce un incidente significativo, notificación en 72 horas e informe final en un mes. En España, a través del CSIRT de referencia (INCIBE-CERT para el sector privado).
- Responsable de seguridad. El anteproyecto exige designar a una persona u órgano responsable de la seguridad de la información como punto de contacto (artículo 16).
Las sanciones máximas de la directiva llegan a 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y a 7 millones o el 1,4 % para las importantes. No podrán imponerse en España hasta que la ley esté en vigor.
Cómo prepararse sin esperar a la ley: plan en 6 pasos
- Determina tu posición. Comprueba si tu sector aparece en los anexos y si superas los umbrales de pequeña empresa. Si no, identifica qué clientes sí están afectados.
- Inventaria activos y proveedores. Sistemas, datos críticos, accesos remotos y proveedores con acceso a tu red. Sin inventario no hay análisis de riesgos.
- Cierra lo básico primero. Autenticación multifactor en correo y administración, copias de seguridad probadas y parches al día. Es lo que más reduce el riesgo y lo primero que preguntan los clientes. Lo explicamos en nuestra guía sobre cómo implantar la autenticación multifactor en una pyme.
- Prepara la respuesta a incidentes. Quién decide, a quién se avisa y en qué plazos. Practicar el plazo de 24 horas con un simulacro sencillo evita improvisar. Nuestra guía sobre qué hacer antes, durante y después de un ataque de ransomware sirve de punto de partida.
- Documenta y pide evidencias. Una política de seguridad aprobada por dirección, un registro de riesgos y cláusulas de seguridad con tus proveedores clave.
- Forma a la dirección. Una sesión al año sobre riesgos y responsabilidades, con un indicador mensual de seguimiento.
Quién debe liderarlo en una pyme
NIS2 pide un responsable con criterio y tiempo, y la mayoría de las pymes no tienen un director de seguridad. Un CISO externo que dirija la ciberseguridad y la adaptación a NIS2 permite tener ese rol con una dedicación proporcionada: prioriza, coordina a los proveedores técnicos y reporta a dirección.
Preguntas frecuentes
¿NIS2 ya es obligatoria en España?
La directiva no se aplica directamente a las empresas: necesita una ley nacional, que en España aún no está publicada. Pero sus exigencias ya llegan por contrato a quienes trabajan para entidades afectadas en otros países y, cuando se apruebe la ley, los plazos de adaptación pueden ser cortos.
¿Afecta NIS2 a las pequeñas empresas?
Por norma general no de forma directa, salvo algunos servicios digitales concretos. Sí de forma indirecta si son proveedoras de entidades esenciales o importantes.
¿Quién supervisará NIS2 en España?
El anteproyecto prevé un Centro Nacional de Ciberseguridad como autoridad y punto de contacto único, junto con los CSIRT de referencia: INCIBE-CERT para el sector privado y CCN-CERT para el público. Habrá que confirmarlo en el texto final.
¿Cumplir el ENS o la ISO 27001 sirve para NIS2?
Ayuda mucho: el anteproyecto toma el Esquema Nacional de Seguridad como referencia para las medidas. Aun así, conviene revisar la notificación de incidentes, la cadena de suministro y la responsabilidad de la dirección.
Conclusión
El retraso de la ley española no es una razón para esperar, sino una ventaja para prepararse sin prisas: saber si te afecta, cerrar los controles básicos, preparar la respuesta a incidentes e implicar a la dirección. Si quieres saber en qué punto está tu empresa, solicita una conversación inicial de 30 minutos con RAZNAR y te ayudamos a priorizar.
Sigue el hilo desde aquí.
Si esto se parece a tu contexto, podemos aterrizarlo.
Convertimos estas decisiones en una hoja de ruta concreta para tu empresa: prioridades, riesgos, dependencias y primer plan de ejecucion.
