La Directiva (UE) 2022/2555 eleva el nivel común de ciberseguridad en toda la Unión: más sectores, obligaciones concretas para la dirección, medidas técnicas mínimas, plazos estrictos de notificación y un régimen sancionador armonizado.
Un nuevo nivel común de ciberseguridad en la Unión Europea.
NIS2 es la Directiva (UE) 2022/2555, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. Sustituye a la primera Directiva NIS de 2016 y corrige sus principales limitaciones: alcance desigual entre Estados, criterios de identificación dispares y sanciones poco disuasorias.
La norma amplía los sectores obligados, fija un criterio de tamaño uniforme para determinar quién está dentro, exige un conjunto mínimo de medidas de gestión de riesgos, establece plazos de notificación de incidentes muy breves y responsabiliza directamente a los órganos de dirección.
Como directiva, necesita una ley nacional de transposición. Sus obligaciones, sin embargo, ya son el estándar que exigen clientes, aseguradoras, licitaciones y cadenas de suministro en toda Europa.
Con carácter general, a las entidades públicas o privadas de los sectores de los anexos I y II que sean medianas o grandes empresas según la Recomendación 2003/361/CE y presten sus servicios o ejerzan su actividad en la Unión.
Medianas y grandes empresas
Al menos 50 empleados o más de 10 millones de euros de volumen de negocio anual o de balance, en un sector de los anexos I o II.
Independientemente del tamaño
Proveedores de redes y servicios de comunicaciones electrónicas, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel, proveedores de servicios de DNS y entidades de la administración pública central.
Casos especiales
Entidades que son el único proveedor de un servicio esencial, cuya interrupción tendría impacto significativo en la seguridad pública o en otros Estados, o que son críticas por su importancia específica a nivel nacional o regional.
Entidades críticas (CER)
Las entidades identificadas como críticas con arreglo a la Directiva (UE) 2022/2557 quedan incluidas con independencia de su tamaño.
Las microempresas y pequeñas empresas quedan fuera salvo en los supuestos especiales. Los Estados miembros pueden identificar entidades adicionales y deben mantener un registro de entidades esenciales e importantes.
Las medidas de seguridad y los plazos de notificación son iguales para ambas. Lo que cambia es el régimen de supervisión y el importe máximo de las sanciones.
Entidad esencial
¿Quién?
Grandes empresas (250 o más empleados, o más de 50 M€ de volumen de negocio y más de 43 M€ de balance) de los sectores de alta criticidad del anexo I.
Prestadores cualificados de servicios de confianza, registros TLD y proveedores de DNS, con independencia de su tamaño.
Proveedores de comunicaciones electrónicas que sean medianas empresas.
Entidades de la administración pública central y las designadas como críticas (CER) o por decisión del Estado miembro.
Régimen
Supervisión ex ante y ex post: inspecciones, auditorías periódicas y ad hoc, escaneos de seguridad y requerimientos de información.
Multas de hasta 10 M€ o el 2 % del volumen de negocio anual mundial.
Posible suspensión de certificaciones o autorizaciones y prohibición temporal de ejercer funciones directivas.
Entidad importante
¿Quién?
Medianas empresas de los sectores del anexo I.
Medianas y grandes empresas de los sectores críticos del anexo II.
Entidades identificadas por el Estado miembro que no cumplan los criterios de entidad esencial.
Régimen
Supervisión ex post: la autoridad actúa cuando tiene indicios de incumplimiento.
Multas de hasta 7 M€ o el 1,4 % del volumen de negocio anual mundial.
Órdenes vinculantes, plazos de subsanación y publicación del incumplimiento.
Artículo 21
Las diez medidas mínimas de gestión de riesgos.
Las entidades deben adoptar medidas técnicas, operativas y organizativas apropiadas y proporcionadas, basadas en un enfoque que abarque todos los peligros y tenga en cuenta el estado de la técnica. Como mínimo, deben cubrir estas diez áreas:
a
Políticas de análisis de riesgos y seguridad de los sistemas
Un marco de gestión de riesgos documentado, aprobado por la dirección y revisado periódicamente.
b
Gestión de incidentes
Detección, análisis, contención, erradicación, recuperación y notificación en los plazos de la Directiva.
c
Continuidad de las actividades
Copias de seguridad, recuperación en caso de catástrofe y gestión de crisis.
d
Seguridad de la cadena de suministro
Riesgos de la relación con proveedores directos y prestadores de servicios, incluidos los de TIC.
e
Adquisición, desarrollo y mantenimiento seguros
Seguridad en redes y sistemas, incluida la gestión y divulgación de vulnerabilidades.
f
Evaluación de la eficacia de las medidas
Políticas y procedimientos para comprobar que los controles funcionan: auditorías, pruebas, métricas.
g
Ciberhigiene básica y formación
Prácticas básicas de higiene digital y formación en ciberseguridad para toda la plantilla.
h
Criptografía y cifrado
Políticas y procedimientos sobre el uso de criptografía y, cuando proceda, cifrado de datos.
i
Recursos humanos, control de acceso y gestión de activos
Seguridad del personal, políticas de acceso e inventario de activos.
j
Autenticación multifactor y comunicaciones seguras
MFA o autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas de comunicación de emergencia.
Las entidades deben además tener en cuenta las vulnerabilidades de cada proveedor, la calidad de sus productos y sus prácticas de ciberseguridad, y pueden utilizar productos y servicios certificados bajo esquemas europeos de certificación.
Un incidente es significativo cuando causa o puede causar graves perturbaciones operativas o pérdidas económicas, o afecta o puede afectar a otras personas físicas o jurídicas causándoles daños considerables. La notificación se dirige al CSIRT o a la autoridad competente y, cuando proceda, a los destinatarios de los servicios.
24 h
Alerta temprana
Desde que se tiene conocimiento del incidente. Indica si se sospecha de una acción ilícita o malintencionada y si puede tener impacto transfronterizo.
72 h
Notificación del incidente
Actualiza la alerta con una evaluación inicial de gravedad e impacto y los indicadores de compromiso disponibles.
A petición
Informe intermedio
Actualizaciones de situación cuando lo solicite el CSIRT o la autoridad competente.
1 mes
Informe final
Descripción detallada, tipo de amenaza o causa raíz, medidas de mitigación aplicadas y en curso e impacto transfronterizo. Si el incidente sigue en curso, informe de situación y final al mes de resolverse.
Los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y pueden ser considerados responsables de las infracciones.
Las medidas de gestión de riesgos de ciberseguridad adoptadas por la entidad.
Supervisar
Su aplicación efectiva, con información periódica y métricas.
Formarse
Los miembros de los órganos de dirección deben seguir formación en ciberseguridad y fomentarla entre los empleados.
Responder
Responsabilidad por el incumplimiento, incluida la prohibición temporal de funciones directivas en entidades esenciales.
Artículos 3 y 27
Autoidentificación y registro.
Cada entidad debe determinar por sí misma si entra en el ámbito de aplicación y en qué categoría. Los Estados miembros elaboran y mantienen la lista de entidades esenciales e importantes y pueden exigir que las entidades se registren y comuniquen sus datos.
Datos que se comunican
Denominación, dirección y datos de contacto actualizados, sector y subsector del anexo correspondiente y, en su caso, los Estados miembros en los que presta servicios.
Plazos
La Directiva fijó el 17 de abril de 2025 para la primera lista nacional y exige comunicar los cambios sin dilación. La ley española concretará el procedimiento y el plazo de registro ante la autoridad.
Registro europeo (ENISA)
Proveedores de DNS, registros TLD, cloud, centros de datos, CDN, servicios gestionados y plataformas digitales se inscriben además en el registro que mantiene ENISA.
Artículos 32 a 36
Supervisión, ejecución y sanciones.
Las autoridades competentes disponen de poderes de supervisión (inspecciones, auditorías, escaneos, requerimientos de información y de evidencias) y de ejecución (advertencias, órdenes vinculantes, plazos de subsanación, publicación del incumplimiento y multas). Las sanciones deben ser efectivas, proporcionadas y disuasorias.
Concepto
Entidades esenciales
Entidades importantes
Multa máxima
10 M€ o 2 % del volumen de negocio anual mundial (la mayor)
7 M€ o 1,4 % del volumen de negocio anual mundial (la mayor)
Supervisión
Ex ante y ex post (inspecciones, auditorías periódicas y ad hoc, escaneos)
Ex post (cuando existan indicios de incumplimiento)
Medidas de ejecución
Advertencias, órdenes vinculantes, plazos, publicación, suspensión de certificaciones o autorizaciones, prohibición temporal de funciones directivas
Advertencias, órdenes vinculantes, plazos y publicación del incumplimiento
Responsabilidad directiva
Sí (art. 20)
Sí (art. 20)
Régimen sancionador NIS2
Lo que está en juego si no se cumple.
La Directiva fija importes máximos armonizados en toda la Unión y dota a las autoridades competentes de poderes de supervisión, inspección y ejecución. Los Estados miembros pueden establecer sanciones adicionales.
10M€Entidades esenciales
O hasta el 2 % del volumen de negocio anual total a nivel mundial, la cantidad que resulte mayor.
7M€Entidades importantes
O hasta el 1,4 % del volumen de negocio anual total a nivel mundial, la cantidad que resulte mayor.
24hPlazo de alerta
Alerta temprana al CSIRT o a la autoridad competente desde que se tiene conocimiento del incidente significativo.
72hPlazo de informe
Notificación del incidente con evaluación inicial de gravedad, impacto e indicadores de compromiso.
Consecuencias más allá de la multa
Responsabilidad ejecutiva
Los directivos asumen responsabilidad personal, pudiendo ser inhabilitados temporalmente para ejercer cargos de gestión en entidades esenciales.
Exclusión de mercado
Incapacidad para participar en licitaciones públicas y salida inmediata de la cadena de suministro de grandes grupos que exigen evidencias NIS2.
Intervención de autoridad
Facultad de las autoridades para realizar inspecciones in situ, auditorías de seguridad periódicas, escaneos y supervisión ad hoc.
Reputación corporativa
Publicación del incumplimiento y de las órdenes de la autoridad, afectando a la valoración y a la confianza de clientes, socios e inversores.
Relación con otras normas
NIS2 convive con ENS, ISO 27001, DORA, CRA y RGPD.
Un único sistema de gestión bien construido sirve para evidenciar varias obligaciones a la vez. Lo importante es saber qué norma manda en cada caso.
ENS
Obligatorio para el sector público y sus proveedores (RD 311/2022). Sus medidas cubren gran parte del artículo 21 y el anteproyecto español lo toma como referencia.
ISO/IEC 27001
Base de gestión y evidencias, certificable. No sustituye a NIS2 en notificación, responsabilidad de la dirección ni cadena de suministro.
DORA
Lex specialis para el sector financiero desde el 17/01/2025: donde DORA regula, prevalece sobre NIS2 (art. 4).
CRA
Seguridad del producto con elementos digitales. NIS2 protege a la entidad; CRA, lo que fabrica, importa o distribuye.
RGPD
Un incidente con datos personales puede obligar a notificar también a la AEPD en 72 horas. Conviene un único procedimiento con dos salidas.
España incumplió el plazo de transposición del 17 de octubre de 2024. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025 y, a fecha de esta publicación (octubre de 2026), la ley sigue en tramitación y no se ha publicado en el BOE. La Comisión Europea abrió un procedimiento de infracción por el retraso y ha llevado el asunto ante el Tribunal de Justicia de la Unión Europea.
El anteproyecto designa al Centro Nacional de Ciberseguridad como autoridad de coordinación, mantiene los CSIRT de referencia (INCIBE-CERT, CCN-CERT y ESPDEF-CERT), prevé un registro de entidades esenciales e importantes, toma el Esquema Nacional de Seguridad como referencia de medidas y concreta el régimen sancionador dentro del marco de la Directiva.
Que la ley no esté publicada no significa esperar: las obligaciones de la Directiva ya son el estándar que exigen clientes, aseguradoras, licitaciones y cadenas de suministro; el ENS sigue siendo obligatorio para el sector público y sus proveedores; y las entidades financieras aplican DORA desde enero de 2025. Prepararse ahora evita hacerlo contra reloj cuando la ley entre en vigor.
Fecha de revisión: octubre de 2026. El estado de la tramitación debe verificarse en el BOE, en el Congreso de los Diputados y en los canales oficiales (INCIBE, CCN-CERT) antes de tomar decisiones. Esta página tiene carácter informativo.
Primer paso
¿Listo para convertir NIS2 en una ventaja competitiva?
Realiza el diagnóstico gratuito o cuéntanos tu situación. Te devolvemos un primer criterio técnico y normativo en horario laboral.
Usamos cookies técnicas necesarias y, solo con tu consentimiento, analítica para mejorar la web y entender qué contenidos interesan más. Política de cookies
Preferencias de cookies
Elige qué categorías quieres permitir. Puedes cambiar tu decisión en cualquier momento desde el pie de página.
