La búsqueda «qué es NIS2» suele aparecer cuando una organización recibe una consulta de un cliente, proveedor o responsable de seguridad y quiere saber si la directiva le obliga a actuar. NIS2 es la Directiva (UE) 2022/2555, una norma europea para elevar el nivel común de ciberseguridad. Amplía sectores y entidades bajo el marco, refuerza la gestión de riesgos y establece obligaciones de notificación de incidentes.
No significa que todas las empresas europeas tengan exactamente las mismas obligaciones. La directiva identifica sectores y categorías de entidades y utiliza criterios de importancia y tamaño, junto con algunas excepciones. Además, los Estados miembros deben concretar la aplicación mediante sus normas nacionales. Por eso, esta guía explica la estructura general de NIS2; para determinar si una organización concreta está dentro del ámbito, hay que revisar su actividad, dimensión y la legislación española vigente.
Qué es NIS2 y qué pretende cambiar
La directiva sustituye el marco NIS anterior y busca que las organizaciones que prestan servicios relevantes puedan prevenir, gestionar y comunicar incidentes de ciberseguridad de forma más coherente. También mejora la cooperación entre autoridades y amplía los sectores considerados importantes para la economía y la sociedad.
NIS2 no se limita a instalar un antivirus. El enfoque se basa en gestionar riesgos: identificar activos y dependencias, proteger los sistemas, detectar incidentes, responder y recuperar operaciones. La seguridad de proveedores y socios también puede formar parte del análisis cuando su tecnología interviene en la prestación del servicio.
La directiva atribuye funciones de supervisión y cumplimiento a las autoridades nacionales. La forma concreta de registrarse, demostrar cumplimiento o responder a una inspección depende de la normativa y del procedimiento que aplique cada país. No es recomendable extrapolar una guía de otro Estado miembro sin revisar la transposición local.
Qué es NIS2 y qué sectores incluye
NIS2 agrupa actividades en sectores de alta criticidad y otros sectores importantes. Entre los ámbitos que contempla figuran energía, transporte, banca, salud, agua, infraestructuras digitales, administración pública, gestión de servicios TIC, servicios postales, residuos, productos químicos, alimentación, fabricación y otros servicios esenciales para la economía.
La descripción del sector es solo el primer paso. La organización debe comprobar si su actividad concreta encaja en una categoría de la directiva y si cumple los criterios aplicables. Dos empresas que venden productos parecidos pueden tener responsabilidades distintas por su tamaño, función en la cadena de suministro o condición de proveedor crítico.
| Pregunta de alcance | Qué revisar | Por qué importa |
| En qué sector opera la entidad | Actividad real y clasificación del anexo correspondiente | La directiva define sectores y subsectores regulados |
| Qué tamaño tiene | Plantilla, volumen de actividad y criterios establecidos | El tamaño puede determinar la categoría, salvo excepciones |
| Qué función cumple | Servicio, infraestructura o papel en la cadena de suministro | Algunas entidades tienen tratamiento específico |
| Dónde está establecida | País y autoridad competente | La supervisión y la transposición dependen del Estado miembro |
Entidades esenciales e importantes
La directiva distingue entidades esenciales e importantes. La clasificación condiciona el tipo de supervisión y las medidas de control que pueden aplicar las autoridades. La categoría no se decide por una impresión interna de que la empresa es “crítica”; se determina con las reglas de la directiva y de la legislación nacional.
En general, tamaño y sector son variables centrales, aunque existen organizaciones que pueden entrar por su papel en servicios críticos, por ser proveedor único o por una designación específica. Algunas microempresas y pequeñas empresas quedan fuera, pero hay excepciones para entidades que encajan en ciertos supuestos. No uses una tabla resumida de internet como dictamen de alcance.
El primer paso práctico es registrar la actividad de la empresa, su tamaño y las funciones que desempeña para terceros. Compara esos datos con los anexos de la directiva y con la normativa española vigente. Si el resultado no es claro, deja constancia de las dudas y comprueba qué autoridad o legislación sectorial aplica.
Medidas de gestión de riesgos
La directiva exige medidas técnicas, operativas y organizativas proporcionadas al riesgo. El artículo 21 incluye políticas de análisis de riesgos y seguridad de los sistemas, gestión de incidentes, continuidad de negocio, copias de seguridad y recuperación, seguridad de la cadena de suministro, mantenimiento, gestión de vulnerabilidades, control de accesos, autenticación y criptografía, entre otros ámbitos.
La obligación no se satisface con una carpeta de políticas que nadie utiliza. La organización debe asignar responsabilidades, comprobar que las medidas funcionan y revisarlas cuando cambien los sistemas o el nivel de riesgo. La directiva también hace explícita la implicación de los órganos de dirección en la aprobación y supervisión de las medidas.
Una forma útil de empezar es relacionar cada requisito con evidencias ya disponibles: inventarios, planes de continuidad, registros de incidentes, contratos con proveedores y pruebas de recuperación. Después identifica las brechas y asigna fechas y responsables. No hace falta inventar un sistema completo si ya existen controles equivalentes; sí hace falta poder demostrar cómo se aplican y quién los supervisa.
La cadena de suministro necesita atención porque un incidente en un proveedor puede interrumpir un servicio propio. Identifica los componentes críticos, qué datos manejan, qué medidas de seguridad declara el proveedor y qué ocurriría si deja de operar. Revisa cláusulas, vías de comunicación y planes de continuidad sin asumir que una certificación por sí sola resuelve todos los riesgos.
Notificación de incidentes
NIS2 fija obligaciones de notificación para incidentes significativos. El esquema europeo incluye una alerta temprana dentro de las primeras 24 horas desde que se toma conocimiento, una notificación posterior con evaluación inicial dentro de 72 horas y un informe final cuando se dispone de la información necesaria, con plazos y requisitos desarrollados en el artículo 23 y en normas de ejecución aplicables.
Los plazos empiezan cuando la entidad conoce el incidente según la definición normativa, no cuando la dirección termina de investigar cada detalle. Por eso conviene tener un procedimiento para reconocer cuándo puede tratarse de un incidente significativo, quién decide escalarlo, cómo se preservan evidencias y qué canal se usa para notificar.
La preparación debe incluir contactos, roles de guardia, registros de activos y criterios de impacto. Ensaya el proceso con escenarios realistas: ransomware, indisponibilidad de un servicio, acceso no autorizado o fallo de un proveedor. Una simulación puede revelar que el equipo técnico detecta el incidente, pero no sabe quién tiene autoridad para comunicarlo.
Responsabilidad de la dirección
NIS2 atribuye responsabilidades explícitas a los órganos de dirección. La dirección debe aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación suficiente para comprender los riesgos que afectan a la entidad. No es un asunto que pueda delegarse por completo a un departamento técnico.
La formación no requiere que cada directivo sea especialista en redes. Sí debería permitirle entender qué servicios son esenciales, qué impactos tendría una interrupción, qué controles existen y qué decisiones siguen pendientes. La organización puede registrar la formación, las decisiones y el seguimiento de las medidas para evitar que la gestión de ciberseguridad quede desconectada del gobierno corporativo.
Las sanciones y responsabilidades concretas dependen de la categoría de la entidad, la legislación nacional y las circunstancias del incumplimiento. Evita trasladar a tu empresa una cifra o una tabla de sanciones de otro país sin comprobar que corresponde a la norma aplicable.
Cómo preparar una revisión inicial
- Describe las actividades, productos y servicios prestados por la entidad, sin usar solo el objeto social de la empresa.
- Identifica el sector y el subsector que podrían corresponder a los anexos de NIS2.
- Reúne los datos de tamaño y revisa excepciones o designaciones específicas.
- Comprueba la normativa española vigente y qué autoridad es competente.
- Relaciona los controles existentes con las medidas de gestión de riesgos de la directiva.
- Define un procedimiento de incidentes con responsables, decisiones y tiempos de aviso.
- Revisa proveedores críticos y ensaya recuperación de operaciones esenciales.
Este orden evita empezar por comprar herramientas antes de conocer el alcance. La directiva no prescribe un producto único para cada organización; pide medidas adecuadas al riesgo y a las funciones de la entidad.
Qué es NIS2 y qué revisar en España
La Directiva (UE) 2022/2555 dio a los Estados miembros un plazo de transposición que terminó el 17 de octubre de 2024. En documentos oficiales españoles publicados durante 2025 y enero de 2026, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad figuraba en tramitación. Esa referencia es temporal: la situación legislativa puede cambiar y debe revisarse en el BOE antes de aplicar plazos o presentar una declaración de cumplimiento.
Mientras se actualiza el marco nacional, la directiva europea y las normas españolas vigentes sobre seguridad de redes e información ofrecen contexto, pero no sustituyen el análisis de la disposición que resulte aplicable a cada entidad. Evita afirmar que una empresa está obligada o exenta por una tabla general sin comprobar sector, tamaño y reglas nacionales.
Cómo preparar evidencias sin burocracia
Una entidad puede empezar con documentos que ya utiliza: inventario de sistemas, matriz de riesgos, plan de continuidad, registro de incidentes y lista de proveedores críticos. La revisión debe comprobar que esos materiales describen la operación real y tienen responsables. Un plan escrito que nadie ensaya no demuestra que la organización pueda responder a una interrupción.
Define un conjunto breve de evidencias por riesgo. Para recuperación, conserva resultados de pruebas de copia y restauración. Para accesos, registra quién revisa cuentas privilegiadas y con qué frecuencia. Para proveedores, documenta qué sistema soporta cada tercero y cómo se avisa de una interrupción.
Al leer qué es NIS2, separa tres preguntas: si la entidad entra en el ámbito, qué medidas necesita para sus riesgos y qué autoridad recibe una notificación. La respuesta puede variar por sector y por norma nacional. No copies una lista de otro país sin revisar su ámbito jurídico.
Una revisión periódica debe actualizarse cuando cambian los sistemas, las relaciones con proveedores o las actividades de la empresa. Ese ciclo mantiene la gestión vinculada a los riesgos actuales, en vez de convertir NIS2 en un expediente archivado.
Preguntas frecuentes sobre NIS2
NIS2 afecta a todas las empresas
No. La directiva define sectores, tipos de entidad y criterios de alcance. Algunas organizaciones pueden quedar fuera, mientras otras pueden estar incluidas por su actividad, tamaño, designación o papel en la cadena de suministro.
La directiva NIS2 es una certificación
No. NIS2 es una directiva europea que impone obligaciones a los Estados miembros y a las entidades comprendidas en su ámbito. No se obtiene un certificado NIS2 único que sustituya la evaluación de los requisitos aplicables.
Qué debe hacer una empresa primero
Identificar su actividad, sector, tamaño, dependencias y normativa española vigente. Después puede comparar sus controles con las medidas exigidas y documentar las brechas.
NIS2 obliga a comprar herramientas concretas
No prescribe una marca o producto único para todas las entidades. Exige medidas de gestión del riesgo adecuadas a la organización y al nivel de exposición.
Cuándo hay que notificar un incidente
Cuando el incidente cumple los criterios de significatividad y se activan los plazos del artículo 23 y de las normas aplicables. La entidad debe preparar un procedimiento para reconocerlo y comunicarlo a tiempo.
La transposición española está cerrada
La documentación oficial consultada a comienzos de 2026 describía el anteproyecto español como en tramitación. Comprueba el BOE y las autoridades competentes para confirmar el estado antes de actuar.
Qué es NIS2 se responde entendiendo tres cosas: a quién alcanza, qué medidas exige y cómo se notifican incidentes. La clasificación y los plazos concretos deben contrastarse con la legislación española vigente antes de tomar decisiones de cumplimiento.