Respuesta rápida
NIS2 es la directiva europea de ciberseguridad (Directiva UE 2022/2555) que obliga a empresas de 18 sectores considerados esenciales o importantes a reforzar su seguridad, notificar incidentes graves en 24-72 horas y responder de la seguridad de su cadena de suministro. Afecta sobre todo a medianas y grandes empresas (más de 50 empleados o más de 10 M€), pero una pyme de Navarra puede verse arrastrada de forma indirecta si es proveedora de una entidad obligada (industria, administración pública, sanidad, energía). En España la transposición va con retraso: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y, a junio de 2026, sigue en tramitación. Adelantarse no es opcional: la dirección de la empresa responde personalmente del cumplimiento.
NIS2 es la directiva europea de ciberseguridad (Directiva UE 2022/2555) que obliga a las empresas de 18 sectores considerados esenciales o importantes a reforzar su seguridad, notificar los incidentes graves en 24-72 horas y responder de la seguridad de su cadena de suministro. Afecta sobre todo a medianas y grandes empresas (más de 50 empleados o más de 10 millones de euros), pero una pyme de Navarra puede verse arrastrada de forma indirecta si es proveedora de una entidad obligada: industria, administración pública, sanidad o energía. En España la transposición va con retraso: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y, a junio de 2026, sigue en tramitación. Lo importante: la dirección de la empresa responde personalmente del cumplimiento, así que adelantarse no es opcional.
NIS2 es el nombre con el que se conoce la Directiva (UE) 2022/2555, la norma con la que la Unión Europea actualiza su marco de ciberseguridad. Sustituye a la primera directiva NIS, de 2016, que se quedó corta: cubría pocos sectores, dejaba demasiado margen a cada país y apenas se aplicaba a las empresas medianas.
La idea de fondo es sencilla: cada vez más servicios de los que dependemos —electricidad, agua, sanidad, transporte, banca, administración, alimentación, industria— funcionan sobre sistemas informáticos. Si esos sistemas caen por un ciberataque, el daño no es solo de la empresa afectada, sino de toda la sociedad. NIS2 busca que esas organizaciones resistan mejor los ataques y que, cuando ocurra un incidente grave, se notifique rápido para contener el impacto.
Para conseguirlo, NIS2 hace tres cosas que la norma anterior no hacía:
La regla general combina sector y tamaño.
NIS2 se aplica a las entidades que operan en alguno de los 18 sectores cubiertos y que, además, superan el tamaño de mediana empresa:
Dentro de las obligadas, la directiva distingue dos categorías según su criticidad:
NIS2 separa los sectores en dos bloques. De forma resumida:
Sectores de alta criticidad (esenciales): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
Otros sectores críticos (importantes): servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (productos sanitarios, informática y electrónica, maquinaria, vehículos), proveedores de servicios digitales (mercados en línea, buscadores, redes sociales) e investigación.
Importante: el tamaño no es el único criterio. Una entidad más pequeña también puede quedar obligada si presta un servicio considerado crítico (por ejemplo, ciertos proveedores de servicios digitales o de comunicaciones, o un único proveedor de un servicio esencial en una zona).
Aquí está la parte que más nos preguntan. La mayoría de las pymes de Navarra no llegan a 50 empleados ni a 10 millones de euros, así que, leído rápido, parece que NIS2 no va con ellas.
Pero hay un detalle que lo cambia todo: la seguridad de la cadena de suministro.
NIS2 obliga a las entidades esenciales e importantes a vigilar la ciberseguridad de sus proveedores. Es decir, una administración pública, un hospital, una empresa de automoción o una agroalimentaria que esté obligada por NIS2 tiene que asegurarse de que quien le da servicio informático, le suministra software o gestiona sus sistemas también cumple unos mínimos de seguridad. Y la forma de garantizarlo es exigírtelo por contrato.
En Navarra esto es muy concreto, porque el tejido industrial y público es exactamente el que NIS2 considera crítico:
Si tu empresa es proveedora tecnológica de cualquiera de estos clientes —les das mantenimiento informático, les desarrollas o alojas software, gestionas sus copias o sus comunicaciones—, lo más probable es que, antes o después, te pidan demostrar buenas prácticas de ciberseguridad para seguir trabajando con ellos. No por la sanción directa de NIS2, sino porque tu cliente tiene que cumplir y te traslada el requisito.
Dicho de otra forma: NIS2 puede no obligarte directamente, pero el mercado sí.
Para las entidades obligadas, NIS2 se concreta en cuatro bloques.
Un conjunto de medidas técnicas y organizativas que ya no son opcionales:
Cuando se produce un incidente significativo, hay que avisar a la autoridad competente en plazos muy ajustados:
Esta es una de las grandes novedades: los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad y pueden ser considerados responsables personalmente de su incumplimiento. La ciberseguridad deja de ser "cosa de informática" para convertirse en una responsabilidad de gerencia.
La dirección y los equipos deben recibir formación periódica para reconocer y gestionar los riesgos. Un phishing que cuela una factura falsa o un ransomware que cifra el servidor casi siempre empieza por un error humano evitable.
NIS2 contempla multas serias:
A esto se suma la responsabilidad personal de los administradores y el daño reputacional de un incidente notificado. Para una pyme proveedora, el riesgo más inmediato no suele ser la multa, sino perder al cliente que le exige cumplir.
Conviene ser claros con las fechas, porque hay mucha confusión.
Como la norma todavía no está cerrada, algunos detalles (plazos exactos, registro de entidades, requisitos técnicos finales) pueden cambiar cuando se publique la ley definitiva. Pero el contenido de fondo —que viene de la directiva europea— ya se conoce, y el sentido de la norma es claro: hay que prepararse.
La buena noticia es que la mayoría de lo que pide NIS2 es buena higiene de ciberseguridad que cualquier empresa debería tener ya. Estos son los pasos que recomendamos:
Revisa tu sector y tamaño, pero sobre todo mira a tus clientes: ¿alguno es administración pública, industria, sanidad o energía? Si es así, prepárate para que te trasladen requisitos de seguridad por la cadena de suministro.
¿Tienes copias de seguridad que se restauran de verdad? ¿Hay doble factor en los accesos críticos? ¿Están los sistemas actualizados? ¿Existe un plan si mañana un ransomware cifra el servidor? Un diagnóstico de ciberseguridad ordena el punto de partida y prioriza lo importante.
NIS2 valora poder demostrar lo que haces. Tener las políticas escritas, los procedimientos de incidentes y un registro de formación es lo que te permitirá responder cuando un cliente o la autoridad te lo pida.
La norma española se publicará y habrá un periodo de adaptación, pero el mercado va a ir por delante de la ley: los grandes clientes empezarán a exigir requisitos a sus proveedores antes de que las multas sean efectivas. Adelantarse es una ventaja comercial, no solo un cumplimiento.
En Niebla llevamos más de cuatro décadas dando servicio a empresas y administraciones de Navarra, y la ciberseguridad es parte del día a día de lo que hacemos. Para encarar NIS2 te acompañamos desde el lado técnico:
Lo que no hacemos es venderte humo: el encaje legal concreto de tu empresa (si eres entidad esencial, importante o quedas fuera) conviene contrastarlo también con asesoría jurídica especializada. Nosotros nos ocupamos de que, cuando llegue el requisito, tu infraestructura esté lista.
¿NIS2 y el Esquema Nacional de Seguridad (ENS) son lo mismo? No. El ENS es el marco de seguridad obligatorio para el sector público español y sus proveedores. NIS2 es la directiva europea para sectores críticos, pública y privada. Se solapan en parte —si trabajas para la administración, es probable que te toquen ambos— pero son normas distintas con autoridades y alcances diferentes.
Soy una pyme de 12 personas que da soporte informático. ¿Tengo que cumplir NIS2? Directamente, lo más probable es que no llegues al umbral. Pero si entre tus clientes hay entidades obligadas (ayuntamientos, industria, sanidad…), te exigirán requisitos de seguridad como proveedor. En la práctica, tendrás que cumplir buena parte de lo que pide NIS2 para mantener esos contratos.
¿Qué pasa si mi software o mis sistemas no cumplen? A corto plazo, el riesgo más probable para una pyme es comercial: perder o no ganar contratos con clientes que sí están obligados. Para las entidades obligadas, además, hay sanciones económicas elevadas y responsabilidad de la dirección.
¿Cuánto cuesta adaptarse? Depende del punto de partida. Si ya tienes copias fiables, sistemas actualizados y doble factor, estarás cerca y será cuestión de ordenar y documentar. Si vienes de una infraestructura desatendida, hay más trabajo. Nosotros damos un presupuesto cerrado tras el diagnóstico inicial, sin sorpresas.
¿Cuándo será obligatorio en España? La directiva debía transponerse antes del 17 de octubre de 2024. A junio de 2026, el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación y pendiente de publicación en el BOE. Recomendamos confirmar el estado actualizado, porque la situación puede cambiar.
¿Por dónde empiezo? Por un diagnóstico que te diga, sin tecnicismos, qué tienes, qué te falta y en qué orden abordarlo. Con eso tomas decisiones con criterio en lugar de comprar productos sueltos.
¿Quieres saber si tu empresa está preparada para los requisitos de ciberseguridad de NIS2? Solicita un diagnóstico de ciberseguridad con nuestro equipo y salimos con un plan claro y un presupuesto cerrado.
Si te interesa el tema, también puedes leer:
NIS2 es la Directiva (UE) 2022/2555, la norma europea que actualiza y sustituye a la primera directiva NIS de 2016 para elevar el nivel común de ciberseguridad en la Unión Europea. Obliga a las empresas de una serie de sectores considerados esenciales o importantes a implantar medidas de gestión de riesgos, notificar los incidentes graves a la autoridad y responsabilizar a la dirección del cumplimiento. Su objetivo es que los servicios críticos para la sociedad y la economía resistan mejor los ciberataques.
Con carácter general, NIS2 obliga a las empresas que operan en alguno de los 18 sectores cubiertos y superan el tamaño de mediana empresa: 50 o más empleados, o más de 10 millones de euros de volumen de negocio o balance anual. Las grandes empresas (250 o más empleados o más de 50 millones de euros) en sectores de alta criticidad se clasifican como entidades esenciales, sujetas a supervisión más estricta; el resto, como entidades importantes. Hay excepciones por las que entidades más pequeñas también quedan obligadas si prestan un servicio crítico.
Directamente, la mayoría de pymes pequeñas quedan fuera del umbral. Pero pueden verse afectadas de forma indirecta: las entidades obligadas tienen que garantizar la seguridad de su cadena de suministro, así que exigirán a sus proveedores tecnológicos requisitos de ciberseguridad por contrato. Una pyme de Navarra que dé servicio informático a una administración pública, suministre a la industria de automoción o agroalimentaria, o trabaje para una empresa sanitaria o energética, tendrá que demostrar buenas prácticas de seguridad para seguir siendo proveedora.
Cuatro bloques principales: (1) medidas de gestión de riesgos —análisis de riesgos, política de seguridad, cifrado, autenticación multifactor, control de accesos, copias de seguridad, continuidad de negocio y seguridad de la cadena de suministro—; (2) notificación de incidentes significativos a la autoridad competente, con alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes; (3) gobernanza, con la dirección aprobando y supervisando las medidas y respondiendo personalmente; (4) formación periódica en ciberseguridad.
La directiva europea debía estar transpuesta por los estados miembros antes del 17 de octubre de 2024. España va con retraso: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y, a fecha de junio de 2026, sigue en tramitación, pendiente de aprobación parlamentaria y publicación en el BOE. La Comisión Europea remitió a España un dictamen motivado en mayo de 2025 por el retraso. Conviene confirmar el estado actualizado de la norma, porque puede cambiar en cualquier momento.
La directiva prevé multas elevadas. Para las entidades esenciales, hasta 10 millones de euros o el 2% del volumen de negocio anual mundial, lo que sea mayor. Para las entidades importantes, hasta 7 millones de euros o el 1,4%. Además, NIS2 introduce la responsabilidad personal de los órganos de dirección, que pueden ser considerados responsables del incumplimiento de las medidas de gestión de riesgos.
El futuro marco crea un Centro Nacional de Ciberseguridad como autoridad de coordinación, y se apoya en los CSIRT de referencia ya existentes: INCIBE-CERT para el sector privado, CCN-CERT para el sector público y ESPDEF-CERT para el ámbito de la defensa. Determinadas competencias se reparten además entre organismos sectoriales (por ejemplo, Banco de España, CNMV o ministerios según el sector). El detalle definitivo dependerá del texto final de la ley.
Qué es la regla 3-2-1 y cómo diseñar un backup que sobreviva a ransomware o fallos de disco. Guía para empresas y proveedores en Navarra.
Servicios TIComparativa honesta Windows Server vs Linux para empresas: licencias, seguridad, coste real a 5 años y compatibilidad ERP. Elige sin sesgos.
Servicios TI¿Qué debe incluir un contrato de mantenimiento informático para empresas y pymes? Preventivo vs. correctivo y cómo elegir proveedor en Navarra.
Nuestro equipo de expertos está a tu disposición para asesorarte sin compromiso.