El 17 de octubre de 2024 venció el plazo para que los Estados miembros transpusieran la Directiva NIS2 (Directiva (UE) 2022/2555), la mayor actualización del marco europeo de ciberseguridad de la última década. Desde entonces, miles de empresas tecnológicas españolas conviven con una situación incómoda: la directiva ya define quién está obligado y a qué, pero la ley española de transposición ha llegado tarde, y muchas organizaciones han optado por esperar. Es una mala estrategia. Las obligaciones de NIS2 no son negociables, las sanciones previstas alcanzan los 10 millones de euros o el 2% de la facturación mundial, y —esto es lo que muchos directivos aún no han interiorizado— la responsabilidad recae de forma personal y directa sobre los órganos de dirección.
Si diriges una empresa de software, una agencia de desarrollo, un proveedor de servicios gestionados, un data center o una plataforma digital, hay una probabilidad alta de que NIS2 te afecte directamente. Y aunque tu empresa quede fuera del ámbito formal, la directiva te alcanzará igualmente por la vía de la cadena de suministro: tus clientes obligados están empezando a exigir garantías de ciberseguridad a sus proveedores tecnológicos, contrato en mano. Reforzar esas garantías es el terreno de nuestros servicios de seguridad informática.
En esta guía analizamos qué es exactamente NIS2, cómo saber si tu empresa está dentro del ámbito de aplicación, cuáles son las obligaciones concretas del artículo 21, cómo funciona el régimen de notificación de incidentes, qué sanciones prevé y —lo más útil— cómo montar un plan de acción realista aprovechando marcos que quizá ya conoces, como la ISO 27001 o el ENS.
1. Qué es NIS2 y por qué existe
La Directiva NIS2 sustituye a la Directiva NIS de 2016 (transpuesta en España mediante el Real Decreto-ley 12/2018), que fue el primer intento europeo de establecer un nivel común de ciberseguridad. La primera NIS se quedó corta en tres frentes: cubría a pocas entidades, dejaba demasiado margen de interpretación a cada Estado miembro y carecía de un régimen sancionador con dientes. El resultado fue un mapa europeo desigual, donde el mismo tipo de empresa tenía obligaciones muy distintas según el país.
NIS2 corrige el rumbo con cuatro cambios de fondo. Primero, amplía drásticamente el ámbito: pasa de un puñado de operadores de servicios esenciales designados individualmente a sectores enteros que quedan obligados de forma automática si superan ciertos umbrales de tamaño. Segundo, armoniza las medidas mínimas que toda entidad obligada debe implantar, recogidas en su artículo 21. Tercero, endurece la notificación de incidentes con plazos concretos de 24 horas, 72 horas y un mes. Y cuarto, introduce un régimen sancionador homogéneo con multas millonarias y responsabilidad personal de la dirección.
El trasfondo es conocido para cualquiera que siga la actualidad del sector: el aumento sostenido de ataques de ransomware contra empresas europeas, los incidentes en cadenas de suministro de software y la evidencia de que la ciberseguridad de una economía interconectada es tan fuerte como su eslabón más débil.
2. ¿Está tu empresa dentro del ámbito de NIS2?
Esta es la primera pregunta que debe responder cualquier CTO o responsable de cumplimiento, y la respuesta tiene dos variables: el sector en el que operas y el tamaño de tu empresa.
2.1 Entidades esenciales y entidades importantes
NIS2 clasifica a las organizaciones obligadas en dos categorías, con obligaciones materiales idénticas pero regímenes de supervisión y sanción distintos:
Entidades esenciales (anexo I de la directiva): energía, transporte, banca e infraestructuras de los mercados financieros, sanidad, agua potable y aguas residuales, administración pública, espacio y —aquí está la parte que afecta al sector tecnológico— infraestructura digital (proveedores de cloud, centros de datos, CDN, DNS, registros de nombres de dominio, proveedores de servicios de confianza y redes públicas de comunicaciones) y gestión de servicios TIC entre empresas, es decir, proveedores de servicios gestionados (MSP) y de servicios de seguridad gestionados (MSSP).
Entidades importantes (anexo II): servicios postales, gestión de residuos, químico, alimentario, fabricación de productos sanitarios, informáticos, electrónicos y de maquinaria y vehículos, investigación y proveedores digitales: marketplaces, motores de búsqueda y plataformas de redes sociales.
2.2 El umbral de tamaño (y sus excepciones)
La regla general es que NIS2 aplica a medianas y grandes empresas de los sectores anteriores: 50 o más empleados, o bien más de 10 millones de euros de volumen de negocio o balance anual. Una startup de 20 personas que opera un SaaS genérico, en principio, queda fuera.
Pero hay excepciones relevantes que ignoran el tamaño: los proveedores de DNS, los registros de TLD, los prestadores de servicios de confianza y los proveedores de redes públicas de comunicaciones electrónicas quedan obligados con independencia de su tamaño. Y los Estados miembros pueden designar entidades más pequeñas cuando su servicio sea crítico para la sociedad o la economía.
Para el ecosistema tecnológico español, la lectura práctica es esta: si tu empresa gestiona infraestructura para terceros (hosting, cloud, administración de sistemas, seguridad gestionada, soporte TIC continuado), la categoría de «gestión de servicios TIC» te sitúa en el mapa de NIS2 como entidad esencial en cuanto superas el umbral de mediana empresa. Muchas agencias y consultoras que han crecido ofreciendo mantenimiento y operación de plataformas están en esta situación sin saberlo.
3. La transposición en España: dónde estamos
España no llegó a la fecha límite de octubre de 2024. La transposición se articula a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto aprobó el Consejo de Ministros en enero de 2025 y que ha seguido desde entonces su tramitación. Conviene verificar el estado exacto de la norma en el BOE en el momento de leer esto, porque los detalles finales (plazos de registro, desarrollo reglamentario, régimen transitorio) dependen del texto definitivo.
Lo que ya se conoce del modelo español es suficiente para planificar. El esquema de gobernanza se apoya en el Centro Criptológico Nacional (CCN) para el sector público, en INCIBE para el sector privado y la ciudadanía, y en el Mando Conjunto del Ciberespacio en el ámbito de defensa, con sus respectivos CSIRT de referencia (CCN-CERT, INCIBE-CERT y ESPDEF-CERT). El anteproyecto contempla además la creación de un Centro Nacional de Ciberseguridad como órgano de coordinación, la obligación de que las entidades esenciales e importantes se registren ante la autoridad competente y la designación de un responsable de seguridad de la información, una figura que ya resulta familiar a quien haya trabajado con el Esquema Nacional de Seguridad (ENS).
Que la ley española llegue tarde no es un salvoconducto. Las obligaciones materiales de la directiva están definidas desde 2022, los clientes obligados en otros países europeos ya exigen cumplimiento a sus proveedores españoles, y si tu empresa presta servicios de infraestructura digital en Estados miembros que sí han transpuesto (Bélgica, Italia o Croacia fueron de los primeros), puedes estar sujeto ya a la normativa local de esos mercados.
4. Las obligaciones del artículo 21: las diez medidas mínimas
El corazón de NIS2 es su artículo 21, que obliga a toda entidad esencial o importante a adoptar «medidas técnicas, operativas y organizativas adecuadas y proporcionadas» para gestionar los riesgos de sus redes y sistemas de información. La directiva concreta un mínimo de diez ámbitos que toda organización obligada debe cubrir:
1. Políticas de análisis de riesgos y seguridad de los sistemas de información. El punto de partida: un análisis de riesgos formal y políticas aprobadas por la dirección. Si has trabajado la certificación ISO 27001, este terreno ya lo tienes abonado.
2. Gestión de incidentes. Procedimientos de detección, respuesta y recuperación, con roles definidos y capacidad real de ejecutarlos, no solo un documento en un cajón.
3. Continuidad de negocio. Copias de seguridad, planes de recuperación ante desastres y gestión de crisis. NIS2 menciona expresamente los backups, lo que da idea del nivel de detalle al que baja la directiva.
4. Seguridad de la cadena de suministro. Evaluar la seguridad de tus proveedores directos y prestadores de servicios. Esta medida es la que propaga NIS2 más allá de las entidades formalmente obligadas: para cumplirla, las empresas obligadas tienen que auditar a sus proveedores tecnológicos.
5. Seguridad en la adquisición, desarrollo y mantenimiento de sistemas. Incluye la gestión y divulgación de vulnerabilidades. Para una empresa de desarrollo, esto significa SDLC seguro: revisión de código, gestión de dependencias, entornos separados y política de parcheo.
6. Políticas para evaluar la eficacia de las medidas. No basta con implantar controles; hay que medir que funcionan, mediante auditorías, métricas o pentesting periódico.
7. Ciberhigiene y formación. Prácticas básicas (actualizaciones, contraseñas, hardening) y formación en ciberseguridad para toda la plantilla, incluida la dirección.
8. Criptografía y cifrado. Políticas sobre el uso de criptografía, cifrado en tránsito y en reposo donde proceda.
9. Seguridad de los recursos humanos, control de acceso y gestión de activos. Altas y bajas de personal con revocación de accesos, principio de mínimo privilegio e inventario de activos.
10. Autenticación multifactor y comunicaciones seguras. MFA o autenticación continua, y comunicaciones de voz, vídeo y texto seguras, también en los sistemas de emergencia internos.
Si esta lista te resulta familiar es porque coincide en gran medida con los controles del Anexo A de ISO 27001 y con las medidas del ENS. No es casualidad: NIS2 no inventa un marco nuevo, sino que eleva a obligación legal lo que los marcos de referencia llevan años recomendando.
5. Notificación de incidentes: 24 horas, 72 horas, un mes
El régimen de notificación es la obligación más operativa de NIS2 y la que más procesos internos exige tener afinados. Cuando una entidad obligada sufre un incidente significativo (aquel que causa o puede causar graves perturbaciones operativas o pérdidas económicas, o que afecta a terceros), los plazos corren desde el momento en que se tiene conocimiento:
Alerta temprana en 24 horas. Una primera comunicación al CSIRT de referencia o a la autoridad competente indicando si se sospecha que el incidente responde a una acción ilícita o puede tener impacto transfronterizo.
Notificación del incidente en 72 horas. Actualización de la alerta con una evaluación inicial de gravedad, impacto e indicadores de compromiso. Si el incidente afecta a datos personales, en paralelo corre el plazo de 72 horas de notificación a la AEPD que impone el RGPD; tratamos esa doble vía en nuestro artículo sobre cumplimiento NIS2 y RGPD en el desarrollo web.
Informe final en un mes. Descripción detallada del incidente, causa probable, medidas de mitigación aplicadas y, en su caso, impacto transfronterizo. Si el incidente sigue abierto, se presenta un informe de situación y el final se entrega al cierre.
Cumplir estos plazos sin un procedimiento de respuesta a incidentes ensayado es prácticamente imposible: 24 horas pasan muy rápido cuando el equipo está apagando el fuego. La preparación previa —playbooks, contactos, plantillas de notificación, criterios de clasificación— marca la diferencia entre una notificación ordenada y una sanción añadida al incidente.
6. Sanciones y responsabilidad de la dirección
NIS2 fija sanciones máximas mínimas (los Estados pueden endurecerlas, no rebajarlas): para las entidades esenciales, multas de al menos 10 millones de euros o el 2% del volumen de negocio anual mundial, la cifra que sea mayor; para las entidades importantes, al menos 7 millones de euros o el 1,4%. A esto se suman medidas no económicas: instrucciones vinculantes, auditorías obligatorias, plazos para subsanar y, en el caso de las esenciales, la posibilidad de suspender temporalmente certificaciones o autorizaciones e incluso inhabilitar temporalmente a directivos.
El artículo 20 es el que debería leer con atención cualquier consejo de administración: los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y responder por los incumplimientos. Además, están obligados a formarse en ciberseguridad y a ofrecer formación periódica a sus empleados. La ciberseguridad deja de ser un asunto delegable al departamento técnico: es responsabilidad directa de quien dirige.
La supervisión también difiere por categoría: las entidades esenciales están sujetas a supervisión ex ante (inspecciones y auditorías proactivas de la autoridad), mientras que las importantes solo afrontan supervisión ex post, cuando hay indicios de incumplimiento. En la práctica, para una esencial el cumplimiento debe poder demostrarse en cualquier momento.
7. NIS2, ISO 27001 y ENS: no empieces de cero
La buena noticia para las empresas que ya han invertido en seguridad es que NIS2 se apoya deliberadamente en los marcos existentes. La directiva anima a usar normas europeas e internacionales, y el modelo español apunta a que la certificación bajo esquemas reconocidos sirva como evidencia de cumplimiento.
Un SGSI certificado bajo ISO 27001 cubre la mayor parte de las medidas del artículo 21: análisis de riesgos, políticas, control de acceso, criptografía, seguridad de RRHH, gestión de proveedores y mejora continua. Quedará por reforzar, sobre todo, el régimen de notificación en plazos y algún requisito específico como el MFA generalizado. Si estás valorando por dónde empezar, nuestra guía sobre ISO 27001 para pymes desglosa costes y tiempos realistas.
El ENS, por su parte, es la referencia natural para quien trabaja con el sector público español, y la transposición española de NIS2 se alinea explícitamente con él: mismas autoridades (CCN), figura del responsable de seguridad y estructura de medidas comparable. Una empresa certificada en ENS nivel medio tiene gran parte del camino de NIS2 recorrido.
La estrategia sensata no es tratar NIS2 como un proyecto aislado, sino integrarla en un sistema de gestión único: un solo análisis de riesgos, un solo cuerpo de políticas y un solo plan de tratamiento que dé respuesta simultánea a NIS2, ISO 27001, ENS y RGPD.
8. Plan de acción: cómo abordar NIS2 en una empresa tecnológica
Con lo anterior sobre la mesa, este es el itinerario que recomendamos a las empresas tecnológicas españolas, ordenado por prioridad:
Paso 1 — Determina tu encaje (1-2 semanas). Analiza si tu actividad entra en los anexos I o II y si superas los umbrales de tamaño. Documenta la conclusión aunque sea negativa: tus clientes te la van a pedir. Presta especial atención a los servicios gestionados y a la infraestructura que operas para terceros.
Paso 2 — Análisis de brechas (2-4 semanas). Contrasta tu situación actual contra las diez medidas del artículo 21 y el régimen de notificación. Si ya tienes ISO 27001 o ENS, parte de tu declaración de aplicabilidad; si no, un análisis de brechas externo te dará la foto sin sesgos internos.
Paso 3 — Prioriza por riesgo real. MFA en todos los accesos, copias de seguridad verificadas, gestión de vulnerabilidades y un procedimiento de respuesta a incidentes ensayado son las medidas con mejor relación esfuerzo-impacto. Casi todo lo demás se construye encima. Si partes de un nivel bajo de madurez, nuestra guía sobre por dónde empezar en ciberseguridad propone una secuencia realista.
Paso 4 — Formaliza la gobernanza. Acta de aprobación de políticas por la dirección, designación del responsable de seguridad, plan de formación (incluida la dirección) y calendario de revisión. Es la parte menos técnica y la que más pesa en una inspección.
Paso 5 — Prepara la notificación de incidentes. Criterios de clasificación de incidentes significativos, plantillas de alerta temprana y notificación, contactos del CSIRT de referencia y un simulacro anual como mínimo.
Paso 6 — Ordena tu cadena de suministro. Inventario de proveedores críticos, cláusulas de seguridad en contratos y evaluación periódica. Y en sentido inverso: prepara tu propio dossier de seguridad para responder a las evaluaciones de tus clientes obligados.
¿Tu empresa está preparada para NIS2?
En Keliam ayudamos a empresas tecnológicas a evaluar su encaje en NIS2, detectar brechas frente al artículo 21 y ejecutar las medidas técnicas: desde el análisis de riesgos hasta el pentesting y el hardening de plataformas.
Conclusión
NIS2 marca un antes y un después en la regulación europea de ciberseguridad: más sectores obligados, medidas mínimas concretas, plazos de notificación estrictos y responsabilidad personal de la dirección. Para las empresas tecnológicas españolas, el retraso de la transposición nacional es un espejismo de tranquilidad: las obligaciones materiales están definidas desde 2022, el mercado ya las está exigiendo por contrato y el coste de esperar crece con cada mes que pasa.
La forma inteligente de abordarla no es el pánico regulatorio ni el proyecto burocrático de última hora, sino integrar NIS2 en un sistema de gestión de seguridad único, apoyado en marcos consolidados como ISO 27001 y ENS, y priorizando las medidas que reducen riesgo real. Las empresas que lo hagan no solo evitarán sanciones: convertirán el cumplimiento en argumento comercial frente a clientes que ya seleccionan proveedores por su madurez en seguridad.
Preguntas frecuentes sobre NIS2
¿NIS2 aplica a mi agencia de desarrollo de 15 personas?
En principio no, si tu actividad no encaja en los sectores de los anexos y no superas los umbrales de tamaño (50 empleados o 10 millones de euros). Pero te afectará indirectamente si trabajas para clientes obligados, que deben evaluar la seguridad de sus proveedores; y quedarías dentro si prestas servicios incluidos sin umbral de tamaño, como DNS o servicios de confianza.
¿Puedo esperar a que se publique la ley española?
Puedes, pero no es recomendable. Las medidas del artículo 21 y los plazos de notificación ya están definidos en la directiva y no van a cambiar. La ley española concretará registro, autoridades y régimen transitorio, pero el trabajo de fondo (análisis de riesgos, controles, respuesta a incidentes) es el mismo y requiere meses.
¿Tener ISO 27001 significa cumplir NIS2?
No automáticamente, pero cubre la mayor parte del camino. Un SGSI certificado responde a casi todas las medidas del artículo 21; quedará por ajustar el régimen de notificación en 24/72 horas, el registro ante la autoridad competente y requisitos puntuales como el MFA generalizado.
¿Qué diferencia hay entre entidad esencial e importante?
Las obligaciones materiales son las mismas. Cambian la supervisión (proactiva para las esenciales, reactiva para las importantes) y las sanciones máximas (10 millones de euros o 2% de la facturación frente a 7 millones o 1,4%). Las esenciales, además, se exponen a la suspensión temporal de directivos.
