Cumplimiento de la Directiva NIS2

La Directiva (UE) 2022/2555 —NIS2— es la norma europea de ciberseguridad para sectores esenciales e importantes: energía, transporte, banca, salud, agua, infraestructuras digitales, administración pública, industria y un total de 18 sectores. Sustituye a la directiva anterior y endurece requisitos, plazos y sanciones.

El criterio de aplicación combina sector y tamaño. Con carácter general afecta a medianas y grandes empresas de esos sectores —50 o más empleados o más de 10 millones de euros de cifra de negocio— clasificadas como entidades esenciales o importantes. Las pequeñas quedan fuera salvo excepciones concretas, como proveedores clave de una entidad esencial.

La clasificación no es cosmética: define el régimen sancionador, los plazos de notificación de algunos prestadores y qué exigencias caen sobre la alta dirección. Determinar bien el alcance es el primer paso y evita proyectos de cumplimiento sobre empresas a las que la norma no aplica.

España debía haber transpuesto NIS2 el 17 de octubre de 2024 y no lo hizo. La Comisión Europea abrió el expediente de infracción INFR(2024)0270, dictaminó motivadamente en mayo de 2025 y en mayo de 2026 remitió un segundo requerimiento formal exigiendo transponer con urgencia: el siguiente paso es llevar el asunto al Tribunal de Justicia de la UE, con sanciones coercitivas diarias.

Mientras, la ley española sigue su tramitación parlamentaria. Para tu empresa eso no significa esperar: los clientes, las aseguradoras y los contratos públicos ya empiezan a pedir evidencias de seguridad alineadas con NIS2, y las obligaciones sustantivas —medidas del artículo 21 y circuito de notificación— no dependen de que la ley se publique mañana.

Prepararse ahora tiene además una ventaja práctica: cuando la ley entre en vigor, la empresa que ya tiene análisis de riesgos, continuidad y notificación ensayada sólo tendrá que acreditarlo. Quien empiece entonces competirá por recursos y consultores con todo el mercado al mismo tiempo.

NIS2 no obliga a comprar un producto concreto: exige un conjunto de medidas de gestión de riesgos apropiadas al riesgo, con énfasis en su aplicación efectiva y en la capacidad de demostrarlas. Entre ellas: políticas de análisis de riesgos y seguridad, gestión de incidentes, continuidad y respaldo, seguridad en la cadena de suministro, criptografía y cifrado, gestión de accesos con MFA, y concienciación y formación continua.

Muchas empresas ya tienen parte de esto por ISO 27001, ENS o RGPD. El trabajo inteligente no es duplicar documentación: es mapear lo que existe frente a lo que NIS2 exige, identificar los huecos reales y cerrarlos una sola vez. Un análisis de brecha bien hecho ahorra meses de proyecto.

El artículo 14 añade la capa de gobierno: la dirección debe supervisar las medidas, formarse en ciberseguridad y puede ser sancionada personalmente. Un plan técnico sin dirección formada y implicada no es un cumplimiento NIS2.

Es habitual entrar en NIS2 con tres documentos que dicen lo mismo con palabras distintas. Los marcos comparten núcleo: análisis de riesgos, controles, continuidad, formación y respuesta a incidentes. Lo que cambia son los detalles, los plazos de notificación y quién responde.

Nuestro enfoque es un único sistema de gestión con evidencias que sirva a varios marcos, y una matriz que muestre qué cubre cada requisito de NIS2. Así, la auditoría de certificación, el ENS de un contrato público y NIS2 dejan de ser tres proyectos paralelos.

Lo específico de NIS2 se trata aparte y con precisión: notificación a los plazos 24/72 h ante el CSIRT, clasificación esencial/importante, registro si procede, y gobierno de la alta dirección. Es lo que más cambia respecto a lo que muchas empresas ya tienen.