NIS2: ¿le afecta a tu empresa y qué tendrás que hacer?
La ley española todavía no está aprobada y, con las Cortes disueltas para las elecciones, por la vía normal no podrá aprobarse hasta 2027. Pero cuando salga en el BOE entrará en vigor al día siguiente. Comprueba si te afecta según el texto español, no la directiva europea, y qué te tocará hacer.
Comprobado el 21 de octubre de 2026 con las fuentes oficiales que enlazamos al final.
Tu empresa
El resultado cambia al momento
Estás dentro como entidad importante
Tu sector (fabricación) está en el anexo II y por tamaño estás dentro (art. 4.2). Las importantes tienen las mismas medidas que las esenciales, pero se las supervisa a posteriori y pueden acreditar el cumplimiento con una autoevaluación.
Multas de 10.000 € en adelante desde la infracción leve, y en los casos más graves hasta 7 millones de euros o el 1,4 % de la facturación mundial, la cifra mayor.
Por dónde empezar
- Haz inventario de equipos, programas, datos y proveedores con acceso: es la base de todo lo demás.
- Decide quién será el responsable de seguridad y con qué apoyo externo contará.
- Ataca primero lo que más protege: doble factor, copias aisladas y probadas, y equipos sin soporte.
- Escribe el plan de respuesta a incidentes: con 24 horas para avisar, no se improvisa.
En qué punto está, y por qué lo normal es que se vaya a 2027
En julio de 2026, España era uno de los cuatro países de la UE que seguían sin pasar la directiva a su ley, y la Comisión la llevó al Tribunal de Justicia. Esto es lo que ha pasado y lo que falta.
14 dic 2022
Se aprueba la directiva NIS2
La Unión Europea amplía las obligaciones de ciberseguridad a 18 sectores y fija el 17 de octubre de 2024 como fecha límite para pasarla a cada ley nacional.
Directiva (UE) 2022/255514 ene 2025
El Gobierno aprueba el anteproyecto
Primera vuelta en el Consejo de Ministros de la Ley de Coordinación y Gobernanza de la Ciberseguridad, ya con tres meses de retraso sobre el plazo europeo. La audiencia pública se cerró el 10 de febrero.
Texto del anteproyecto (Ministerio del Interior)8 jul 2026
La Comisión lleva a España al Tribunal de Justicia
Junto a Irlanda, Francia y Países Bajos, por no haber transpuesto la directiva. Pide una multa a tanto alzado más multas diarias hasta que la ley se publique.
Comisión Europea, IP/26/14995 oct 2026
Se disuelven las Cortes
Elecciones generales el 29 de noviembre. Con el Congreso disuelto no se puede tramitar ninguna ley, y las que estaban en marcha decaen. La ley de NIS2 ni siquiera había llegado al Congreso.
Consejo de Ministros, 5/10/202623 dic 2026
Se constituyen las Cámaras nuevas
A partir de aquí, el Gobierno que salga tendrá que volver a aprobar el texto y mandarlo al Congreso. La única vía más rápida sería un real decreto-ley.
Por llegar
Publicación en el BOE
Según el anteproyecto, la ley entra en vigor al día siguiente de publicarse, sin periodo de adaptación. Los plazos de tres y seis meses empiezan a contar ese día.
Lo que te pedirá la ley, y cuánto tiempo tendrás
Según el anteproyecto. Los plazos cuentan desde que la empresa entra en la lista, que para la mayoría será el día que la ley entre en vigor.
- 1
Comunicar que estás dentro3 meses
Cada empresa tiene que evaluar si está incluida y mandar sus datos a la autoridad de control: nombre, contacto, sector y hasta sus rangos de IP. Cualquier cambio, en dos semanas.
Anteproyecto, art. 4.4
- 2
Nombrar un responsable de seguridad3 meses
Una persona, unidad u órgano que hace de punto de contacto con las autoridades y coordina la seguridad. Puede apoyarse en servicios externos. En las entidades esenciales, además, tiene que estar acreditado por el Ministerio del Interior.
Anteproyecto, art. 16
- 3
Aplicar diez medidas de seguridad
Las fija el Centro Nacional de Ciberseguridad tomando como base el Esquema Nacional de Seguridad. Van del análisis de riesgos a las copias, la cadena de suministro o la autenticación multifactor (abajo, una a una).
Anteproyecto, art. 15.2
- 4
Firmar la declaración de aplicabilidad6 meses
Un documento, firmado por el responsable de seguridad, que dice qué medidas se aplican a qué sistemas. Se envía a la autoridad de control.
Anteproyecto, art. 15.5
- 5
Demostrar que se cumple
Las entidades esenciales, con una certificación de conformidad. Las importantes pueden elegir entre esa certificación o una autoevaluación.
Anteproyecto, art. 15.4
- 6
Avisar de los incidentes graves24 h · 72 h · 1 mes
Alerta temprana en 24 horas desde que se sabe, notificación con una primera evaluación en 72 horas e informe final en un mes. Si el incidente puede perjudicar a tus clientes, también hay que avisarles.
Anteproyecto, art. 18
- 7
Formar a la dirección y a la plantilla
Los miembros de la dirección tienen que recibir formación periódica, y la dirección tiene que organizar formaciones parecidas para los empleados.
Anteproyecto, art. 14.2
- 8
La dirección responde
Los órganos de dirección aprueban y supervisan las medidas, y sus miembros responden solidariamente de las infracciones de la empresa.
Anteproyecto, arts. 14.1 y 35.2
Las diez medidas mínimas, traducidas a tu oficina
A la izquierda, lo que dice la ley. A la derecha, lo que significa un lunes por la mañana en una empresa normal.
- a)Políticas de seguridad y análisis de riesgos
- Saber qué equipos, programas y datos tienes, qué pasaría si fallara cada uno y qué se hace al respecto. Por escrito.
- b)Gestión de incidentes
- Quién detecta, a quién llama y qué se hace en las primeras horas. Con 24 horas para dar la alerta, eso no se puede improvisar.
- c)Continuidad: copias, recuperación y gestión de crisis
- Copias fuera del alcance de un ransomware y, sobre todo, restauraciones probadas: saber cuánto se tarda en volver a trabajar.
- d)Seguridad de la cadena de suministro
- Lista de proveedores con acceso a tus sistemas, qué se les exige y un contacto de seguridad de cada uno.
- e)Seguridad al comprar, desarrollar y mantener sistemas
- Parches al día, nada de equipos sin soporte y un procedimiento para las vulnerabilidades que se publiquen.
- f)Evaluar si las medidas funcionan
- Revisiones periódicas con resultado escrito: copias restauradas de verdad, accesos revisados, simulacros.
- g)Ciberhigiene básica y formación
- Contraseñas, phishing, qué hacer si algo pinta raro. Para toda la plantilla, no solo para informática.
- h)Criptografía y cifrado
- Portátiles y móviles cifrados, conexiones cifradas y claves guardadas con criterio.
- i)Personal, control de accesos y gestión de activos
- Cada persona con los permisos que necesita y no más, altas y bajas el mismo día e inventario actualizado.
- j)Autenticación multifactor y comunicaciones seguras
- Doble factor en correo, accesos remotos y paneles de administración, y un canal de emergencia que no dependa de los sistemas caídos.
La multa más baja ya son 10.000 euros
Es lo que casi nadie cuenta: los millones salen en todos los titulares, pero el anteproyecto también pone multa a no formar a la plantilla. Y los miembros de la dirección responden solidariamente.
| Infracción | Multa | Por ejemplo |
|---|---|---|
| Leves | 10.000 a 100.000 € | No formar a la dirección o a la plantilla, no comunicar a tiempo quién es el responsable de seguridad, notificar un incidente con datos incompletos. |
| Graves | 100.001 a 500.000 € | No aplicar las medidas, no notificar un incidente significativo, no nombrar responsable de seguridad, no comunicar que estás dentro. |
| Muy graves | 500.001 a 2.000.000 € | No aplicar las medidas y que eso cause un incidente significativo, o dejar de notificar incidentes de forma reiterada. |
Para las dos infracciones muy graves más serias (no aplicar las medidas y que eso cause un incidente, o dejar de notificar de forma reiterada) el tope sube: en las entidades esenciales, hasta 10 millones de euros o el 2 % de la facturación mundial, la cifra mayor; en las importantes, hasta 7 millones de euros o el 1,4 % de la facturación mundial, la cifra mayor. Las muy graves y las graves pueden llevar además amonestación pública en el BOE (arts. 42 y 35.2).
Te llegará igual si trabajas para quien sí está obligado
La mayoría de pymes no entran por tamaño. Pero sus clientes afectados tienen que controlar la seguridad de la cadena de suministro, con un punto de contacto de seguridad por cada proveedor (art. 15.2.d), y su responsable de seguridad tiene que velar por que los proveedores cumplan sus criterios (art. 16.3.j).
En la práctica llega en forma de cuestionario y de cláusulas nuevas en el contrato: si usáis doble factor, cómo son las copias, cada cuánto parcheáis y cómo avisaríais de un incidente. Quien lo tenga resuelto y por escrito conserva el cliente.
Guía para proveedores
Qué te van a preguntar, qué puedes responder hoy y qué conviene arreglar antes de que llegue el cuestionario.
Leer la guíaLa parte legal es de tu asesor. La técnica, nuestra
No somos auditores ni abogados. Lo que sí hacemos desde 1996 es dejar montada la informática de empresas de Valencia, que es justo lo que las medidas piden:
- El inventario
Qué equipos, programas, datos y proveedores con acceso hay de verdad. Sin eso no hay análisis de riesgos ni declaración de aplicabilidad.
- Accesos y doble factor
Permisos por usuario, doble factor en correo y accesos remotos, firewall FortiGate y antivirus ESET gestionado.
- Copias que se restauran
Copias aisladas del ransomware y restauraciones probadas, con el resultado por escrito: es lo que piden las medidas de continuidad.
- Nada sin soporte
Equipos y servidores sin parches localizados y sustituidos. Las fechas de cada producto, en nuestro catálogo de fin de soporte.
- La red
Separar lo que no tiene por qué verse: invitados, cámaras, producción y oficina, para que un incidente no llegue a todo.
Te decimos dónde estás, gratis
Repasamos contigo las diez medidas sobre tu informática real y te damos por escrito qué ya cumples, qué falta y lo que costaría cada cosa. Sin compromiso y respondiendo en menos de 24 horas.
Pedir la revisión¿Eres proveedor de una empresa afectada? Lee qué te van a pedir.
Lo que más se pregunta sobre NIS2
- ¿Cuándo entra en vigor NIS2 en España?
- Todavía no. La directiva tenía que estar en la ley española el 17 de octubre de 2024. El Gobierno aprobó el anteproyecto el 14 de enero de 2025, pero no llegó a mandarlo al Congreso, y el 5 de octubre de 2026 se disolvieron las Cortes para las elecciones del 29 de noviembre. Las Cámaras nuevas se constituyen el 23 de diciembre, así que por la vía normal no habrá ley hasta bien entrado 2027, salvo que el Gobierno recurra a un real decreto-ley. Según el anteproyecto, entrará en vigor al día siguiente de publicarse en el BOE.
- Si la ley no está aprobada, ¿ahora mismo tengo alguna obligación?
- Con carácter general, no: una directiva que no se ha pasado a la ley española no crea obligaciones directas para las empresas privadas. Sigue vigente la ley anterior, el Real Decreto-ley 12/2018, que solo afecta a los operadores de servicios esenciales ya designados y a ciertos proveedores de servicios digitales. Otra cosa son tus clientes: si alguno pertenece a un grupo europeo, en la mayoría de países de la UE la norma ya está en vigor y puede que ya te lo estén pidiendo.
- ¿Por qué prepararse ya si no hay fecha?
- Porque el anteproyecto no da periodo de adaptación: la ley entra en vigor al día siguiente de publicarse y desde ese día hay tres meses para comunicar que estás dentro y nombrar al responsable de seguridad, y seis para enviar la declaración de aplicabilidad. Implantar las medidas (doble factor, copias probadas, inventario, plan de incidentes) lleva más que eso. Y ninguna es trabajo perdido: son las mismas que protegen de un ransomware.
- Tengo una empresa de 30 trabajadores. ¿Me afecta?
- Normalmente no, aunque estés en un sector incluido: por debajo de 50 trabajadores solo entras si superas a la vez los 10 millones de facturación y de balance, o si formas parte de un grupo que, sumado, los supera. Hay excepciones que entran sea cual sea su tamaño: telecomunicaciones para el público, servicios de confianza, DNS, el sector público y quien sea el único proveedor en España de un servicio esencial. Lo más probable, si trabajas para empresas afectadas, es que te llegue como proveedor.
- ¿Qué diferencia hay entre entidad esencial e importante?
- Las medidas que hay que aplicar son las mismas. Cambia la supervisión y la forma de demostrarlo: a las esenciales se las supervisa de antemano, necesitan una certificación de conformidad y su responsable de seguridad tiene que estar acreditado por el Ministerio del Interior. Las importantes se supervisan a posteriori y pueden acreditar el cumplimiento con una autoevaluación. También cambia la multa máxima en los casos más graves.
- ¿El responsable de seguridad puede ser alguien de fuera?
- El anteproyecto dice que la empresa designa a una persona, unidad u órgano como responsable de la seguridad de la información y que, para sus funciones, «podrá contar con la colaboración de servicios prestados por terceros». En las entidades esenciales tiene que estar acreditado por el Ministerio del Interior, mantener independencia respecto de los responsables de los sistemas y tener comunicación real con el consejo de administración.
- ¿Qué tiene que ver con el Esquema Nacional de Seguridad?
- Mucho. Las medidas se fijarán tomando como base el Esquema Nacional de Seguridad (ENS) y las normas técnicas equivalentes. Para quien ya está obligado por el ENS, o lo adopta voluntariamente, el anteproyecto prevé que un perfil de cumplimiento específico del ENS sirva para acreditar esta ley.
- ¿Vosotros lleváis la parte legal o hacéis la auditoría?
- No, y conviene decirlo claro. Si estás obligado y cómo se acredita es cosa de tu asesor legal; la certificación, de una entidad acreditada. Nosotros nos ocupamos de la parte técnica, que es la que más tiempo lleva: inventario, doble factor, copias, parches, red y las pruebas de que todo eso funciona.
Fuentes
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Ministerio del Interior, enero de 2025)
- Directiva (UE) 2022/2555 (NIS2)
- Comisión Europea: España ante el Tribunal de Justicia por no transponer NIS2 (8/7/2026)
- Consejo de Ministros del 5/10/2026: disolución de las Cortes y elecciones
- Recomendación 2003/361/CE: definición de pyme
Los artículos citados son los del anteproyecto y pueden cambiar en el texto final. Actualizaremos esta página el día que se publique.