Si te han llamado para venderte «adaptación a NIS2» y quieres saber en diez minutos si te aplica o no, esto es lo que necesitas. La respuesta corta para la mayoría de pymes españolas es que no están dentro del ámbito directo de la directiva. La respuesta larga tiene dos matices que sí importan: hay excepciones que aplican sin importar el tamaño, y hay muchísimas empresas pequeñas a las que NIS2 les va a llegar por rebote, a través de un cliente que sí está obligado. Vamos por partes.
Qué es NIS2 y por qué se habla tanto de ella
NIS2 es la Directiva (UE) 2022/2555, que sustituye a la anterior directiva de seguridad de las redes y sistemas de información. Su objetivo es elevar el nivel de ciberseguridad en sectores considerados críticos para el funcionamiento del país, y hace tres cosas: amplía mucho la lista de sectores afectados, impone obligaciones concretas de gestión de riesgos y notificación de incidentes, y —esta es la novedad que ha movido el mercado— hace responsable de forma personal a los órganos de dirección de la empresa.
Ese último punto es el que se usa como argumento de venta. Es cierto, pero solo si tu empresa está dentro del ámbito. Y ahí es donde conviene bajar el nivel de alarma y hacer la comprobación.
Una aclaración importante que se mezcla mucho: NIS2 no sustituye ni deroga al RGPD. Son cosas distintas. El RGPD protege los datos personales; NIS2 protege la continuidad de servicios esenciales. Puedes estar obligado por los dos, por uno o por ninguno, y las notificaciones van a autoridades diferentes y con plazos diferentes.
Entidades esenciales e importantes: sectores y umbrales
NIS2 clasifica a las entidades obligadas en dos categorías, y las dos tienen obligaciones parecidas; lo que cambia es la intensidad de la supervisión y el tope de las sanciones.
El primer filtro es el sector. El anexo I recoge los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio. El anexo II recoge otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación (de productos sanitarios, informática y electrónica, maquinaria, vehículos de motor y otro material de transporte), proveedores de servicios digitales (mercados en línea, motores de búsqueda, plataformas de redes sociales) e investigación.
Fíjate en lo que no está: comercio minorista general, hostelería, construcción, despachos profesionales, agencias de marketing, talleres, clínicas privadas pequeñas que no encajan en el concepto de prestador de asistencia sanitaria del anexo, inmobiliarias. Si tu actividad no aparece en ninguno de los dos anexos, se acabó el análisis.
La regla de tamaño: por qué la mayoría de pymes queda fuera
El segundo filtro es el tamaño, y es el que deja fuera a la gran mayoría. Como norma general, la directiva se aplica a partir de mediana empresa. En la práctica:
- Por debajo del umbral de mediana empresa (menos de 50 empleados y volumen de negocio anual y balance general que no superen los 10 millones de euros): fuera del ámbito general.
- Entidades importantes: a partir de mediana empresa, en los sectores de los anexos I y II.
- Entidades esenciales: las grandes (250 empleados o más, o volumen de negocio superior a 50 millones de euros y balance superior a 43 millones) en los sectores del anexo I.
Un microtaller de reparación de vehículos no es «fabricación de vehículos de motor», y una tienda de alimentación de barrio no es «producción y distribución de alimentos» en el sentido de la directiva. Ese salto de escala es exactamente el que se ignora cuando alguien te dice que NIS2 obliga a todas las empresas.
Las excepciones que aplican sin importar el tamaño
Ahora la letra pequeña, que sí puede afectar a empresas pequeñas y técnicas. Con independencia de su tamaño, quedan dentro, entre otros: los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel, los prestadores de servicios de confianza (firma electrónica, sellado de tiempo), los proveedores de redes públicas de comunicaciones electrónicas y de servicios de comunicaciones electrónicas disponibles al público, la Administración pública en los términos que fije cada Estado, y aquellas entidades que sean el único proveedor de un servicio esencial en un territorio o cuya interrupción tendría un impacto significativo en la seguridad pública o la salud.
Traducido: una empresa española de siete personas que opera infraestructura de dominios o servicios de certificación puede estar dentro, mientras que una fábrica de 40 empleados queda fuera. El tamaño solo es la regla general, no la única.
Estado de la transposición en España
Aquí toca ser honesto en lugar de dar una fecha bonita. El plazo que la directiva dio a los Estados miembros para incorporarla a su derecho nacional venció el 17 de octubre de 2024, y España no llegó a tiempo. La norma española que desarrolla NIS2 ha ido tramitándose con retraso, y algunos detalles que más importan a una empresa concreta (qué autoridad supervisa cada sector, cómo se hace el registro de entidades, el régimen sancionador exacto y los plazos de adaptación) se concretan precisamente en esa norma nacional, no en la directiva.
Así que la recomendación operativa es esta: antes de firmar nada, comprueba el estado exacto de la ley española en el BOE y en la web del ministerio competente. Y desconfía de cualquier proveedor que te presente plazos españoles concretos sin citarte la disposición donde vienen. Si no te la puede citar, se la está inventando.
Si estás dentro: qué te van a exigir
Suponiendo que hayas hecho la comprobación y estés dentro del ámbito, las obligaciones se agrupan en tres bloques.
Medidas de gestión de riesgos. La directiva enumera un mínimo que hay que tener: análisis de riesgos y políticas de seguridad de los sistemas; gestión de incidentes; continuidad de la actividad, gestión de copias de seguridad y recuperación ante desastres; seguridad de la cadena de suministro; seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades; políticas para evaluar la eficacia de las medidas; prácticas básicas de higiene informática y formación; políticas de criptografía y cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor o continua, comunicaciones de voz, vídeo y texto seguras y sistemas de comunicación de emergencia.
Responsabilidad de la dirección. Los órganos de dirección deben aprobar esas medidas, supervisar su aplicación y formarse ellos mismos. No es delegable en el informático ni en el proveedor. Esta es la diferencia real de tono respecto a la normativa anterior.
Notificación de incidentes significativos. Con un calendario escalonado que conviene memorizar: alerta temprana en 24 horas desde que se tiene conocimiento del incidente, notificación con evaluación inicial en 72 horas y un informe final en el plazo de un mes. Si el incidente además afecta a datos personales, el plazo del RGPD corre en paralelo y por su cuenta: son dos notificaciones distintas a autoridades distintas.
En cuanto a sanciones, la directiva fija topes diferenciados: para entidades esenciales, hasta 10 millones de euros o el 2 % del volumen de negocio mundial total, la cantidad que sea mayor; para entidades importantes, hasta 7 millones o el 1,4 %. El detalle español, insisto, depende de la ley de transposición.
Cómo comprobar en diez minutos si te aplica
Hazlo en este orden y no sigas si fallas un paso:
- Sector. Coge tu epígrafe de actividad y busca si encaja en el anexo I o en el anexo II de la directiva. Si no encaja, salta al punto 4.
- Tamaño. Empleados, volumen de negocio y balance del último ejercicio, contra los umbrales de arriba.
- Excepciones. ¿Prestas servicios DNS, de registro de dominios, de confianza o de comunicaciones electrónicas? ¿Eres el único proveedor de algo esencial en tu zona?
- Efecto rebote. Aunque no te aplique directamente, ¿tienes clientes que sí están dentro? Porque entonces te van a llegar sus requisitos de seguridad de la cadena de suministro en el próximo contrato o en el próximo cuestionario de proveedores.
Ese cuarto punto es, con diferencia, la vía por la que NIS2 va a tocar a más empresas pequeñas en España: no como obligación legal propia, sino como condición para seguir siendo proveedor. Lo desarrollamos en el artículo sobre cómo NIS2 llega a los proveedores a través de la cadena de suministro, que es lo que de verdad deberías leer si eres una empresa técnica que factura a industria, energía o sanidad.
Y si tu caso es trabajar para la Administración pública, entonces la norma que te va a pedir cosas concretas no es NIS2, sino el Esquema Nacional de Seguridad, que sí tiene exigencias muy tangibles y categorías de sistema; lo tratamos aparte en qué implica el ENS para una pyme que trabaja con la Administración.
Qué hacer si NIS2 no te aplica (que es lo más probable)
No hacer nada tampoco es la respuesta. Que no te obligue una directiva no significa que no te obligue nada: el RGPD te exige medidas de seguridad apropiadas al riesgo y esa obligación sí la tienes hoy, tengas dos empleados o doscientos. La buena noticia es que la lista de medidas de NIS2 y lo que se espera de ti bajo el RGPD se parecen mucho, solo que a otra escala: copias de seguridad probadas, actualizaciones al día, verificación en dos pasos, control de quién accede a qué y capacidad de detectar que algo ha pasado. Esa traducción concreta la tienes en el artículo sobre las medidas de seguridad apropiadas del RGPD explicadas para una pyme, y el mapa completo de qué normas te aplican según lo que hace tu empresa, en la guía de normativa de protección de datos y ciberseguridad para pymes en España.
Dicho de otra forma: si alguien te intenta vender un proyecto de adaptación a NIS2 y tu empresa está claramente fuera del ámbito, no necesitas ese proyecto. Lo que sí te conviene es saber qué tienes expuesto ahora mismo, porque eso te lo van a preguntar igual, lo pregunte la ley o lo pregunte tu cliente.
Si quieres empezar por ahí, pide el informe gratuito de tu superficie expuesta: qué se ve de tu organización desde fuera, qué servicios están publicados, cómo está tu correo y qué contestarías si un cliente te manda mañana su cuestionario de proveedores.
Seguir leyendo en esta sección
- Contrato con la empresa de mantenimiento web: las cláusulas de seguridad que casi nunca están
- Seguro de ciberriesgo para pymes: qué cubre y qué te van a exigir para pagarte
- Kit Digital y ayudas a la ciberseguridad: qué cubre de verdad para una pyme
- Tu cliente está sujeto a NIS2 y te pide requisitos de seguridad: qué te va a exigir