La Directiva (UE) 2022/2555, coneguda com a NIS2, obliga les empreses mitjanes i grans de sectors com l'energia, el transport, la salut, l'alimentació, la fabricació industrial, els residus o els serveis digitals a gestionar els seus riscos de ciberseguretat i a notificar els incidents greus. Espanya encara no l'ha incorporat al seu dret: l'avantprojecte de Llei de coordinació i governança de la ciberseguretat es va aprovar en primera volta el gener de 2025 i no ha arribat a les Corts. Mentrestant continuen vigents el Reial decret llei 12/2018 i, per a qualsevol empresa, l'obligació del RGPD de comunicar les bretxes de dades personals en 72 hores.
Un atac informàtic pot aturar una empresa durant dies: factures que no surten, comandes que no se serveixen, dades de clients exposades. La Unió Europea va respondre a aquest risc amb la Directiva NIS2, que endureix les obligacions de ciberseguretat de milers d'empreses. Moltes pimes del Vallès n'han sentit a parlar a través dels seus clients o dels seus proveïdors d'informàtica, i no sempre amb informació exacta.
A Assessoria Amela hem preparat aquesta guia per aclarir tres coses: a qui s'aplica, què exigeix i en quin punt és la seva incorporació al dret espanyol, que avui dia continua pendent.
Què és la Directiva NIS2
La Directiva (UE) 2022/2555 substitueix la primera directiva europea de seguretat de les xarxes i els sistemes d'informació (la NIS de 2016). Amplia molt la llista de sectors afectats, fixa mesures mínimes de seguretat, estableix terminis per notificar els incidents i fa responsables els òrgans de direcció de les empreses.
Com tota directiva, no s'aplica directament a les empreses: cada Estat l'ha d'incorporar amb una llei pròpia. El termini per fer-ho va acabar el 17 d'octubre de 2024.
En quin punt és a Espanya
Espanya encara no ha aprovat aquesta llei. El Consell de Ministres va aprovar el 14 de gener de 2025, en primera volta, l'avantprojecte de Llei de coordinació i governança de la ciberseguretat, però el text no s'ha tramès a les Corts. El 8 de juliol de 2026 la Comissió Europea va portar Espanya davant el Tribunal de Justícia de la Unió Europea per no haver completat la transposició.
Les Corts es van dissoldre el 6 d'octubre de 2026 amb la convocatòria d'eleccions generals per al 29 de novembre, de manera que la llei no s'aprovarà abans que es formi el nou Parlament. El contingut definitiu, incloses les multes, dependrà del text que finalment s'aprovi.
Mentrestant continuen en vigor:
- El Reial decret llei 12/2018, de seguretat de les xarxes i els sistemes d'informació, i el seu reglament (Reial decret 43/2021), que obliguen els operadors de serveis essencials i determinats proveïdors de serveis digitals.
- L'Esquema Nacional de Seguretat (Reial decret 311/2022), per a les administracions públiques i les empreses que els presten serveis tecnològics.
- El Reglament general de protecció de dades, que obliga qualsevol empresa que pateixi una bretxa de dades personals a comunicar-la a l'Agència Espanyola de Protecció de Dades en un màxim de 72 hores, llevat que sigui improbable que suposi un risc per a les persones afectades.
Afecta la meva empresa?
La Directiva combina dos criteris: el sector en què treballa l'empresa i la seva mida.
Els sectors
L'annex I recull els sectors d'alta criticitat: energia, transport, banca, infraestructures dels mercats financers, sanitat, aigua potable, aigües residuals, infraestructura digital, gestió de serveis TIC entre empreses, administració pública i espai.
L'annex II hi afegeix altres sectors crítics: serveis postals i de missatgeria, gestió de residus, fabricació i distribució de substàncies químiques, producció i distribució d'aliments, fabricació de productes sanitaris, electrònics, elèctrics, maquinària i vehicles, proveïdors digitals (mercats en línia, motors de cerca i xarxes socials) i recerca.
La mida
Per regla general només queden obligades les mitjanes i grans empreses d'aquests sectors: les que tenen 50 treballadors o més, o les que superen alhora els 10 milions d'euros de volum de negoci i de balanç. Les petites empreses i les microempreses en queden fora, llevat d'excepcions: per exemple, els proveïdors de xarxes o serveis de comunicacions electròniques públiques, els prestadors de serveis de confiança, els registres de noms de domini, o l'empresa que sigui l'únic proveïdor d'un servei essencial al seu territori.
La Directiva distingeix entre entitats essencials, en general les grans empreses dels sectors de l'annex I, i entitats importants, la resta de les obligades. Totes dues tenen les mateixes obligacions de fons, però el règim de supervisió i les multes màximes són diferents.
Les pimes que no hi estan obligades també ho notaran
Una de les mesures que exigeix la Directiva és controlar la seguretat de la cadena de subministrament. Les empreses obligades han d'avaluar els seus proveïdors i ho traslladen als contractes: qüestionaris de seguretat, clàusules de notificació d'incidents, auditories o requisits tècnics mínims. Per això una pime de Terrassa que fabrica components, transporta mercaderies o presta serveis informàtics a una empresa obligada pot rebre aquestes exigències encara que la Directiva no se li apliqui directament.
Quines obligacions imposa la Directiva
Responsabilitat de la direcció
Els òrgans de direcció han d'aprovar les mesures de ciberseguretat, supervisar-ne l'aplicació i rebre formació. La Directiva preveu que puguin respondre personalment pels incompliments, en els termes que fixi cada llei nacional.
Mesures de gestió de riscos
L'article 21 enumera unes mesures mínimes, que han de ser proporcionades al risc i a la mida de l'empresa:
- Anàlisi de riscos i polítiques de seguretat dels sistemes d'informació.
- Gestió d'incidents.
- Continuïtat de l'activitat: còpies de seguretat, recuperació i gestió de crisis.
- Seguretat de la cadena de subministrament.
- Seguretat en l'adquisició, el desenvolupament i el manteniment dels sistemes, inclosa la gestió de vulnerabilitats.
- Avaluació periòdica de l'eficàcia de les mesures.
- Bones pràctiques bàsiques i formació del personal.
- Criptografia i xifratge quan escaigui.
- Seguretat del personal, control d'accessos i gestió d'actius.
- Autenticació multifactor i comunicacions segures.
Notificació d'incidents significatius
| Termini | Què es comunica |
|---|---|
| 24 hores des que es coneix l'incident | Alerta primerenca: si pot ser deguda a un acte il·lícit o tenir efecte en altres països |
| 72 hores | Notificació amb una primera avaluació de la gravetat i l'impacte |
| Un mes des de la notificació | Informe final amb la causa, les mesures aplicades i l'abast |
A Espanya, l'autoritat o l'equip de resposta (CSIRT) que rebi aquestes notificacions el determinarà la llei de transposició.
Multes previstes a la Directiva
La Directiva fixa l'import màxim que, com a mínim, han de permetre les lleis nacionals:
| Tipus d'entitat | Multa màxima |
|---|---|
| Entitat essencial | 10 milions d'euros o el 2 % del volum de negoci anual mundial, la xifra més alta |
| Entitat important | 7 milions d'euros o l'1,4 % del volum de negoci anual mundial, la xifra més alta |
Les multes que s'imposin a Espanya dependran de la llei que finalment s'aprovi. Fins aleshores, el règim sancionador vigent és el del Reial decret llei 12/2018 per a les entitats a les quals s'aplica, i el del RGPD per a les bretxes de dades personals.
Què pot fer avui una pime
- Comprovar si la seva activitat és als annexos I o II i si per plantilla o facturació és mitjana empresa.
- Revisar què demanen els clients que sí que hi estaran obligats i com es reflecteix en els contractes.
- Fer inventari de sistemes, dades i proveïdors crítics.
- Tenir còpies de seguretat provades, autenticació multifactor i un pla d'actualitzacions.
- Preparar un procediment de resposta a incidents que inclogui la comunicació de bretxes a l'Agència Espanyola de Protecció de Dades.
- Formar el personal i deixar constància de les decisions de la direcció.
La part tècnica correspon a especialistes en seguretat informàtica. La part jurídica, que inclou els contractes amb clients i proveïdors, la protecció de dades i la responsabilitat dels administradors, convé revisar-la amb un advocat.
Preguntes freqüents sobre la Directiva NIS2
La Directiva NIS2 ja és obligatòria a Espanya?
La Directiva és en vigor des de 2023, però Espanya encara no ha aprovat la llei que la incorpora. L'avantprojecte de Llei de coordinació i governança de la ciberseguretat es va aprovar en primera volta el 14 de gener de 2025 i no ha arribat a les Corts. Mentrestant s'apliquen el Reial decret llei 12/2018 i el RGPD.
Afecta les petites empreses?
Per regla general, no. S'aplica a les mitjanes i grans empreses dels sectors dels annexos I i II. Les petites i microempreses només hi estan obligades en casos concrets, com els proveïdors de comunicacions electròniques públiques, els prestadors de serveis de confiança o l'únic proveïdor d'un servei essencial. Tot i així, poden rebre exigències de seguretat dels seus clients obligats.
En quant de temps cal notificar un incident?
La Directiva preveu una alerta primerenca en 24 hores des que es coneix un incident significatiu, una notificació en 72 hores i un informe final en un mes. Amb independència de la NIS2, qualsevol bretxa de dades personals s'ha de comunicar a l'Agència Espanyola de Protecció de Dades en un màxim de 72 hores, llevat que no suposi un risc per a les persones.
Quines multes preveu?
Per a les entitats essencials, fins a 10 milions d'euros o el 2 % del volum de negoci anual mundial; per a les importants, fins a 7 milions o l'1,4 %, la xifra més alta en tots dos casos. Les multes aplicables a Espanya les fixarà la llei de transposició.
Els administradors en poden ser responsables?
La Directiva obliga els òrgans de direcció a aprovar i supervisar les mesures de ciberseguretat i a formar-se, i permet que responguin pels incompliments. L'abast d'aquesta responsabilitat a Espanya dependrà de la llei que s'aprovi.
Els teus clients et demanen complir requisits de ciberseguretat?
A Assessoria Amela revisem els contractes amb clients i proveïdors, les clàusules de seguretat i protecció de dades i les obligacions legals de la teva empresa. Parla del teu cas amb els nostres advocats civilistes a Terrassa a l'Av. de Béjar, 45 o al C/ Bartrina, 240.
Si el teu cas és a Terrassa o al Vallès, demana cita presencial i un advocat de l'àrea corresponent estudiarà la teva situació.
Demana cita amb els nostres advocats a Terrassa →