La Directiva (UE) 2022/2555, conocida como NIS2, obliga a las empresas medianas y grandes de sectores como la energía, el transporte, la salud, la alimentación, la fabricación industrial, los residuos o los servicios digitales a gestionar sus riesgos de ciberseguridad y a notificar los incidentes graves. España todavía no la ha incorporado a su derecho: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta en enero de 2025 y no ha llegado a las Cortes. Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 y, para cualquier empresa, la obligación del RGPD de comunicar las brechas de datos personales en 72 horas.
Un ataque informático puede parar una empresa durante días: facturas que no salen, pedidos que no se sirven, datos de clientes expuestos. La Unión Europea respondió a este riesgo con la Directiva NIS2, que endurece las obligaciones de ciberseguridad de miles de empresas. Muchas pymes del Vallès han oído hablar de ella a través de sus clientes o de sus proveedores de informática, y no siempre con información exacta.
En Asesoría Amela hemos preparado esta guía para aclarar tres cosas: a quién se aplica, qué exige y en qué punto está su incorporación al derecho español, que a día de hoy sigue pendiente.
Qué es la Directiva NIS2
La Directiva (UE) 2022/2555 sustituye a la primera directiva europea de seguridad de las redes y sistemas de información (la NIS de 2016). Amplía mucho la lista de sectores afectados, fija medidas mínimas de seguridad, establece plazos para notificar los incidentes y hace responsables a los órganos de dirección de las empresas.
Como toda directiva, no se aplica directamente a las empresas: cada Estado debe incorporarla con una ley propia. El plazo para hacerlo terminó el 17 de octubre de 2024.
En qué punto está en España
España no ha aprobado todavía esa ley. El Consejo de Ministros aprobó el 14 de enero de 2025, en primera vuelta, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero el texto no se ha remitido a las Cortes. El 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea por no haber completado la transposición.
Las Cortes se disolvieron el 6 de octubre de 2026 con la convocatoria de elecciones generales para el 29 de noviembre, de modo que la ley no se aprobará antes de que se forme el nuevo Parlamento. El contenido definitivo, incluidas las multas, dependerá del texto que finalmente se apruebe.
Mientras tanto siguen en vigor:
- El Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, y su reglamento (Real Decreto 43/2021), que obligan a los operadores de servicios esenciales y a determinados proveedores de servicios digitales.
- El Esquema Nacional de Seguridad (Real Decreto 311/2022), para las administraciones públicas y las empresas que les prestan servicios tecnológicos.
- El Reglamento General de Protección de Datos, que obliga a cualquier empresa que sufra una brecha de datos personales a comunicarla a la Agencia Española de Protección de Datos en un máximo de 72 horas, salvo que sea improbable que suponga un riesgo para las personas afectadas.
¿Afecta a mi empresa?
La Directiva combina dos criterios: el sector en el que trabaja la empresa y su tamaño.
Los sectores
El anexo I recoge los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
El anexo II añade otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación de productos sanitarios, electrónicos, eléctricos, maquinaria y vehículos, proveedores digitales (mercados en línea, motores de búsqueda y redes sociales) e investigación.
El tamaño
Por regla general solo quedan obligadas las medianas y grandes empresas de esos sectores: las que tienen 50 trabajadores o más, o las que superan a la vez los 10 millones de euros de volumen de negocio y de balance. Las pequeñas empresas y las microempresas quedan fuera, salvo excepciones: por ejemplo, los proveedores de redes o servicios de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los registros de nombres de dominio, o la empresa que sea el único proveedor de un servicio esencial en su territorio.
La Directiva distingue entre entidades esenciales, en general las grandes empresas de los sectores del anexo I, y entidades importantes, el resto de las obligadas. Las dos tienen las mismas obligaciones de fondo, pero el régimen de supervisión y las multas máximas son distintos.
Las pymes que no están obligadas también lo notarán
Una de las medidas que exige la Directiva es controlar la seguridad de la cadena de suministro. Las empresas obligadas tienen que evaluar a sus proveedores y lo trasladan a los contratos: cuestionarios de seguridad, cláusulas de notificación de incidentes, auditorías o requisitos técnicos mínimos. Por eso una pyme de Terrassa que fabrica componentes, transporta mercancías o presta servicios informáticos a una empresa obligada puede recibir estas exigencias aunque la Directiva no se le aplique directamente.
Qué obligaciones impone la Directiva
Responsabilidad de la dirección
Los órganos de dirección deben aprobar las medidas de ciberseguridad, supervisar su aplicación y recibir formación. La Directiva prevé que puedan responder personalmente por los incumplimientos, en los términos que fije cada ley nacional.
Medidas de gestión de riesgos
El artículo 21 enumera unas medidas mínimas, que deben ser proporcionadas al riesgo y al tamaño de la empresa:
- Análisis de riesgos y políticas de seguridad de los sistemas de información.
- Gestión de incidentes.
- Continuidad de la actividad: copias de seguridad, recuperación y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, incluida la gestión de vulnerabilidades.
- Evaluación periódica de la eficacia de las medidas.
- Buenas prácticas básicas y formación del personal.
- Criptografía y cifrado cuando proceda.
- Seguridad del personal, control de accesos y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
Notificación de incidentes significativos
| Plazo | Qué se comunica |
|---|---|
| 24 horas desde que se conoce el incidente | Alerta temprana: si puede deberse a un acto ilícito o tener efecto en otros países |
| 72 horas | Notificación con una primera evaluación de la gravedad y el impacto |
| Un mes desde la notificación | Informe final con la causa, las medidas aplicadas y el alcance |
En España, la autoridad o el equipo de respuesta (CSIRT) que reciba estas notificaciones lo determinará la ley de transposición.
Multas previstas en la Directiva
La Directiva fija el importe máximo que, como mínimo, deben permitir las leyes nacionales:
| Tipo de entidad | Multa máxima |
|---|---|
| Entidad esencial | 10 millones de euros o el 2 % del volumen de negocio anual mundial, la cifra mayor |
| Entidad importante | 7 millones de euros o el 1,4 % del volumen de negocio anual mundial, la cifra mayor |
Las multas que se impongan en España dependerán de la ley que finalmente se apruebe. Hasta entonces, el régimen sancionador vigente es el del Real Decreto-ley 12/2018 para las entidades a las que se aplica, y el del RGPD para las brechas de datos personales.
Qué puede hacer hoy una pyme
- Comprobar si su actividad está en los anexos I o II y si por plantilla o facturación es mediana empresa.
- Revisar qué piden los clientes que sí estarán obligados y cómo se refleja en los contratos.
- Hacer inventario de sistemas, datos y proveedores críticos.
- Tener copias de seguridad probadas, autenticación multifactor y un plan de actualizaciones.
- Preparar un procedimiento de respuesta a incidentes que incluya la comunicación de brechas a la Agencia Española de Protección de Datos.
- Formar al personal y dejar constancia de las decisiones de la dirección.
La parte técnica corresponde a especialistas en seguridad informática. La parte jurídica, que incluye los contratos con clientes y proveedores, la protección de datos y la responsabilidad de los administradores, conviene revisarla con un abogado.
Preguntas frecuentes sobre la Directiva NIS2
¿La Directiva NIS2 ya es obligatoria en España?
La Directiva está en vigor desde 2023, pero España todavía no ha aprobado la ley que la incorpora. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta el 14 de enero de 2025 y no ha llegado a las Cortes. Mientras tanto se aplican el Real Decreto-ley 12/2018 y el RGPD.
¿Afecta a las pequeñas empresas?
Por regla general, no. Se aplica a las medianas y grandes empresas de los sectores de los anexos I y II. Las pequeñas y microempresas solo están obligadas en casos concretos, como los proveedores de comunicaciones electrónicas públicas, los prestadores de servicios de confianza o el único proveedor de un servicio esencial. Aun así, pueden recibir exigencias de seguridad de sus clientes obligados.
¿En cuánto tiempo hay que notificar un incidente?
La Directiva prevé una alerta temprana en 24 horas desde que se conoce un incidente significativo, una notificación en 72 horas y un informe final en un mes. Con independencia de NIS2, cualquier brecha de datos personales debe comunicarse a la Agencia Española de Protección de Datos en un máximo de 72 horas, salvo que no suponga un riesgo para las personas.
¿Qué multas prevé?
Para las entidades esenciales, hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial; para las importantes, hasta 7 millones o el 1,4 %, la cifra mayor en ambos casos. Las multas aplicables en España las fijará la ley de transposición.
¿Los administradores pueden ser responsables?
La Directiva obliga a los órganos de dirección a aprobar y supervisar las medidas de ciberseguridad y a formarse, y permite que respondan por los incumplimientos. El alcance de esa responsabilidad en España dependerá de la ley que se apruebe.
¿Tus clientes te piden cumplir requisitos de ciberseguridad?
En Asesoría Amela revisamos los contratos con clientes y proveedores, las cláusulas de seguridad y protección de datos y las obligaciones legales de tu empresa. Habla de tu caso con nuestros abogados civilistas en Terrassa en Av. de Béjar, 45 o en C/ Bartrina, 240.
Si tu caso está en Terrassa o en el Vallès, pide cita presencial y un abogado del área que corresponda estudiará tu situación.
Pide cita con nuestros abogados en Terrassa →