La NIS2 para empresas es el marco normativo de ciberseguridad más amplio que ha aprobado la Unión Europea hasta la fecha. La directiva, que actualiza la anterior normativa NIS de 2016, extiende las obligaciones de seguridad a un número considerablemente mayor de organizaciones, endurece el régimen sancionador e introduce por primera vez la responsabilidad personal de los órganos de dirección. Para cualquier empresa que opere en sectores regulados o que preste servicios a entidades críticas, entender esta normativa ya no es una cuestión opcional.

España completó la transposición de la directiva NIS2, cuyo plazo fijado por la UE era el 17 de octubre de 2024. Sin embargo, el nivel de preparación de muchas organizaciones sigue siendo insuficiente. El salto en exigencia respecto a la normativa anterior es considerable, y muchas empresas medianas y grandes están aún en proceso de identificar qué les aplica, qué controles les faltan y cuál es el camino más eficiente para llegar al cumplimiento.

Qué organizaciones están obligadas a cumplir la normativa

La directiva NIS2 clasifica a las organizaciones en dos categorías: entidades esenciales y entidades importantes. Las esenciales pertenecen a sectores como energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital y espacio. Las importantes incluyen servicios postales, gestión de residuos, fabricación crítica, química, alimentación y proveedores digitales no incluidos en la primera categoría.

El criterio de tamaño establece que quedan incluidas las organizaciones con al menos 50 empleados o 10 millones de euros de facturación anual. Existen excepciones para entidades más pequeñas que sean el único proveedor nacional de un servicio esencial. Un detalle relevante para muchas pymes es que si son proveedoras habituales de una entidad esencial, también pueden quedar sometidas a los requisitos de seguridad de la cadena de suministro, aunque no sean directamente sujetos obligados por la norma.

• Entidades esenciales: energía, banca, transporte, sanidad, infraestructura digital y espacio.
• Entidades importantes: fabricación crítica, alimentación, residuos, química y servicios digitales de menor criticidad.
• Umbral de tamaño: organizaciones con 50 o más empleados o 10 millones EUR en ingresos anuales.
• Proveedores de entidades afectadas: pueden quedar sujetos a exigencias de seguridad a través de la cadena de suministro.
• Pequeñas empresas críticas: si son el único proveedor de un servicio esencial, quedan incluidas independientemente del tamaño.

Las principales obligaciones que establece la directiva

La NIS2 impone obligaciones en cuatro áreas principales. La primera es la gestión del riesgo de ciberseguridad: las organizaciones deben identificar sus activos, evaluar los riesgos y aplicar medidas proporcionales. No es suficiente tener herramientas instaladas: hay que demostrar que existe un proceso sistemático de análisis y gestión del riesgo.

La segunda área es la notificación de incidentes. Ante un incidente significativo, la empresa tiene 24 horas para enviar una alerta inicial a la autoridad competente y 72 horas para un informe más detallado. La tercera es la seguridad de la cadena de suministro, que obliga a evaluar los riesgos que introduce cada proveedor crítico. La cuarta es la continuidad del negocio: planes de recuperación ante desastres, gestión de crisis y medidas para mantener la operación ante un incidente grave. La ciberresiliencia empresarial ya no es una aspiración: la normativa la convierte en un requisito exigible.

Un análisis de Xataka con expertos del sector pone de manifiesto que las empresas en España siguen yendo a remolque del cibercrimen, lo que convierte la NIS2 en una oportunidad para cambiar ese patrón de forma estructurada.

Medidas técnicas y organizativas que exige el cumplimiento

La directiva NIS2 es muy concreta sobre los controles que deben estar en marcha. Entre los más relevantes: autenticación multifactor para accesos privilegiados y sistemas críticos; políticas de gestión de vulnerabilidades que incluyan la monitorización continua y la aplicación de parches de forma estructurada; cifrado de datos en tránsito y en reposo; y planes de formación y concienciación para empleados. A nivel organizativo, se exige la asignación formal de responsabilidades en materia de ciberseguridad a la alta dirección, lo que supone un cambio importante en muchas organizaciones.

Uno de los vectores de ataque que la normativa pretende mitigar es precisamente el del ransomware y otros ciberataques de alto impacto, que requieren capacidad de detección temprana, respuesta coordinada y recuperación documentada.

Cada vez más organizaciones optan por trabajar con un servicio de ciberseguridad especializado que acompañe el proceso de adaptación completo, desde la revisión inicial de brechas hasta la implementación de los controles y la preparación de la documentación exigida por la norma.

Sanciones y responsabilidad de la dirección en caso de incumplimiento

El régimen sancionador de la NIS2 es considerablemente más severo que el de la directiva anterior. Para las entidades esenciales, las multas pueden alcanzar los 10 millones de euros o el 2 % de la facturación global anual. Para las entidades importantes, el límite es de 7 millones o el 1,4 % de la facturación. Se aplica siempre el importe más elevado de los dos.

El aspecto que más preocupa a los consejos de administración es la responsabilidad personal de los miembros de la dirección. La directiva prevé que los órganos de gobierno de las entidades esenciales puedan ser considerados responsables directos en caso de incumplimiento grave, lo que convierte este tema en una cuestión que trasciende al departamento IT y aterriza directamente en el nivel ejecutivo. Algunas organizaciones están aprovechando este contexto para reforzar su comunicación externa sobre su postura de seguridad, algo que encaja con una estrategia de marketing digital orientada a generar confianza y credibilidad ante clientes y socios.

Las empresas de Barcelona, Madrid y del conjunto de España que todavía no han iniciado su proceso de adaptación a la NIS2 se enfrentan a un riesgo creciente: regulatorio, operativo y reputacional. El primer paso es determinar si la organización está en el ámbito de aplicación de la norma. A partir de ahí, la hoja de ruta incluye el análisis de brechas, la priorización de controles por nivel de riesgo y la documentación del sistema de gestión de seguridad. La ciberseguridad para empresas es, en 2026, una decisión que toman los equipos de dirección, no solo los técnicos.