La Directiva (UE) 2022/2555 (conocida como NIS2) sustituye a la antigua Directiva NIS de 2016 y obliga a un universo mucho más amplio de empresas a reforzar su ciberseguridad. España todavía no ha completado la transposición: el Proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, sigue en tramitación parlamentaria, y mientras tanto continúa vigente el Real Decreto-ley 12/2018 que transpuso NIS1. La Comisión Europea abrió procedimiento de infracción por el retraso y el 8 de julio de 2026 recurrió a España ante el Tribunal de Justicia de la UE solicitando sanciones económicas. Si tu organización tiene 50 o más empleados o factura más de 10 millones de euros y opera en uno de los 18 sectores incluidos, NIS2 te aplica.
En esta guía explicamos qué obligaciones impone NIS2, a quién se aplica en España, los plazos clave de notificación de incidentes (24h / 72h / 1 mes), las multas (hasta 10 millones de euros o el 2% de la facturación mundial) y el checklist técnico de adecuación que aplicamos en proyectos reales.
¿Qué es la Directiva NIS2?
NIS2 es la segunda directiva europea sobre seguridad de redes y sistemas de información, formalmente la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022. Sustituye a la Directiva NIS de 2016 (NIS1) y entró en vigor el 16 de enero de 2023, con plazo de transposición hasta el 17 de octubre de 2024.
Su objetivo es elevar de forma armonizada el nivel mínimo de ciberseguridad en la Unión Europea, ampliando los sectores obligados, endureciendo las medidas técnicas y de gobernanza y unificando los plazos de notificación de incidentes.
De NIS1 a NIS2: por qué cambió
NIS1 mostró tres grandes debilidades:
- Cobertura insuficiente: solo aplicaba a "operadores de servicios esenciales" identificados de forma manual por cada país, lo que generó disparidades enormes entre Estados miembros.
- Régimen sancionador débil: las multas eran muy distintas entre países y rara vez disuasorias.
- Notificación de incidentes inconsistente: los plazos y formatos variaban, dificultando la respuesta coordinada europea.
NIS2 corrige los tres frentes: define categorías automáticas según sector y tamaño, fija multas mínimas armonizadas y establece un régimen único de notificación 24h/72h/1 mes.
Estado de la transposición en España (septiembre 2026)
España incumplió el plazo del 17 de octubre de 2024 y, a fecha de esta actualización, sigue sin haber completado la transposición. El texto llamado a hacerlo es el Proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que el Consejo de Ministros aprobó como anteproyecto el 14 de enero de 2025 y que crea un Centro Nacional de Ciberseguridad como autoridad nacional competente y punto de contacto único. Su tramitación parlamentaria no ha concluido.
Hitos clave del proceso:
| Fecha | Hito |
|---|---|
| 17 oct 2024 | Vence el plazo europeo de transposición de la Directiva (UE) 2022/2555 |
| 28 nov 2024 | La Comisión Europea envía cartas de emplazamiento a los Estados miembros que no han notificado medidas de transposición |
| 14 ene 2025 | El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad |
| 7 may 2025 | La Comisión envía dictamen motivado a 19 Estados miembros, España incluida, con dos meses para responder |
| 8 jul 2026 | La Comisión recurre a Irlanda, España, Francia y Países Bajos ante el TJUE y pide sanciones económicas (suma a tanto alzado y multa diaria hasta que se notifique la transposición completa) |
Fuentes: Comisión Europea, dictamen motivado de 7 de mayo de 2025, Comisión Europea, recurso ante el TJUE de 8 de julio de 2026 y Departamento de Seguridad Nacional, anteproyecto de ley.
Nota: el estado normativo evoluciona. Verifica siempre la versión consolidada en el BOE y los avisos de INCIBE-CERT antes de tomar decisiones operativas.
Qué obligaciones son exigibles hoy, sin ley de transposición
El retraso no deja a las empresas en un vacío normativo:
- Sigue vigente el Real Decreto-ley 12/2018, desarrollado por el Real Decreto 43/2021, que transpuso NIS1 y ya obliga a los operadores de servicios esenciales y a los proveedores de servicios digitales a gestionar riesgos y a notificar incidentes a su CSIRT de referencia.
- El Reglamento de Ejecución (UE) 2024/2690 es directamente aplicable, sin necesidad de transposición, a proveedores de DNS, registros de nombres de dominio de primer nivel, cloud, centros de datos, CDN, proveedores de servicios gestionados y de seguridad gestionada, mercados en línea, motores de búsqueda, redes sociales y prestadores de servicios de confianza: fija los requisitos técnicos y metodológicos de las medidas del artículo 21 y los umbrales a partir de los cuales un incidente se considera significativo para esas entidades.
- El Reglamento DORA es directamente aplicable a las entidades financieras desde el 17 de enero de 2025.
- Los clientes y reguladores europeos ya trasladan contractualmente requisitos alineados con NIS2 a su cadena de suministro, con independencia del calendario español.
¿A quién aplica NIS2 en España?
NIS2 introduce dos categorías de entidades obligadas, basadas en una combinación de sector y tamaño.
Entidades esenciales (Anexo I: 11 sectores)
Aplica a empresas medianas o grandes (≥ 50 empleados o > 10 M€ facturación) en estos sectores:
- Energía (electricidad, gas, petróleo, hidrógeno, calefacción urbana)
- Transporte (aéreo, ferroviario, marítimo, carretera; ver ciberseguridad en logística y transporte bajo NIS2)
- Banca
- Mercados financieros
- Sanidad (hospitales, laboratorios, fabricación de medicamentos críticos)
- Agua potable
- Aguas residuales
- Infraestructura digital (DNS, TLD, IXP, cloud, data centers, CDN, servicios de confianza, redes públicas de comunicaciones; ver obligaciones NIS2 para operadores de telecomunicaciones)
- Gestión de servicios TIC B2B (MSP/MSSP)
- Administración pública (con excepciones de seguridad nacional)
- Espacio
Entidades importantes (Anexo II: 7 sectores)
Aplica a empresas medianas o grandes en estos sectores:
- Servicios postales y de mensajería
- Gestión de residuos
- Productos químicos
- Producción y distribución de alimentos
- Fabricación (productos sanitarios, ordenadores, equipos eléctricos, vehículos, otra maquinaria)
- Proveedores digitales (mercados en línea, motores de búsqueda, plataformas sociales; ver ciberseguridad para retail, eCommerce y marketplaces)
- Investigación
Umbrales de tamaño: cómo se calculan
La directiva remite a la definición de PYME de la Recomendación 2003/361/CE de la Comisión, y el cómputo se hace de forma consolidada con las empresas asociadas y vinculadas:
- Gran empresa: 250 o más empleados, o más de 50 M€ de facturación y más de 43 M€ de balance. En un sector del Anexo I es, por regla general, entidad esencial.
- Mediana empresa: entre 50 y 249 empleados, o entre 10 M€ y 50 M€ de facturación. En sectores de los Anexos I y II es, por regla general, entidad importante, salvo las categorías que la propia directiva califica como esenciales con independencia del tamaño (DNS, TLD, prestadores cualificados de servicios de confianza, administración pública central).
- Pequeña y microempresa: fuera de NIS2 salvo las excepciones sectoriales que se detallan a continuación.
Esencial o importante: qué cambia en la práctica
| Aspecto | Entidad esencial | Entidad importante |
|---|---|---|
| Supervisión | Ex ante y ex post: la autoridad puede inspeccionar sin que medie incidente | Ex post: la autoridad actúa tras un incidente, una denuncia o un indicio de incumplimiento |
| Auditorías | La autoridad puede ordenar auditorías periódicas y específicas | Solo tras indicios de incumplimiento |
| Multa máxima | 10 M€ o 2% de la facturación mundial anual, la mayor | 7 M€ o 1,4% de la facturación mundial anual, la mayor |
| Medidas accesorias | Suspensión de certificaciones e inhabilitación temporal de directivos | Publicación del incumplimiento y órdenes vinculantes; sin suspensión de certificaciones ni inhabilitación |
Las obligaciones de fondo (medidas del artículo 21 y notificación de incidentes) son idénticas para ambas categorías. Lo que cambia es la intensidad de la supervisión y el techo sancionador.
¿Estoy obligado si soy PYME?
Por defecto NIS2 no aplica a microempresas y pequeñas empresas (menos de 50 empleados y ≤ 10 M€ facturación), salvo excepciones tasadas:
- Proveedores únicos de un servicio en el Estado miembro
- Operadores de DNS, TLD, registros de nombres de dominio
- Proveedores cualificados de servicios de confianza
- Entidades cuya interrupción afecte a la seguridad pública
- Administraciones públicas
Si tu empresa suministra a una entidad obligada NIS2, no estás bajo NIS2 directamente, pero tu cliente debe gestionar el riesgo de su cadena de suministro: en la práctica, te exigirán contractualmente medidas equivalentes.
Las obligaciones clave del artículo 21
NIS2 detalla en su artículo 21 las áreas mínimas obligatorias que toda entidad obligada debe cubrir con medidas técnicas, operativas y organizativas.
1. Análisis de riesgos y políticas de seguridad
Política de seguridad aprobada por dirección, análisis de riesgos vivo, criterios de tratamiento documentados.
2. Gestión de incidentes
Procedimiento documentado de detección, clasificación, respuesta y comunicación. Conexión con notificación 24h/72h.
3. Continuidad de actividad
Copias de seguridad, recuperación tras desastre, gestión de crisis. RTO y RPO por servicio crítico, BCP/DRP probados.
4. Seguridad de la cadena de suministro
Inventario de proveedores TIC críticos, evaluación periódica, cláusulas contractuales y consideración del riesgo de concentración. Es una de las novedades más importantes respecto a NIS1. Para los proveedores que fabrican hardware o software, el Cyber Resilience Act (CRA) añade obligaciones de seguridad de producto a lo largo de todo el ciclo de vida que refuerzan esta diligencia sobre la cadena de suministro.
5. Seguridad en adquisición, desarrollo y mantenimiento
SDLC seguro, gestión de vulnerabilidades, política de divulgación responsable, gestión segura de cambios y configuración.
6. Evaluación de eficacia
Auditorías internas, pentesting, métricas de seguridad y revisión por la dirección. Es la palanca que diferencia un cumplimiento real de uno cosmético.
7. Ciberhigiene básica y formación
Formación obligatoria del personal con campañas de phishing simulado y, específicamente para el órgano de dirección, formación periódica documentada.
8. Criptografía y cifrado
Estándares de criptografía corporativos, gestión de claves, cifrado en reposo y en tránsito.
9. Recursos humanos, control de acceso y gestión de activos
Verificación de antecedentes, segregación de funciones, IAM, inventario de activos.
10. Autenticación multifactor y comunicaciones seguras
MFA en accesos privilegiados y remotos, comunicación cifrada, canales out-of-band para emergencias.
Estos mismos controles (MFA, copias, EDR, cifrado) son la base que exigen hoy las aseguradoras: constituyen los controles mínimos para contratar un ciberseguro y condicionan qué cubre realmente una póliza de ciberriesgo tras un incidente.
Notificación de incidentes graves: 24h / 72h / 1 mes
NIS2 unifica el régimen de notificación con tres hitos obligatorios:
| Plazo | Acción |
|---|---|
| 24 horas desde el conocimiento | Alerta temprana al CSIRT competente con indicación de si el incidente puede ser causado por actos ilícitos o de naturaleza maliciosa, e impacto transfronterizo |
| 72 horas | Notificación de incidente con evaluación inicial, severidad, impacto, indicadores de compromiso (IoC) si los hay y medidas adoptadas |
| A petición del CSIRT | Informe intermedio con el estado de la respuesta y las actualizaciones relevantes mientras dura el incidente |
| 1 mes | Informe final con descripción detallada, causa raíz, medidas correctivas e impacto transfronterizo |
Aviso: si el incidente afecta a datos personales, se activa en paralelo la notificación a la AEPD (RGPD art. 33) en 72h. Son procedimientos independientes que pueden generar sanciones acumulables.
Para entidades del sector financiero sometidas al Reglamento DORA, el régimen DORA es lex specialis y prevalece: la notificación inicial de un incidente grave relacionado con las TIC debe enviarse en las 4 horas siguientes a su clasificación como grave y, como máximo, 24 horas después de tener conocimiento de él.
Para los proveedores de infraestructura digital (DNS, TLD, cloud, centros de datos, CDN, MSP y MSSP, mercados en línea, motores de búsqueda, redes sociales y servicios de confianza), los umbrales que convierten un incidente en significativo ya están fijados en el Reglamento de Ejecución (UE) 2024/2690 y son de aplicación directa.
Régimen sancionador: multas y responsabilidades
| Categoría | Multa máxima |
|---|---|
| Entidades esenciales | Hasta 10 millones de euros o el 2% de la facturación mundial total anual, lo que sea mayor |
| Entidades importantes | Hasta 7 millones de euros o el 1,4% de la facturación mundial total anual, lo que sea mayor |
Adicionalmente, las autoridades pueden:
- Suspender temporalmente certificaciones o autorizaciones
- Prohibir el ejercicio de funciones directivas (inhabilitación) a personas físicas responsables del incumplimiento
- Publicar sanciones de forma nominativa
- Imponer multas coercitivas diarias hasta el cumplimiento
La responsabilidad personal de directivos es uno de los cambios más relevantes y obliga a los consejos a documentar de forma trazable su due diligence en ciberseguridad. Es una de las razones por las que la formalización del rol CISO está acelerándose en empresas afectadas.
Autoridades competentes y CSIRT de referencia en España
Hasta que la nueva ley designe formalmente las autoridades NIS2, el mapa institucional que opera hoy es el que fijan el Real Decreto-ley 12/2018 y el Real Decreto 43/2021:
| Organismo | Ámbito |
|---|---|
| INCIBE-CERT | CSIRT de referencia para el sector privado y para las entidades que no entran en el ámbito del CCN-CERT |
| CCN-CERT | CSIRT de referencia para el sector público y para las entidades sujetas al Esquema Nacional de Seguridad |
| ESPDEF-CERT | CSIRT del Ministerio de Defensa para las redes y sistemas de defensa y sus contratistas |
| Autoridades sectoriales | Ministerios competentes por sector (energía, transporte, sanidad, agua y otros) y, para el sector financiero, los supervisores en coordinación con DORA |
| Centro Nacional de Ciberseguridad | Autoridad nacional única y punto de contacto previstos en el proyecto de ley, todavía no operativo |
A escala europea, ENISA mantiene la red de CSIRT nacionales y publica guías técnicas de implantación, y la Comisión Europea mantiene un seguimiento público del estado de transposición por Estado miembro.
Para una empresa privada, la consecuencia práctica es sencilla: el canal de notificación 24h/72h/1 mes se prepara hoy con INCIBE-CERT como interlocutor y se revisa cuando la ley nacional designe las autoridades definitivas.
Checklist técnico de adecuación a NIS2
Esta es la metodología que aplicamos en proyectos reales de adecuación NIS2. Hay una guía dedicada en Auditoría NIS2: cómo prepararse paso a paso con la versión completa.
Paso 1: Determinación de aplicabilidad y categoría
- Revisión de actividades CNAE/NACE frente a Anexos I y II
- Cómputo consolidado de empleados y facturación a nivel de grupo
- Identificación de filiales y entidades del grupo afectadas
- Confirmación con la autoridad competente cuando hay duda razonable
Entregable: documento formal de aplicabilidad firmado por el órgano de dirección.
Paso 2: GAP analysis frente al artículo 21
- Mapeo de los 10 dominios del artículo 21 contra los controles existentes
- Recolección de evidencias actuales (políticas, registros, configuraciones)
- Clasificación de gaps por criticidad y esfuerzo
- Comparativa con marcos existentes: ISO 27001:2022, ENS Real Decreto 311/2022, NIST CSF 2.0
Si tienes ISO 27001:2022 implantada, partes de aproximadamente un 65-75% del camino. Los huecos típicos son notificación 24h/72h, gestión formal de cadena de suministro y formación específica del consejo. Detalle completo en ISO 27001 + NIS2.
Paso 3: Auditoría técnica
NIS2 no exige una "certificación NIS2" formalmente, pero sí evaluar la eficacia. En la práctica:
- Pentesting de aplicaciones y perímetros relevantes
- Auditoría de arquitectura y segmentación
- Revisión de la cadena de suministro TIC
- Threat modeling de los servicios cuya interrupción supondría incidente significativo
Paso 4: Plan de notificación de incidentes
- Procedimiento documentado 24h/72h/1 mes
- Plantillas de notificación al CSIRT competente
- Designación de roles (Incident Response Manager, portavoz, asesoría jurídica)
- Conexión con el plan de continuidad y crisis
- Simulacros mínimo anuales
Paso 5: Programa de cadena de suministro
- Inventario priorizado de proveedores TIC críticos
- Cláusulas tipo NIS2 en contratos nuevos y renovaciones
- Cuestionarios anuales de seguridad y evidencias asociadas
- Threat modeling continuo por equipo de producto/servicio crítico
Plan de cumplimiento NIS2 en 12 meses
Para una organización mediana sin madurez previa, el checklist anterior se despliega de forma realista en un horizonte de 9 a 14 meses. Este es el reparto por fases que usamos como referencia:
| Fase | Meses | Contenido | Entregable |
|---|---|---|---|
| 0. Aplicabilidad y registro | 1 | Determinar categoría y entidades del grupo afectadas, designar responsable de seguridad, mapear servicios críticos | Documento de aplicabilidad aprobado por la dirección |
| 1. GAP analysis | 2 a 3 | Evaluación de madurez de los 10 dominios del artículo 21 (escala 0 a 5) y priorización por riesgo e impacto regulatorio | Informe de gaps con plan de remediación y estimación de esfuerzo |
| 2. Controles prioritarios | 3 a 8 | Procedimiento 24h/72h, MFA en accesos privilegiados y remotos, copias cifradas e inmutables, gestión de proveedores TIC críticos, formación del consejo | Controles operativos con evidencia de aplicación |
| 3. Documentación | 6 a 9 (en paralelo) | Política maestra, políticas por dominio, procedimientos y registros | Cuerpo documental usable, no decorativo |
| 4. Pruebas y simulacros | 9 a 10 | Pentesting interno y externo, revisión de configuración cloud e IAM, tabletop con dirección, simulacro de notificación al CSIRT, ejercicio de recuperación ante ransomware | Informes de prueba y actas de simulacro |
| 5. Auditoría externa | 10 a 12 | Auditoría independiente de cumplimiento y, opcionalmente, certificación ISO 27001:2022 en paralelo | Informe defendible ante la autoridad |
Después del mes 12 el trabajo no termina: revisión anual del análisis de riesgos, actualización del inventario de proveedores, formación recurrente, simulacros periódicos y métricas trimestrales a la dirección. NIS2 es una capacidad permanente, no un proyecto con fecha de fin.
NIS2 frente a ISO 27001, ENS y DORA
| Marco | Alcance | Obligatoriedad | Certificable | Base normativa |
|---|---|---|---|---|
| NIS2 | Ciberseguridad de las entidades esenciales e importantes de los Anexos I y II | Obligatoria para los sujetos incluidos | No: es cumplimiento normativo, no certificación | Directiva (UE) 2022/2555 y futura ley de transposición |
| ISO 27001:2022 | Sistema de gestión de seguridad de la información, cualquier sector | Voluntaria | Sí, auditoría de tercera parte acreditada | Norma internacional |
| ENS | Sistemas de información del sector público y de sus proveedores | Obligatoria para las AAPP y los proveedores que tratan su información | Sí: certificación o autoevaluación según categoría | Real Decreto 311/2022 |
| DORA | Resiliencia operativa digital del sector financiero | Obligatoria para entidades financieras y proveedores TIC críticos | No | Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025 |
Una entidad financiera grande puede estar sujeta a NIS2, a DORA y, si presta servicios a la administración, al ENS. La estrategia eficiente es un único sistema de gestión con estructura ISO 27001:2022 y extensiones específicas por marco, en lugar de tres programas paralelos. Detalle en Esquema Nacional de Seguridad: requisitos y categorización y DORA vs NIS2.
Errores frecuentes detectados en auditorías
- Subestimar la aplicabilidad por filial extranjera: las entidades europeas computan a nivel de grupo cuando la prestación del servicio se hace en la UE.
- Confundir notificación NIS2 con la AEPD: son procedimientos independientes; un incidente con datos personales obliga a ambos.
- Apoyarse solo en la cláusula contractual con proveedores: NIS2 exige verificación, no solo declaración firmada.
- No formar al órgano de dirección: la formación específica del consejo es obligatoria y revisable.
- Tratar la notificación de 24h como informativa: la alerta temprana es una obligación legal con consecuencias sancionadoras si se omite.
- No conservar trazabilidad de las decisiones del consejo: la responsabilidad personal exige actas y evidencia de due diligence.
- Acreditar la eficacia con cuestionarios: las respuestas declarativas del equipo TI no demuestran nada. La autoridad valora pruebas reales: pentesting con resultados, simulacros documentados y, cuando el tamaño lo justifica, ejercicios de red team o TLPT.
- Inventariar solo a los proveedores TIC directos: centro de datos, ISP, cloud, software corporativo, herramientas de monitorización y MSSP son dependencias críticas que suelen quedar fuera del alcance inicial. La cadena se mapea de extremo a extremo con criterios objetivos de impacto.
Lo que vemos en los encargos
En las medianas empresas que ya tienen ISO 27001, la obligación del artículo 21 que más cuesta es la gestión de incidentes con notificación en 24 y 72 horas: suele existir un procedimiento escrito, pero no la cadena de aviso, las plantillas ni un simulacro que lo haya probado. En los clientes sin SOC lo resolvemos con un procedimiento interno con plantillas de notificación por fase (alerta temprana, notificación, informe final) y un simulacro anual.
Preguntas frecuentes
¿Está NIS2 transpuesta en España?
No. A septiembre de 2026 el Proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación parlamentaria y la Comisión Europea ha recurrido a España ante el TJUE (8 de julio de 2026) por no haber notificado la transposición completa. Mientras tanto siguen aplicando el Real Decreto-ley 12/2018 (NIS1), el Reglamento de Ejecución (UE) 2024/2690 para la infraestructura digital y DORA para el sector financiero.
¿A qué empresas aplica NIS2 en España?
A entidades de los sectores listados en los Anexos I y II con 50+ empleados o > 10 M€ de facturación, además de excepciones tasadas para PYMEs en sectores muy críticos (DNS, TLDs, servicios de confianza cualificados, AAPP, etc.).
¿Cuáles son las multas por incumplir NIS2?
Hasta 10 millones de euros o el 2% de la facturación mundial para entidades esenciales y hasta 7 millones o el 1,4% para importantes. Adicionalmente puede inhabilitarse a directivos para ejercer funciones de dirección.
¿Qué diferencia a NIS2 de NIS1?
NIS2 amplía el universo de obligados, endurece las multas, introduce la responsabilidad personal de directivos, fija plazos armonizados de notificación 24h/72h e incorpora gestión obligatoria de la cadena de suministro. Análisis completo en NIS2 vs NIS1: diferencias clave.
¿Tengo que notificar todos los incidentes en 24 horas?
No. Solo los incidentes graves, definidos como aquellos que han causado o pueden causar interrupciones operativas significativas, pérdidas financieras importantes o afectar a otras personas físicas o jurídicas. Otros incidentes deben registrarse internamente pero no notificarse formalmente.
Si tengo ISO 27001, ¿cumplo con NIS2?
Parcialmente. ISO 27001:2022 cubre alrededor del 70% de las obligaciones del artículo 21. Los huecos típicos son notificación 24h/72h, gestión formal de cadena de suministro y formación del consejo. Ver guía dedicada en ISO 27001 + NIS2.
¿NIS2 sustituye al ENS si soy proveedor de la administración?
No, son marcos complementarios. El ENS regula los sistemas que tratan información o prestan servicios del sector público, incluidos los de sus proveedores. NIS2 regula la ciberseguridad de las entidades de los sectores designados. Un proveedor TIC de la administración puede tener obligaciones ENS por su contrato y obligaciones NIS2 por su sector y tamaño. La integración eficiente se construye sobre un sistema de gestión común.
¿Cómo demuestro el cumplimiento ante un auditor o la autoridad?
Con evidencias documentales y operativas: políticas aprobadas y vigentes, análisis de riesgos actualizado, registro de incidentes con tiempos de detección y respuesta, registros de notificaciones al CSIRT, registros de formación (incluida la del consejo), resultados de pruebas técnicas, actas de revisión por la dirección, métricas de seguridad, inventarios de activos y proveedores, y contratos con cláusulas de seguridad. La regla es la trazabilidad: cualquier afirmación de cumplimiento debe poder respaldarse con un registro.
Adecua tu organización a NIS2 con Secra
La Directiva NIS2 representa el mayor cambio regulatorio en ciberseguridad de la última década en Europa. Para las empresas españolas, la combinación del retraso en la transposición y la presión de la Comisión Europea crea un escenario donde la preparación anticipada es la mejor estrategia.
En Secra acompañamos a organizaciones en todo el proceso de adecuación a NIS2: desde el análisis de aplicabilidad y el GAP analysis frente al artículo 21 hasta la implementación técnica y la realización de auditorías de seguridad ofensivas que validan la eficacia real de las medidas.
→ Conoce nuestro servicio especializado en NIS2
→ Solicita una conversación inicial sin compromiso
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), texto en español publicado en el DOUE
- Reglamento de Ejecución (UE) 2024/2690: requisitos técnicos e incidentes significativos en infraestructura digital
- Comisión Europea: página oficial de la Directiva NIS2
- Comisión Europea: recurso ante el TJUE contra Irlanda, España, Francia y Países Bajos (8 de julio de 2026)
- Departamento de Seguridad Nacional: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
- Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información
- Real Decreto 43/2021, que desarrolla el Real Decreto-ley 12/2018
- Real Decreto 311/2022, Esquema Nacional de Seguridad
Lecturas relacionadas del cluster compliance
- Reglamento DORA: alcance, plazos y obligaciones
- Auditoría NIS2: cómo prepararse paso a paso
- DORA vs NIS2: cuándo aplica cada uno
- Directiva NIS2: a quién aplica, multas y plazos
- NIS2 vs NIS1: diferencias clave
- ISO 27001 + NIS2: cómo se complementan
- Esquema Nacional de Seguridad (ENS): requisitos y categorización
Fuentes
Sobre el autor
Jose Luis Bueno Díaz, COO y cofundador
Ethical hackers certificados OSCP, OSEP, OSWE, CRTO, CRTL y CARTE, con más de 7 años de experiencia en ciberseguridad ofensiva. Autores de los CVE-2025-40652 y CVE-2023-3512.