La transposición del NIS2 en España condensa un doble reto: por un lado, la lógica comunitaria de la Directiva (UE) 2022/2555, que refuerza la ciberseguridad de servicios esenciales y digitales; por otro, el encaje con un ecosistema español ya maduro en normas sectoriales, en el Esquema Nacional de Seguridad y en expectativas de supervisión cada vez más exigentes.
En la práctica, transponer significa definir quién supervisa, cómo se notifican los incidentes, qué exige la cadena de suministro y cómo se articulan las sanciones. Las organizaciones afectadas no pueden esperar al último párrafo del BOE para ordenar gobierno, inventario y pruebas.
En esta guía reunimos qué cambia con NIS2, dónde está el proceso español, qué obligaciones anticipan los textos europeos y los borradores nacionales, y cómo construir un plan de trabajo creíble sin duplicar los programas que ya tengas en marcha.
Qué es NIS2 y por qué importa la transposición nacional
La directiva NIS2 sustituye y amplía el espíritu de la primera directiva NIS. El texto comunitario fija objetivos mínimos para los Estados miembros: identificar entidades relevantes, imponer medidas de gestión de riesgos, cooperar entre autoridades y exigir notificación temprana de incidentes con impacto.
Lo decisivo para una empresa es que muchas obligaciones operativas nacen ya del texto de la directiva y de la orientación de agencias europeas como ENISA, aunque los detalles de inspección, multas concretas y algunos matices procedimentales acaben filtrados por la ley española y por la práctica del supervisor. Sin transposición completa, persisten zonas grises: quién actúa como autoridad única en cada supuesto, cómo se coordinan el CCN y los supervisores sectoriales, o cómo se documenta el cumplimiento ante una auditoría contractual. Prepararse con criterio europeo reduce sorpresas cuando el marco nacional se cierre.
Calendario europeo y situación en España
El plazo general de transposición venció el 17 de octubre de 2024. Los Estados debían adaptar su legislación para que las reglas fueran aplicables en el ordenamiento interno. Cuando un país incumple ese calendario, la Comisión Europea dispone de vías de control; en paralelo, las entidades no pueden asumir que la ausencia de ley nacional les exime de riesgos reputacionales, contractuales o de continuidad.
En España, el Consejo de Ministros aprobó el 14 de enero de 2025 un anteproyecto de Ley de coordinación y gobernanza de la ciberseguridad orientado a transponer NIS2. El texto pasó audiencia e información pública del 16 de enero al 10 de febrero de 2025 y, desde entonces, sigue en tramitación parlamentaria, pendiente de publicación íntegra en el BOE.
El retraso activó la vía comunitaria de control: en mayo de 2025 la Comisión Europea remitió un dictamen motivado a España y a otros dieciocho Estados miembros por no haber notificado la transposición completa. Disponen de dos meses para responder y adoptar medidas y, de no hacerlo, el asunto puede elevarse al Tribunal de Justicia de la UE. Para seguir el estado oficial país a país, la Comisión mantiene un mapa de transposición de la Directiva NIS2.
La recomendación operativa es tratar el anteproyecto como señal de prioridad política y como borrador de exigencias, pero anclar el programa en la directiva y en los contratos. Cuando el texto legal final entre en vigor se ajustarán procedimientos y plazos; si para entonces ya existen gobierno, análisis de riesgos y canales de incidentes maduros, la brecha será manejable.
Ámbito de aplicación y tipos de entidades
NIS2 simplifica la taxonomía anterior y trabaja con dos grandes categorías: entidades esenciales y entidades importantes. La directiva enumera sectores y tipos de actividad, y el Estado miembro debe concretar los criterios de designación, los umbrales donde proceda y los mecanismos de actualización.
Los sectores cubiertos incluyen energía, transporte, banca, infraestructuras del mercado financiero, salud, agua potable y residual, infraestructuras digitales, gestión de servicios TIC, espacio aéreo, gobierno, servicios postales y de mensajería, gestión de residuos, fabricación de productos químicos, producción y distribución de alimentos, investigación, industria y otros ámbitos digitales relevantes.
Como regla general, la directiva apunta a organizaciones de cierto tamaño, con más de cincuenta empleados o una facturación anual superior a diez millones de euros. Hay excepciones donde el volumen no exime: operadores de telecomunicaciones, prestadores de servicios de confianza, administraciones públicas y quien sea único proveedor de un servicio esencial en el territorio. Conviene contrastar la actividad y el tamaño con el anexo de la directiva, sin asumir una exclusión por ser pyme.
Conviene evitar tres lecturas erróneas muy comunes. La primera es creer que no somos críticos sin contrastar la actividad real frente al anexo de la directiva. La segunda es confiar solo en el tamaño de la empresa, cuando muchos criterios son funcionales y dependen del tipo de servicio y del rol en la cadena de suministro. La tercera es ignorar a los proveedores, porque NIS2 insiste en la cadena de suministro y en la gobernanza de las relaciones con subencargados. Si tu organización presta servicios a entidades que sí están en el radar NIS2, es probable que te exijan controles demostrables aunque no estés designada formalmente como esencial o importante: los contratos trasladan exigencias, auditorías y notificaciones.
Las 5 obligaciones sustantivas de NIS2
1. Gobierno y responsabilidad
La directiva exige que la alta dirección apruebe medidas y asuma responsabilidades. En la práctica, eso significa órdenes internas, asignación de presupuesto, seguimiento en comité de riesgos y trazabilidad de decisiones. Un manual archivado sin firma ni revisión periódica no cumple el espíritu del texto.
2. Gestión de riesgos de ciberseguridad
Hay que identificar activos, amenazas y vulnerabilidades, priorizar tratamientos y conservar evidencia. El Reglamento de Ejecución (UE) 2024/2690 concreta a nivel comunitario la metodología de las medidas del artículo 21, y en España el anteproyecto remite a normas técnicas equivalentes. Aquí encajan los enfoques de ISO 27001 bien adaptados al contexto: no se trata de tener el certificado, sino de que el Sistema de Gestión de Seguridad de la Información refleje lo que ocurre en producción, con la misma lógica de evidencias que aplicamos al documentar controles ISO 27001.
3. Incidentes, detección y notificación
NIS2 refuerza la lógica de notificación temprana cuando un incidente tenga impacto relevante. El borrador nacional español esboza plazos concretos: aviso inicial en veinticuatro horas desde la detección, informe de seguimiento en setenta y dos horas con una primera valoración de impacto, e informe final en el plazo de un mes con las medidas adoptadas. Hasta que el BOE cierre el texto, conviene tratarlos como referencia operativa para runbooks, canales 24/7 donde aplique, acuerdos con proveedores y plantillas de legal y TIC alineadas.
La mejor forma de comprobar que el flujo funciona es ensayarlo con un tabletop: quién declara, quién habla con el supervisor, cómo se preservan las pruebas y qué comunicación va a clientes.
4. Cadena de suministro y relaciones con proveedores
Las evaluaciones de riesgos deben incluir a proveedores TIC y subencargados críticos. En la contratación aparecen cláusulas de auditoría, notificación de incidentes del proveedor y estándares mínimos de configuración. Si ya trabajas modelos similares por RGPD o por normativa del sector financiero con DORA, reutiliza criterios y evita tres regímenes inconexos.
5. Formación y concienciación
El artículo 20 de NIS2 exige que los órganos de dirección reciban formación en ciberseguridad y promuevan una formación equivalente para el resto del personal. No es una recomendación genérica: la responsabilidad arranca en la cúpula. Merece la pena diseñar contenidos por rol para dirección, ingeniería, soporte, administración y perfiles con acceso privilegiado, y asegurar que el nivel directivo lidere con un ejemplo documentado. La evidencia de esa formación es lo que después se pide en una auditoría, como explicamos en la guía para demostrar la formación del personal.
Cómo encaja el ENS y la coordinación sectorial
España dispone de una tradición sólida en el Esquema Nacional de Seguridad y en las guías del CCN-CERT. Los borradores nacionales de transposición suelen insistir en la coherencia con medidas ya exigidas a administraciones y proveedores del sector público.
La implicación práctica es que, si ya alineas tus controles con perfiles ENS o con buenas prácticas del CCN, no partes de cero para NIS2. Debes mapear cada medida ENS frente a las expectativas NIS2, documentar exclusiones y cerrar lagunas en cadena de suministro o en gestión de incidentes si el contrato o la designación lo exigen. Para las entidades que no están en el ámbito ENS pero sí en sectores NIS2, el trabajo es inverso: construir políticas y evidencias comparables, aunque el referente formal sea la directiva y la futura ley española.
Supervisión, inspección y sanciones de NIS2
La directiva refuerza los poderes de supervisión: solicitud de información, auditorías, órdenes de remediación y sanciones proporcionadas. El anteproyecto español fija topes orientativos para infracciones graves: en entidades esenciales, hasta diez millones de euros o el 2 % del volumen de negocio anual; en entidades importantes, hasta siete millones o el 1,4 %, aplicándose en cada caso la cuantía más alta. Son cifras del borrador, sujetas al texto definitivo del BOE.
Más allá de la multa, el coste suele ser contractual: pérdida de licitaciones, rescisiones, daño reputacional y reclamaciones de clientes. Por eso el retorno de invertir en gobierno temprano supera con frecuencia el enfoque puramente reactivo. La mecánica de muestras, entrevistas y pruebas de cierre es la misma que en una auditoría de protección de datos.
Estrategia de cumplimiento en 5 fases
Fase 1. Descubrimiento y alcance
Reúne la actividad mercantil, el mapa de servicios, las dependencias críticas y los contratos marco. Contrasta todo con los anexos de la directiva y con las obligaciones ya impuestas por clientes regulados. La salida de esta fase es una lista priorizada de entidades de negocio y activos críticos.
Fase 2. Línea base de controles y remediación
Evalúa las políticas existentes, el SOC/SIEM, las copias de seguridad, el MFA, la gestión de vulnerabilidades, la gestión de identidades y la segregación de entornos. Documenta las brechas frente a NIS2 y frente al ENS si aplica. Puede servir de apoyo el enfoque que usamos para preparar una auditoría NIS2.
A partir de esa foto fija, prioriza por riesgo residual y por plazos contractuales. Evita los proyectos eternos y trabaja con entregables trimestrales y métricas, como la reducción de cuentas privilegiadas sin MFA o el cierre de vulnerabilidades altas en un número de días acordado.
Fase 3. Incidentes y crisis
Actualiza el plan de respuesta, define roles, integra legal y comunicación, y valida el conjunto con simulacros. Alinea las plantillas de notificación con lo que pedirá la autoridad cuando el texto nacional esté cerrado.
Fase 4. Cadena de suministro
Mantén un inventario de proveedores críticos, revisa los encargos del tratamiento y los anexos de seguridad, acuerda derechos de auditoría equilibrados y fija acuerdos de nivel de servicio para la notificación de incidentes. Donde DORA u otras normas sectoriales solapen, unifica el checklist de terceros.
Fase 5. Evidencia y mejora continua
Conserva actas, informes de prueba, resultados de pentest autorizados y planes de formación. La mejora continua no es un epílogo: es lo que demuestra madurez ante un inspector o ante un auditor de cliente.
Cómo Privalex convierte la transposición NIS2 en un programa sostenible
Privalex es una consultora especializada en certificaciones, cumplimiento normativo y protección de datos, no un despacho genérico ni una gestoría. Acompañamos a responsables de cumplimiento, CISOs y directivos cuando el marco legal se superpone: NIS2, ENS, ISO 27001, DORA y RGPD en el mismo tablero.
Cómo abordamos la transposición en la práctica
Empezamos por un diagnóstico de alcance, traduciendo la actividad y los contratos a un mapa de exposición frente a NIS2 y la normativa española en evolución. A partir de ahí elaboramos una línea base de controles y brechas, contrastando lo que ya existe con lo exigible y con lo que piden los clientes críticos, y proponemos un plan de remediación priorizado, con presupuesto y calendario realistas y entregables verificables.
Cuando llega el momento de responder a un incidente, aportamos playbooks que coordinan legal y TIC, preservan las evidencias y traen plantillas de comunicación listas para usar. Y en la cadena de suministro revisamos cláusulas y mantenemos un checklist de proveedores alineado con varios marcos cuando aplica.
Cómo integramos NIS2 con los marcos que ya tienes
La mayoría de las organizaciones no llegan a NIS2 desde cero, sino desde un ENS, un ISO 27001, un programa de RGPD o un marco sectorial como DORA. Nuestra labor en esa parte es evitar que cada norma se convierta en un proyecto paralelo. Partimos de un único mapa de riesgos y lo cruzamos con las exigencias de cada marco, de forma que un mismo control y una misma evidencia sirvan para varios. Cuando ya existe un sistema de gestión, lo reaprovechamos y añadimos solo lo que NIS2 pide de forma específica, como la notificación temprana de incidentes o la gobernanza reforzada de la cadena de suministro.
Ese enfoque también ordena la relación con clientes y proveedores. Si una entidad esencial traslada sus exigencias por contrato, ayudamos a demostrar que los controles ya existen y a documentar las exclusiones con criterio, sin prometer más de lo que la operación puede sostener. Y si el anteproyecto español cambia algún matiz cuando se publique, ajustamos el mapa en lugar de rehacerlo.
Cómo mantenemos el programa en el tiempo
Nuestro objetivo no es entregar un expediente para una inspección puntual, sino un sistema que siga funcionando cuando cambien el servicio, el proveedor o el riesgo. Trabajamos con entregables trimestrales y métricas, revisamos que cada medida tenga detrás una evidencia viva y preparamos a los equipos para operar el día a día sin depender de nosotros. Para las notificaciones dejamos plantillas y roles definidos, y validamos el flujo con simulacros antes de que llegue un incidente real. La lógica de mantener el cumplimiento en el tiempo es la que aplicamos a cada marco con el que trabajamos.
Buscamos que el cumplimiento sea sostenible: documentación que refleje la operación y no un cúmulo de PDFs que nadie ejecuta. Puedes conocer más sobre Privalex y cómo trabajamos en certificaciones y protección de datos.
Relación con otros marcos que ya tienes en cartera
Muchas organizaciones medianas y grandes ya cruzan RGPD, ENS si tocan sector público, ISO 27001, SOC 2 o DORA en entidades financieras. NIS2 no sustituye esos marcos, pero sí orquesta las expectativas de ciberseguridad a nivel UE.
La integración funciona mejor con un solo mapa de riesgos por capas, en lugar de carpetas duplicadas por cada marco. Ayuda también un comité de seguridad cuyas actas sirvan a varias auditorías a la vez, y un inventario de activos y flujos de datos compartido entre legal, TIC y negocio. Así, un mismo hallazgo alimenta el sistema ISO, el expediente ENS y el reporting NIS2 sin obligar a repetir el trabajo. Ayuda comparar antes en qué se parecen y en qué se diferencian marcos como ISO 27001 y SOC 2.
Roles internos que deben mover ficha
El consejo de administración o la dirección general deben visibilizar el riesgo y aprobar recursos. El anteproyecto prevé además la designación de un responsable de la seguridad de la información que defina e implemente la estrategia, mantenga las evidencias y coordine las notificaciones a la autoridad. En la práctica puede coincidir con el CISO, pero la figura legal exige trazabilidad de funciones y delegaciones.
A partir de ahí, legal y cumplimiento traducen obligaciones a contratos y comunicaciones regulatorias; TI y desarrollo ejecutan controles y gestionan el cambio sin fricción; compras negocia las cláusulas con proveedores; y privacidad alinea la evaluación de impacto y los incidentes personales con el flujo de ciberincidentes, un terreno que conecta con las responsabilidades del DPO en la UE. Los silos son el principal enemigo, porque NIS2 premia la trazabilidad entre las decisiones de riesgo y las medidas desplegadas.
Cooperación europea y redes de respuesta CSIRT
Más allá de las obligaciones de empresa, NIS2 refuerza las redes de respuesta y los mecanismos de cooperación entre Estados miembros. En la práctica, eso puede traducirse en intercambio de información sobre amenazas, coordinación en incidentes transfronterizos y expectativas de transparencia cuando un servicio digital arrastra dependencias en varios países.
Para organizaciones con presencia multinacional, conviene alinear el punto de contacto técnico con el mapa de entidades locales, porque un incidente declarado en un país puede activar preguntas en otro si compartís datos, identidades o proveedores. Documentar los límites de responsabilidad entre filiales y el flujo de escalado reduce fricción en medio de la crisis.
Intensidad de supervisión en esenciales e importantes
La directiva contempla un trato más estricto para las entidades esenciales en aspectos de supervisión y cumplimiento. No siempre significa más controles técnicos en sentido absoluto, pero sí un menor margen ante retrasos en remediación, expectativas más altas de reporting y foco en servicios cuya interrupción arrastra impacto sistémico.
Las entidades importantes no están exentas de rigor: el riesgo es pasar de categoría si cambia el servicio, el volumen de usuarios afectados o la dependencia pública. Merece la pena revisar cada año si el perfil sigue siendo el mismo tras fusiones, nuevos productos o subcontrataciones relevantes.
Pymes, proveedores anidados y efecto dominó
Muchas pymes y empresas SaaS entran en NIS2 como proveedores de entidades designadas, no como titulares del servicio. Aun así, el coste de cumplimiento es real: políticas, acceso remoto seguro, registro de cambios y tiempos de respuesta acotados.
Las estrategias sensatas pasan por plantillas de seguridad negociables a nivel sectorial, el uso de marcos abiertos para alinear expectativas y concentrar el esfuerzo en los cinco o diez controles que más reducen el riesgo, como identidades, copias de seguridad, parches críticos, MFA y segmentación. Privarse de esto suele encarecer el contrato después, cuando el cliente exige auditorías urgentes o cláusulas imposibles de cumplir en plazo.
Due diligence en fusiones, adquisiciones y carve-outs
En las operaciones corporativas, NIS2 añade capas al due diligence tecnológico. ¿Existen deudas ocultas en la gestión de secretos? ¿Hay integraciones sin contrato? ¿Los logs se conservan de forma uniforme? ¿El target notificó incidentes previos? Incorporar estas preguntas al informe de compra evita sorpresas en los primeros cien días y facilita la homologación de políticas bajo un solo programa de gobierno.
Tecnología como habilitador, no como amuleto
Las herramientas ayudan, pero no sustituyen el gobierno. Conviene priorizar la visibilidad de activos, la gestión centralizada de identidades, el registro y la retención segura de logs, la detección básica, los planes de copia de seguridad y recuperación probados, y la gestión de parches con acuerdos de nivel de servicio claros. En entornos cloud conviene apoyarse en un enfoque de seguridad en la nube.
En auditoría aparecen señales de alarma reconocibles: dashboards vistosos sin cobertura real, agentes desinstalados en servidores críticos o políticas de retención de logs incompatibles con una investigación.
Comunicación externa y confidencialidad
Las notificaciones regulatorias conviven con deberes de secreto técnico y, a veces, con requisitos bursátiles o de clientes. Conviene predefinir qué puede decirse en cada fase, quién autoriza las comunicaciones y cómo se evita filtrar indicadores útiles a un atacante.
Conclusión
La transposición NIS2 en España avanza con retraso, pero las obligaciones operativas ya nacen del texto europeo, de las guías de ENISA y de los propios contratos. Esperar a la publicación en el BOE es la peor estrategia: encarece la adaptación y deja sin cubrir los plazos de incidentes y las exigencias de los clientes regulados.
El camino razonable es ordenar primero el alcance y el gobierno, después los controles y las evidencias, y por último las notificaciones y la cadena de suministro, reutilizando lo que ya tengas por ENS, ISO 27001 o DORA. Si construyes ese hilo ahora, el encaje con la ley española será un ajuste y no una reconstrucción.
¿Quieres saber cómo afecta NIS2 a tu organización? Solicita un risk assessment gratuito o agenda una llamada con nuestro equipo y revisamos alcance, obligaciones y próximos pasos.
Preguntas frecuentes (FAQs)
El proceso depende de la tramitación parlamentaria y de la publicación oficial. El anteproyecto aprobado a comienzos de 2025 orienta el rumbo, pero debes contrastar siempre el texto definitivo en el BOE. Mientras tanto, la directiva y tus contratos ya marcan expectativas prácticas.
No lo descartes por tamaño: importa el tipo de servicio y tu posición en cadenas críticas. Además, muchos proveedores reciben exigencias indirectas.
No. Son instrumentos distintos con solapes. Si ya trabajas ENS, úsalo como acelerador; si no, construye controles comparables donde la directiva aplique.
Riesgo sancionador y, sobre todo, daño contractual y reputacional. El borrador nacional apunta a avisos en veinticuatro y setenta y dos horas más un informe final en un mes; ensayar ese ritmo antes del primer incidente grave evita improvisación.
Ayuda mucho si el SGSI está operativo y alineado con gestión de incidentes y proveedores. No es automático: revisa lagunas específicas de NIS2.
En finanzas, puede haber solapes en resiliencia operacional digital. Integra terceros y pruebas para no duplicar controles contradictorios.
No. Adelantar gobierno, riesgos e incidentes reduce coste total y acelera la adaptación cuando el texto nacional cierre.
Políticas aprobadas, análisis de riesgos, registros de formación, informes de pruebas, gestión de vulnerabilidades, inventario crítico y evidencias de continuidad.