Guía de cumplimiento · NIS2

NIS2 en España: qué es, a quién afecta y cómo adelantarte

La directiva europea de ciberseguridad ya existe, pero la ley española que la traslada todavía no está publicada. Sus medidas, sin embargo, ya son el estándar de referencia. Esto es lo que necesitas saber.

Última revisión: 15 de octubre de 2026

El resumen, en 30 segundos

Hoy: NIS2 no es una obligación directa para las empresas en España. La ley que la traslada no está en el BOE.
Pronto: el Gobierno aprobó el anteproyecto en enero de 2025 y la Comisión Europea ya ha llevado a España ante el Tribunal de la UE.
A quién afectará: empresas medianas y grandes de sectores como energía, transporte, salud, alimentación o fabricación, y a sus proveedores por la cadena de suministro.
Qué conviene hacer: empezar ya por lo básico: riesgos, MFA, copias, plan de incidentes y proveedores.

En qué punto está la ley en España

NIS2 es una directiva europea, no un reglamento. Eso significa que cada país debe aprobar su propia ley y que es esa ley, y no la directiva, la que obliga a las empresas. España no la ha publicado todavía, así que no hay un régimen sancionador NIS2 aplicable hoy a una empresa privada.

14 de diciembre de 2022
Se aprueba la Directiva (UE) 2022/2555, conocida como NIS2.
17 de octubre de 2024
Termina el plazo para trasladarla a la ley de cada país. España no llegó a tiempo.
14 de enero de 2025
El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, por la vía de urgencia.
7 de mayo de 2025
La Comisión Europea envía a España un dictamen motivado por no haber notificado la transposición.
Julio de 2026
La Comisión decide llevar a España ante el Tribunal de Justicia de la UE y pide sanciones económicas hasta que se complete la transposición.
Pendiente
Informes preceptivos, dictamen del Consejo de Estado, envío a las Cortes, aprobación y publicación en el BOE. No hay fecha confirmada.

Qué prevé el anteproyecto español

Crear el Centro Nacional de Ciberseguridad, que dirigirá, impulsará y coordinará el sistema y gestionará las crisis.
Cuatro autoridades de control con capacidad de inspección: la Oficina de Coordinación de Ciberseguridad, el Centro Criptológico Nacional, la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y la Secretaría de Estado de Digitalización e Inteligencia Artificial.
Aplicarse a entidades públicas y privadas con residencia fiscal en España, y a las de otros países de la UE que operen o presten servicios aquí.
Obligar a hacer una evaluación de riesgos, adoptar medidas de seguridad, notificar los incidentes significativos, propios o de proveedores externos, e informar a los destinatarios de los servicios.

Las fuentes consultadas no coinciden sobre la fase exacta de tramitación. Comprueba el estado en el BOE y en el Congreso de los Diputados antes de tomar decisiones.

¿Te afecta?

Para entrar en el ámbito de NIS2 se combinan dos criterios: el sector de tu actividad y el tamaño de tu empresa. Como regla general, se aplica a empresas medianas y grandes: 50 o más empleados, o más de 10 millones de euros de facturación o de balance.

¿Me afecta NIS2? Compruébalo en 10 segundos

Orientativo: el alcance final lo fijará la ley española.

1. ¿En qué sector está tu actividad principal?

2. ¿Qué tamaño tiene tu empresa?

Sectores de alta criticidad (Anexo I)

Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad (incluida la fabricación farmacéutica), agua potable y aguas residuales, infraestructura digital (centros de datos, nube, redes públicas), gestión de servicios TIC para empresas (como los proveedores de servicios gestionados y de seguridad gestionados), administración pública y espacio.

Otros sectores críticos (Anexo II)

Servicios postales y de mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción, transformación y distribución de alimentos, fabricación (productos sanitarios, electrónica, maquinaria, vehículos y otro material de transporte), proveedores digitales (mercados en línea, buscadores, redes sociales) e investigación.

Excepciones por tamaño

Algunas entidades entran aunque sean pequeñas: los proveedores de redes y servicios de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de nombres de dominio y los proveedores de DNS, quien sea proveedor único de un servicio esencial en el país, las entidades críticas y ciertas administraciones públicas.

Las 10 medidas mínimas y cómo te ayudamos

El artículo 21 de la Directiva obliga a adoptar medidas técnicas, operativas y organizativas proporcionadas al riesgo y con un enfoque de «todos los peligros». Como mínimo, estas diez:

Análisis de riesgos y políticas de seguridad

Saber qué activos tienes, qué puede fallar y cuánto te dolería. Y una política aprobada por la dirección.

Con SIMODEF: La auditoría de SIMODEF mide la efectividad real de tus controles y te da un Índice de Resiliencia de 0 a 10 con un radar de puntos ciegos.

Gestión de incidentes

Detectar, clasificar, contener y notificar. Con roles claros y un procedimiento escrito.

Con SIMODEF: SIMA.IA detecta anomalías de comportamiento en tu red y SIMA-Central, el SOC a demanda de SIMODEF, pone analistas a revisar las alertas relevantes.

Continuidad de negocio, copias y gestión de crisis

Copias de seguridad probadas, plan de recuperación y qué hacer si los sistemas caen.

Con SIMODEF: SIMA.IA detecta movimientos laterales y salidas de datos, fases típicas de un ataque de ransomware. La auditoría evalúa cómo resistirían tus controles. Las copias y el plan de recuperación los definimos contigo, pero los operas tú.

Seguridad de la cadena de suministro

Exigir seguridad a tus proveedores directos y revisar qué acceso tienen a tus sistemas.

Con SIMODEF: SIMA.IA alerta de conexiones nunca vistas y de software no autorizado, lo que ayuda a detectar accesos de terceros que no esperabas.

Seguridad en la adquisición, desarrollo y mantenimiento; gestión de vulnerabilidades

Parchear a tiempo, no instalar software sin revisar y tener un proceso para vulnerabilidades.

Con SIMODEF: El agente SIMA incluye cortafuegos de aplicación y control de navegación, que reducen la superficie expuesta mientras se aplica cada parche.

Evaluar la eficacia de las medidas

No basta con aplicar medidas: hay que comprobar que funcionan y repetir la comprobación.

Con SIMODEF: Con la auditoría puedes guardar una medición hoy y otra seis meses después para demostrar la mejora.

Higiene cibernética básica y formación

Prácticas básicas para todo el equipo y formación en ciberseguridad, empezando por la dirección.

Con SIMODEF: Se cubre con formación interna. Nuestras guías para PYMEs y autónomos y las noticias de la web son un buen punto de partida.

Criptografía y cifrado

Cifrar discos, comunicaciones y copias cuando proceda, y tener una política sobre claves.

Con SIMODEF: Es una medida que defines y despliegas tú; en la auditoría revisamos junto a ti si está cubierta.

Seguridad del personal, control de accesos y gestión de activos

Altas y bajas ordenadas, permisos mínimos necesarios e inventario de equipos y software.

Con SIMODEF: SIMA.IA crea un perfil de comportamiento de cada dispositivo, lo que te da visibilidad de lo que hay en la red.

Autenticación multifactor y comunicaciones seguras

Verificación en dos pasos, o autenticación continua, y canales seguros de voz, vídeo y texto, también para emergencias.

Con SIMODEF: En la auditoría, no tener MFA es de lo que más penaliza el índice. Te ayudamos a priorizar dónde activarlo primero.

Una advertencia honesta

Ninguna herramienta garantiza el cumplimiento por sí sola, tampoco la nuestra. NIS2 exige además gobierno, políticas, contratos y evidencias. SIMA, SIMA.IA y la auditoría cubren la parte técnica, la detección y la medición. Conoce nuestros servicios y el módulo SIMA.IA.

Notificar incidentes: 24 horas, 72 horas, un mes

Las entidades afectadas deberán notificar los incidentes significativos a la autoridad o al CSIRT en tres fases, contadas desde que tienen conocimiento del incidente:

24 h

Alerta temprana

Indica si se sospecha que el incidente se debe a actos ilícitos o malintencionados y si puede tener impacto transfronterizo.

72 h

Notificación del incidente

Actualiza la alerta con una evaluación inicial de la gravedad y el impacto y, si hay, los indicadores de compromiso.

1 mes

Informe final

Descripción detallada, tipo de amenaza o causa raíz, medidas aplicadas e impacto transfronterizo. Se puede pedir también un informe intermedio.

Un incidente es significativo si ha causado o puede causar una perturbación operativa grave o pérdidas financieras a la entidad, o si ha afectado o puede afectar a otras personas con daños materiales o inmateriales considerables.

El reloj corre desde que lo sabes, así que detectar rápido importa

Un ataque que se descubre semanas más tarde es un ataque que no se puede notificar a tiempo. Por eso la detección continua es parte del cumplimiento, no un extra. Es el terreno de SIMA.IA y del SOC de SIMA-Central.

Si en el incidente hay datos personales, el RGPD añade una notificación de 72 horas a la AEPD. Son dos avisos distintos con relojes que empiezan a la vez.

Responsabilidad de la dirección y sanciones

NIS2 convierte la ciberseguridad en un asunto de la alta dirección. Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y pueden responder de los incumplimientos. Además, sus miembros están obligados a recibir formación para poder identificar riesgos y valorar las prácticas de seguridad.

Entidades esenciales

≥ 10 M€ o el 2 %

de la facturación mundial anual, la cifra más alta.

Entidades importantes

≥ 7 M€ o el 1,4 %

de la facturación mundial anual, la cifra más alta.

Son los máximos que fija el artículo 34 de la Directiva para las infracciones de los artículos 21 y 23, con la fórmula «como mínimo». La ley española concretará el régimen sancionador definitivo.

Si eres proveedor de una empresa afectada

Aunque tu empresa no entre en el ámbito, puede afectarte igual. Una de las diez medidas es la seguridad de la cadena de suministro: las empresas afectadas tendrán que revisar la seguridad de sus proveedores directos y, según el anteproyecto español, notificar los incidentes significativos propios o de proveedores externos.

En la práctica, es probable que tus clientes grandes empiecen a pedirte:

Cuestionarios de seguridad y evidencias de las medidas que aplicas.
Cláusulas contractuales de seguridad y de aviso de incidentes en plazos cortos.
Verificación en dos pasos y control de los accesos que tienes a sus sistemas.

Estar preparado es una ventaja comercial: la auditoría de SIMODEF te da una medición objetiva que puedes mostrar a quien te la pida.

Otras normas que ya aplican o llegarán

NIS2 no es la única. Según tu actividad, estas normas pueden pesar más:

Real Decreto-ley 12/2018 (NIS1)

En vigor

La ley anterior de seguridad de redes y sistemas de información sigue aplicándose a los operadores designados con arreglo a ella mientras no se apruebe la nueva ley.

Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022)

En vigor

Obliga al sector público y también a las empresas privadas que le presten servicios o soluciones tecnológicas cuando esos servicios entren en su ámbito. La forma de acreditarlo depende de la categoría del sistema.

DORA (Reglamento UE 2022/2554)

En vigor desde el 17 de enero de 2025

Resiliencia operativa digital del sector financiero: afecta a bancos, aseguradoras y otras entidades financieras, y también a sus proveedores TIC. Al ser un reglamento, se aplica directamente.

Ley de Ciberresiliencia (Reglamento UE 2024/2847)

Por fases

Los fabricantes de productos con elementos digitales deben notificar las vulnerabilidades explotadas y los incidentes graves desde el 11 de septiembre de 2026. El resto de requisitos, incluido el marcado CE, se exigirán desde el 11 de diciembre de 2027.

Y el RGPD, que ya es obligatorio para cualquier empresa que trate datos personales.

NIS2 y RGPD: diferencias

Se confunden a menudo, pero protegen cosas distintas. Un mismo incidente puede activar las dos.

	NIS2	RGPD
Qué protege	La seguridad y continuidad de redes y servicios	Los datos personales de las personas
A quién aplica	Empresas de ciertos sectores y de tamaño mediano o grande (con excepciones)	Cualquier empresa, autónomo u organización que trate datos personales
Estado en España	Directiva europea pendiente de ley nacional	En vigor (RGPD y LOPDGDD)
Aviso de incidentes	Alerta en 24 h, notificación en 72 h e informe final en 1 mes	72 h a la AEPD si hay riesgo, y aviso a los afectados si el riesgo es alto
Sanción máxima	Al menos 10 M€ o 2 % (esenciales) / 7 M€ o 1,4 % (importantes)	Hasta 10 M€ o 2 %, y hasta 20 M€ o 4 % según la infracción
Quién vigila	Autoridades previstas en la futura ley (Centro Nacional de Ciberseguridad y autoridades de control)	Agencia Española de Protección de Datos (AEPD)

Hoja de ruta para adelantarte

No hace falta esperar a la ley. Estos pasos son útiles aunque nunca entres en el ámbito, porque son los que evitan los ataques reales.

Primeros 30 días: lo básico

1
Nombra un responsable y haz inventario
Quién decide en ciberseguridad y qué equipos, programas, servicios en la nube y proveedores tienes.
2
Activa la verificación en dos pasos
En correo, banca, ERP y accesos remotos. Es la medida de mejor relación entre esfuerzo y protección.
3
Copias de seguridad fuera de tu red, y probadas
Con una restauración de prueba. Es lo que te salva de un ransomware sin pagar.

De 30 a 90 días: orden y documentos

1
Análisis de riesgos o auditoría
Para priorizar con datos qué arreglar primero. Puedes empezar con nuestra auditoría gratuita.
2
Política de seguridad aprobada por la dirección
Corta, clara y firmada. Es la prueba de que la dirección supervisa, como exige el artículo 20.
3
Plan de respuesta a incidentes
Roles, contactos y una plantilla con los tres plazos: 24 horas, 72 horas y un mes. Y, si hay datos personales, el aviso de 72 horas a la AEPD.
4
Cláusulas de seguridad con proveedores
Y revisión de qué acceso tiene cada uno a tus sistemas.

De 90 a 180 días: vigilancia y evidencias

1
Monitorización continua
Para detectar a tiempo y poder notificar a tiempo. SIMA y SIMA-Central están pensados para esto.
2
Formación al equipo y a la dirección
Con casos reales y recientes, no con presentaciones genéricas.
3
Simulacro y revisión de eficacia
Practica un incidente de mentira y repite la auditoría para medir la mejora y guardar evidencias.

¿En qué punto estás hoy?

Te hacemos una auditoría gratuita y te decimos, sin tecnicismos, qué medidas tienes cubiertas, cuáles no y por dónde empezar.

Solicitar auditoría gratuita

Preguntas frecuentes sobre NIS2

¿Es obligatoria hoy la NIS2 en España?+

Todavía no como ley nacional. NIS2 es una directiva: obliga a los Estados a aprobar una ley, y es esa ley la que obligará a las empresas. En España aún no se ha publicado en el BOE. Mientras tanto, sigue en vigor la ley anterior (Real Decreto-ley 12/2018) para los operadores que ya estaban designados.

¿Cuándo será obligatoria?+

No hay fecha confirmada. El plazo europeo venció en octubre de 2024 y la Comisión ya ha llevado a España al Tribunal de Justicia de la UE, lo que aumenta la presión para aprobar la ley. Cuando se publique, es habitual que la norma incluya un plazo para que las entidades se adapten, pero no podemos anticipar cuál.

¿Afecta a autónomos y microempresas?+

En general no, porque la norma se centra en empresas medianas y grandes de determinados sectores. Hay excepciones que se aplican sin mirar el tamaño, como los proveedores de servicios de confianza o de redes de comunicaciones. Y si eres proveedor de una empresa afectada, te llegarán sus exigencias por la cadena de suministro.

¿Qué diferencia hay entre entidad esencial e importante?+

En términos generales, las grandes empresas de sectores de alta criticidad son esenciales, y el resto de las que entran en el ámbito son importantes. Las obligaciones de seguridad son las mismas; cambian el nivel de supervisión (más reactiva para las importantes) y el tope de las sanciones previstas.

¿Cuánto puede costar incumplir?+

La Directiva marca máximos de al menos 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y de al menos 7 millones o el 1,4 % para las importantes, aplicándose la cifra más alta. Son mínimos de los máximos: la ley española puede fijar topes superiores y concretará el régimen sancionador.

¿Un antivirus y un cortafuegos son suficientes?+

No. La norma exige diez medidas que incluyen gobierno, análisis de riesgos, gestión de proveedores, formación, continuidad y notificación de incidentes. La tecnología es una parte, necesaria pero insuficiente por sí sola.

¿Existe un «certificado NIS2»?+

La Directiva no establece un certificado NIS2 que una empresa pueda obtener sin más. Lo que se exige es aplicar las medidas y poder demostrarlo con evidencias. En SIMODEF te ayudamos con la parte técnica y a reunir datos medibles para esas evidencias.

¿SIMODEF me hace cumplir NIS2?+

Ninguna herramienta cumple la norma por sí sola. SIMA, SIMA.IA y la auditoría cubren una parte importante de la detección, la visibilidad y la medición; el resto (políticas, gobierno, formación, contratos con proveedores) depende de tu organización, y la parte legal conviene revisarla con un asesor jurídico.

Sigue leyendo: guía RGPD, ciberseguridad para PYMEs y por qué los ciberataques graves crecen un 45 % en España.

Fuentes y normativa

Esta guía es divulgativa y no constituye asesoramiento jurídico. La normativa cambia con frecuencia: comprueba siempre el texto vigente en el BOE y en las fuentes oficiales, y consulta con un profesional del derecho para tu caso concreto.