Te ayudamos a saber si NIS2 te afecta y a prepararte antes de que la ley española entre en vigor, aprovechando el ENS y la ISO 27001. Información actualizada a octubre de 2026.
Actualizado el 20 de octubre de 2026 · Por Óscar González Núñez, Ingeniero en Informática y Auditor Jefe ENS
Análisis de aplicabilidad:
Determinamos si tu empresa sería entidad esencial, importante o proveedor afectado por la cadena de suministro.
Diagnóstico de cumplimiento:
Comparamos tus medidas actuales con los requisitos de gestión de riesgos de NIS2.
Plan de adaptación:
Hoja de ruta priorizada, reutilizando lo que ya tengas de ENS o ISO 27001.
Gestión de incidentes:
Procedimiento para detectar, gestionar y notificar incidentes en los plazos de 24 y 72 horas.
Cadena de suministro:
Criterios de seguridad para tus proveedores y respuesta a los requisitos de tus clientes.
Formación a la dirección:
Sesiones para que los órganos de dirección conozcan sus responsabilidades.
La directiva NIS2 debía transponerse antes del 17 de octubre de 2024. En España, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en el Consejo de Ministros el 14 de enero de 2025, pero a octubre de 2026 aún no se ha publicado en el BOE. El 8 de julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por este retraso.
Esto no significa que puedas esperar: tus clientes ya pueden exigirte medidas NIS2 por contrato, y cuando se apruebe la ley los plazos serán cortos. Empezar ahora con un diagnóstico te da ventaja. Si ya trabajas con la administración, la adecuación al ENS cubre gran parte del camino; si no, la ISO 27001 es la base ideal.
Es la Directiva (UE) 2022/2555, que eleva el nivel común de ciberseguridad en la Unión Europea. Amplía los sectores afectados respecto a la primera directiva NIS y endurece las obligaciones de gestión de riesgos, notificación de incidentes y responsabilidad de la dirección.
A octubre de 2026, España todavía no ha publicado en el BOE la ley que la transpone. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025, y en julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso. Mientras tanto sigue vigente el marco de la primera directiva NIS (Real Decreto-ley 12/2018).
Según la directiva, principalmente a medianas y grandes empresas (en general, a partir de 50 empleados o 10 millones de euros de facturación) de sectores como energía, transporte, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación o proveedores digitales. Algunas entidades quedan incluidas con independencia de su tamaño.
Puede afectarte de forma indirecta: las entidades obligadas deben controlar la seguridad de su cadena de suministro, así que exigirán por contrato medidas de ciberseguridad a sus proveedores, aunque sean pymes.
Medidas de gestión de riesgos de ciberseguridad (análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, cifrado, control de accesos, formación), notificación de incidentes significativos con alerta temprana en 24 horas y notificación en 72 horas, y responsabilidad directa de los órganos de dirección.
La directiva fija multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de 7 millones o el 1,4 % para entidades importantes. Las cuantías concretas en España dependerán de la ley que finalmente se apruebe.
En gran medida sí: sus controles cubren buena parte de las medidas que exige NIS2. Partiendo de un sistema ENS o ISO 27001, la adaptación a NIS2 es mucho más rápida.
