¿Qué es NIS2?

En 30 segundos

• NIS2 es la directiva europea que obliga a las empresas de sectores críticos a demostrar que se protegen, no solo a decirlo.
• Si tu empresa les vende, te afecta aunque no estés en la lista: te pedirán evidencias de seguridad para firmar o renovar.
• ISO 27001 es el mejor punto de partida, aunque la directiva añade obligaciones propias.

¿Qué es NIS2 exactamente?

NIS2 es la Directiva (UE) 2022/2555, en vigor en la UE desde enero de 2023. Sustituye a la directiva NIS de 2016 y es el marco de ciberseguridad más ambicioso que ha aprobado la Unión Europea.

Su objetivo es que las empresas de sectores críticos no puedan alegar que "no sabían" que tenían que protegerse. Exige medidas de seguridad activas, documentadas y demostrables, no solo declaradas.

Las multas máximas llegan a 10 millones de euros o el 2% de la facturación global para las entidades esenciales, y a 7 millones o el 1,4% para las importantes.

¿A qué empresas obliga NIS2 directamente?

En general, a las empresas medianas y grandes (50 empleados o más, o más de 10 millones de euros de facturación y de balance) de un sector regulado:

• Esenciales: energía, transporte, banca, infraestructura de los mercados financieros, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC, administración pública y espacio.
• Importantes: servicios postales, gestión de residuos, química, alimentación, fabricación de productos críticos, proveedores digitales e investigación.

Hay excepciones por actividad: algunas empresas quedan dentro sea cual sea su tamaño, como los proveedores de redes o servicios de comunicaciones públicas, los prestadores de servicios de confianza, los registros de dominios y los proveedores de DNS, o quien sea el único proveedor de un servicio esencial en su país.

Y si sufren un incidente grave, tienen que notificarlo por pasos:

¿Por qué NIS2 te afecta aunque no estés en la lista?

Aquí está lo que la mayoría de las pymes pasa por alto.

NIS2 obliga a las empresas reguladas a gestionar la seguridad de toda su cadena de suministro: la seguridad de sus proveedores y subcontratistas es una de las medidas mínimas que exige.

En la práctica: si vendes software, servicios cloud, consultoría TI o cualquier servicio con acceso a los sistemas o los datos de una empresa obligada, esa empresa va a querer evaluar tu seguridad antes de contratarte y cada cierto tiempo.

Como señalaba El Español en febrero de 2026, "las empresas que mantienen el foco en el perímetro interno de ciberseguridad juegan en un tablero interconectado": la seguridad de una empresa ya no termina en sus propios sistemas, sino en los de sus proveedores.

Y la tendencia va a más. En enero de 2026, la Comisión Europea propuso un nuevo Reglamento de Ciberseguridad con reglas para los riesgos de la cadena de suministro TIC en los sectores de NIS2. Más presión sobre los proveedores, no menos.

¿ISO 27001 te sirve para NIS2?

Es la pregunta clave para prepararse sin duplicar trabajo. ISO 27001 es la base: muchas de sus medidas te sirven también para NIS2.

Ojo: eso no significa que ISO 27001 cubra NIS2. La directiva añade obligaciones propias, como la notificación de incidentes por plazos o la responsabilidad de la dirección, que hay que cubrir aparte.

Aun así, es el mejor atajo: si ya tienes ISO 27001 con evidencias, buena parte del trabajo de NIS2 está hecho. Y en Kardu esa evidencia se reutiliza sin volver a subirla.

¿Qué piden en la práctica los clientes obligados por NIS2?

Cuando una empresa obligada evalúa a sus proveedores, lo habitual es un cuestionario de seguridad que pregunta por:

• una política de seguridad de la información documentada;
• la gestión de accesos y la autenticación;
• las copias de seguridad y el plan de recuperación;
• la gestión de incidentes y cómo se notifican;
• la formación del personal en ciberseguridad;
• una evaluación de riesgos periódica.

Sin un sistema que centralice todo esto, responder puede llevar semanas. Con Kardu, la respuesta sale de las medidas y las evidencias que ya tienes al día.

¿Cómo prepararse si eres proveedor de una empresa NIS2?

1. Mira si alguno de tus clientes está obligado. Si opera en energía, banca, salud o servicios digitales y es mediano o grande, probablemente sí. Puedes comprobar tu caso con la evaluación NIS2.
2. Compara lo que tienes con ISO 27001. Es el punto de partida más eficiente para NIS2.
3. Guarda la evidencia de cada medida. El cuestionario no te pedirá que digas que lo tienes, sino que lo demuestres.
4. Mantenla al día. Una medida que funcionaba hace seis meses pero sin evidencia reciente no supera una auditoría.

Kardu se encarga de los pasos 2, 3 y 4. Si quieres ver cómo aplicarlo a tu caso, habla con nosotros. Y para el detalle de la directiva, lee nuestra guía de NIS2.

Información revisada en octubre de 2026. Consulta siempre el texto vigente en EUR-Lex y la página oficial de la Comisión Europea, con la situación en España.

Preguntas frecuentes

01¿Qué es NIS2?

NIS2 es la directiva europea de ciberseguridad (Directiva (UE) 2022/2555). Obliga a las empresas de sectores esenciales e importantes a tener medidas de seguridad activas y demostrables, y a notificar los incidentes graves con una alerta temprana en 24 horas.

02¿A qué empresas obliga NIS2 directamente?

En general, a empresas medianas y grandes (50 empleados o más, o más de 10 millones de euros de facturación y de balance) de sectores como energía, transporte, banca, salud, agua, infraestructura digital o servicios TIC. Algunas quedan dentro sea cual sea su tamaño, como los proveedores de comunicaciones públicas, de servicios de confianza o de DNS.

03¿Por qué NIS2 afecta a proveedores que no están en la lista?

Porque las empresas obligadas tienen que gestionar la seguridad de su cadena de suministro. En la práctica, te envían cuestionarios de seguridad y te piden evidencias antes de firmar o renovar. Si no puedes demostrarlo, el contrato se frena.

04¿Cuándo se aplica NIS2 en España?

Cuando se publique la ley española que la transpone. A octubre de 2026 sigue en tramitación y no está en el BOE; la Comisión Europea ya envió a España un dictamen motivado por el retraso en mayo de 2025. Mientras tanto, tus clientes obligados en otros países, o que se preparan para la ley, ya pueden pedirte evidencias.