La nueva obligación de ciberseguridad europea
NIS2 (Directiva (UE) 2022/2555) amplía las obligaciones de ciberseguridad a unas 160.000 empresas europeas en sectores esenciales e importantes, con multas de hasta 10M€ o el 2% de la facturación global.
Esta guía resume la directiva en lenguaje simple y no reemplaza asesoría legal. Verifica siempre el texto oficial y la ley de tu país antes de tomar decisiones.
Qué es NIS2
Aplica a medianas y grandes empresas (en general, 50+ empleados o 10M€+ de facturación) en sectores críticos, y se sostiene sobre tres pilares. Hay excepciones por actividad: algunas empresas quedan dentro sea cual sea su tamaño, como los proveedores de redes o servicios de comunicaciones públicas, los prestadores de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS, o quien sea el único proveedor de un servicio esencial en su país.
Sectores esenciales e importantes
Energía, transporte, banca, salud, infraestructura digital, administración pública y otros sectores críticos, más sus proveedores.
Medidas de gestión de riesgo
Análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro y control de acceso, entre otras.
Notificación escalonada
Alerta temprana en 24 horas, notificación del incidente en 72 horas, e informe final en un mes.
Vigencia y plazos
01 / Diciembre 2022
Publicación de la directiva
La Directiva (UE) 2022/2555 (NIS2) se publica, ampliando el alcance y las obligaciones de su predecesora NIS1.
02 / 17 de octubre de 2024
Plazo de transposición
Fecha límite para que cada estado miembro incorpore NIS2 a su legislación nacional.
03 / Aplicación por país
Cada país legisla el detalle
El calendario de aplicación efectiva, el régimen sancionador y qué entidades concretas están afectadas varía según la ley nacional de cada país.
04 / Septiembre 2026
España: ley en tramitación
La ley española de transposición (Ley de Coordinación y Gobernanza de la Ciberseguridad) sigue en tramitación y aún no se ha publicado en el BOE. Mientras tanto, tus clientes afectados ya pueden pedirte evidencias.
~160K
Empresas europeas afectadas
10
Medidas mínimas
24h/72h
Notificación escalonada
10M€/2%
Multa máxima (esenciales)
Sanciones
La directiva fija topes máximos según el tipo de entidad; cada país legisla el régimen sancionador exacto en su ley de transposición.
| Tipo de entidad | Multa máxima | Ejemplos de sector |
|---|---|---|
| Entidades esenciales | Hasta 10M€ o 2% de la facturación global (lo mayor) | Energía, transporte, banca, infraestructura de mercados financieros, salud, agua, infraestructura digital. |
| Entidades importantes | Hasta 7M€ o 1.4% de la facturación global (lo mayor) | Servicios postales, gestión de residuos, fabricación de productos críticos, proveedores digitales, investigación. |
Qué te aporta ISO 27001 para NIS2
ISO 27001 es una buena base para NIS2: muchas de sus medidas de seguridad te sirven también aquí. Pero no la cubre entera: la directiva añade obligaciones propias de gobernanza y de notificación de incidentes que ISO 27001 no contempla.
Qué significa para tu pyme
Para la mayoría de las pymes, NIS2 no llega por una multa, sino por un cliente. Los bancos, hospitales, energéticas y demás empresas afectadas tienen que vigilar la seguridad de sus proveedores, así que te pedirán evidencias para firmar o renovar el contrato aunque tu empresa no esté obligada. Qué hacer si un cliente te lo pide.
Si tu empresa sí está obligada, la responsabilidad no se delega: la dirección tiene que aprobar las medidas de seguridad, supervisar que se aplican y formarse, y responde si no lo hace. En las entidades esenciales, la autoridad puede incluso suspender temporalmente a los directivos responsables.
Si tienes dudas sobre si tu empresa está directamente afectada, conviene confirmarlo con la ley de transposición de tu país o con asesoría legal.
7 elementos mínimos
- Análisis de riesgos documentado
- Plan de continuidad de negocio
- Procedimiento de gestión de incidentes
- Evaluación de seguridad de tu cadena de suministro
- Control de acceso y gestión de identidades
- Un plan de notificación de incidentes en 24h / 72h
- La dirección aprueba y supervisa las medidas, y se forma en ciberseguridad
Fuentes oficiales
Esta guía es un resumen. Para el detalle legal, consulta directamente el texto de la directiva.
Texto oficial de NIS2 en EUR-Lex →ISO 27001 como base, NIS2 incluido
Kardu organiza tu evidencia de cumplimiento sobre ISO 27001 y la mapea a NIS2 y al resto de frameworks que te apliquen, para que no dupliques trabajo entre normativas.