NIS2 en España: qué es, a quién afecta y qué tiene que hacer tu empresa en 2026

Existe una normativa europea de ciberseguridad en vigor desde enero de 2023. Se llama NIS2. Si tu empresa tiene más de 50 empleados o factura más de 10 millones de euros en determinados sectores, ya tiene obligaciones legales que cumplir.

¿Qué es la NIS2 y por qué afecta a las empresas españolas?

La NIS2 es la ley de ciberseguridad más ambiciosa que ha aprobado la Unión Europea hasta la fecha. Fue publicada en el Diario Oficial de la UE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Su objetivo es que las empresas que operan en sectores clave tengan un nivel mínimo de seguridad digital que proteja sus operaciones, sus datos y a las personas que dependen de ellas.

La anterior normativa, conocida como NIS1, cubría un número reducido de sectores y dejaba demasiado margen a cada país para interpretarla. La NIS2 amplía el alcance, concreta las obligaciones y establece sanciones que pueden llegar a los 10 millones de euros, además de responsabilidad personal para los directivos de las empresas afectadas.

¿A qué empresas afecta la NIS2 en España?

La NIS2 aplica a empresas que cumplan dos condiciones a la vez. La primera es de tamaño: más de 50 empleados o más de 10 millones de euros de facturación anual. La segunda hace referencia al sector en el que opera la empresa: energía, transporte, banca, sanidad, infraestructuras digitales, industria alimentaria, fabricación de productos críticos, servicios postales y gestión de residuos, entre otros hasta completar 18 sectores regulados.

Si no entras por esos criterios pero trabajas como proveedor de una empresa regulada por la NIS2, la directiva también te alcanza. Las empresas reguladas están obligadas a exigir garantías de ciberseguridad a sus proveedores, y quien no pueda acreditarlas puede perder el contrato.

La ley española que adapta la NIS2 sigue en tramitación parlamentaria a fecha de junio de 2026. Cuando se publique en el BOE, las obligaciones entran en vigor desde el primer día, sin margen para improvisar. Prepararse ahora es la única forma de llegar a ese momento con todo en orden.

Qué obliga a hacer la NIS2 a tu empresa

La NIS2 no pide intenciones. Pide medidas implantadas, documentadas y evidenciables. Esto es lo que significa en la práctica.

• Conocer qué tienes y qué riesgo corre. Antes de proteger algo hay que saber qué sistemas usas, qué datos manejas, qué accesos existen y qué proveedores tienen acceso a tus sistemas y datos. La directiva exige un análisis de riesgos formal, actualizado y documentado.

• Verificación en dos pasos en los accesos críticos. Si alguien consigue tu contraseña, sin este segundo paso puede entrar en tu correo, tus documentos y tus datos de clientes. Es una de las medidas más sencillas de implantar y de las más eficaces.

• Copias de seguridad que funcionen de verdad. No basta con tenerlas. La NIS2 exige que estén probadas y que la empresa tenga la capacidad de recuperarse ante un incidente sin depender del rescate de nadie.

• Un protocolo claro si algo falla. Si ocurre un incidente grave, la directiva exige notificarlo en menos de 24 horas. Sin un protocolo definido de antemano, ese plazo es imposible de cumplir.

• Formación del equipo, incluida la dirección. Si ocurre un incidente, la primera pregunta que hará la autoridad es si la dirección conocía los riesgos y actuó en consecuencia.

• Exigir garantías a tus proveedores. Los contratos con proveedores que tienen acceso a tus sistemas y datos deben incluir requisitos de ciberseguridad. Si un proveedor es el eslabón débil, la responsabilidad sigue recayendo sobre tu empresa.

Sanciones NIS2: qué pasa si no cumples

El incumplimiento tiene consecuencias en dos niveles.

El primero afecta a la empresa. Las sanciones dependen del tamaño y el sector, pero pueden llegar hasta 10 millones de euros o el 2% de la facturación global anual. Además, la autoridad puede exigir auditorías externas pagadas por la propia empresa y hacer público el incumplimiento.

Por su parte, el segundo nivel va más allá de las multas. La NIS2 establece responsabilidad personal para quienes lideran las empresas. Si se demuestra que la dirección no supervisó el cumplimiento de las obligaciones de ciberseguridad, el directivo responsable puede ser inhabilitado temporalmente para ejercer funciones directivas. La ley exige que la dirección conozca los riesgos, apruebe las medidas necesarias y pueda demostrarlo.

Si quieres entender cómo una sola decisión de tu equipo puede convertirse en un incidente, este artículo te lo explica.

Por qué las empresas españolas deben actuar ahora

Implementar las medidas que exige la NIS2 requiere entre seis meses y un año. Cuando la ley se publique en el BOE entrará en vigor desde el primer día, sin margen de adaptación. Las empresas que esperen a ese momento para arrancar llegarán tarde.

Y el riesgo no espera a la ley. Según el Balance de Ciberseguridad 2025 de INCIBE, ese año se gestionaron 122.223 incidentes en España, un 26% más que en 2024. Según el informe «Ciberseguridad como Activo» de Vodafone Empresas e INCIBE, el 60% de las pymes que sufren un ciberataque grave cierra en menos de seis meses.

Prepararse ahora no es solo cumplir una ley. Es proteger lo que has construido.

Cómo cumplir la NIS2 sin complicaciones

Cydoo es un servicio de ciberseguridad gestionada diseñado para pymes. Analizamos en qué punto está tu empresa, implantamos las medidas que exige la NIS2, vigilamos tu seguridad las 24 horas y respondemos si algo falla. Cuando llegue una auditoría, tendrás toda la documentación necesaria para demostrar que tomaste las decisiones correctas.

Sin ampliar tu equipo. Sin tecnicismos. Sin letra pequeña.

Solicita tu diagnóstico gratuito. En menos de 48 horas te decimos en qué punto está tu empresa, qué tres cosas deberías priorizar y qué costaría resolverlas. Ciberdespreócupate en un clic.

Preguntas frecuentes

¿Tengo que cumplir la NIS2 si la ley española todavía no está publicada?

La directiva es vinculante a nivel europeo desde enero de 2023. Cuando la ley se publique en el BOE, las exigencias entran en vigor desde el primer día. Empezar ahora es la única forma de llegar preparado.

¿Qué pasa si soy proveedor de una empresa regulada por la NIS2?

Las empresas reguladas van a exigirte que acredites medidas de ciberseguridad como condición para seguir siendo proveedor. No cumplir puede costarte el contrato antes de que llegue ninguna revisión formal.

¿La NIS2 obliga a tener un equipo técnico propio?

No. La ley exige que las medidas estén implantadas y documentadas, no que las gestione un equipo interno. Un servicio de ciberseguridad gestionada como Cydoo cubre todos los requisitos sin que tengas que contratar a nadie.