Ciberseguridad · Cumplimiento normativo
Consultoría NIS2: prepara tu empresa sin esperar a la ley
La directiva NIS2 obliga a muchas empresas a gestionar los riesgos de ciberseguridad, notificar incidentes y controlar a sus proveedores. Te ayudamos a saber si te afecta, qué te falta y cómo adaptarte con un plan realista, aprovechando lo que ya tienes, como ISO 27001 o el ENS.
- Análisis de diferencias
- Plan priorizado
- Encaje con ISO 27001 y ENS
- Barcelona y toda España
Estado de NIS2 en España
Actualizamos este apartado cada vez que hay novedades en la tramitación de la ley.
- La directiva (UE) 2022/2555, NIS2, debía estar traspuesta antes del 17 de octubre de 2024.
- En enero de 2025 el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que la traspone.
- A fecha de esta revisión, la ley no se ha publicado en el BOE.
- En julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por no completar la trasposición.
- Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera directiva NIS.
Por qué no esperar al BOE
- Cuando se publique la ley, los plazos para adaptarse serán cortos y las consultoras tendrán cola.
- Tus clientes obligados ya están pidiendo a sus proveedores medidas propias de NIS2.
- Lo que hagas ahora sirve igual: buena parte de NIS2 coincide con ISO 27001 y el ENS.
- La dirección será responsable de aprobar y supervisar las medidas de ciberseguridad.
¿A quién afecta NIS2?
NIS2 se aplica según el sector y el tamaño de la empresa. Hay tres situaciones habituales.
Entidades esenciales
Grandes empresas (250 o más empleados, o más de 50 millones de facturación y 43 de balance) de los sectores de alta criticidad, y algunas entidades concretas sea cual sea su tamaño.
Entidades importantes
Empresas medianas (50 o más empleados, o más de 10 millones de facturación y balance) de sectores de alta criticidad, y medianas y grandes de otros sectores críticos.
Proveedores de entidades obligadas
Aunque no estés obligado directamente, tus clientes deben controlar los riesgos de su cadena de suministro y te pedirán medidas y evidencias.
- Sectores de alta criticidad
- Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, Administración pública y espacio.
- Otros sectores críticos
- Servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación (productos sanitarios, electrónica, equipos eléctricos, maquinaria y vehículos), proveedores digitales e investigación.
Nuestro test «¿A quién afecta NIS2?» te da un resultado orientativo según tu sector, tamaño y actividad.
Qué exige NIS2
Las medidas de gestión de riesgos que fija la directiva, en lenguaje claro.
- Políticas de análisis de riesgos y de seguridad de los sistemas de información.
- Gestión de incidentes, con capacidad para detectarlos, responder y notificarlos.
- Continuidad del negocio: copias de seguridad, recuperación y gestión de crisis.
- Seguridad de la cadena de suministro y de la relación con proveedores.
- Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
- Evaluación periódica de la eficacia de las medidas.
- Ciberhigiene básica y formación en ciberseguridad.
- Uso de criptografía y cifrado cuando proceda.
- Seguridad de los recursos humanos, control de acceso y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
Ante un incidente significativo hay que enviar una alerta temprana en 24 horas, la notificación en 72 horas y un informe final en un mes. Los órganos de dirección deben aprobar las medidas, supervisar su aplicación y formarse en ciberseguridad.
Cómo te ayudamos a adaptarte a NIS2
Un enfoque práctico: primero saber qué te aplica, después priorizar y ejecutar.
Diagnóstico y alcance
Confirmamos si te afecta y cómo (entidad esencial, importante o proveedor) y qué sistemas y servicios entran en el alcance.
Análisis de diferencias
Revisamos políticas, controles, gobierno, documentación y medidas técnicas frente a NIS2. Es una auditoría de ciberseguridad centrada en la directiva.
Plan de adaptación priorizado
Ordenamos las acciones por impacto, urgencia y esfuerzo, con un calendario a corto, medio y largo plazo.
Implantación
Políticas, procedimientos, gestión de proveedores, procedimiento de notificación de incidentes y validación técnica con pentesting.
Evidencias y mejora continua
Documentación y evidencias para demostrar el cumplimiento y, si lo necesitas, un CISO as a Service que lidere el plan.
Si ya tienes ISO 27001 o el ENS
No partes de cero. Un SGSI según ISO 27001 o la adecuación al ENS cubren buena parte de la gestión de riesgos y de las medidas que pide NIS2. Lo que suele faltar es la notificación de incidentes en los plazos de la directiva, la implicación formal de la dirección y el control de la cadena de suministro.
Hacemos un análisis de diferencias específico para aprovechar lo que ya tienes y cubrir solo lo que falta, sin duplicar documentación.
Empresas que ya confían en nosotros
Preguntas frecuentes sobre NIS2
Estado de la ley, a quién afecta, sanciones y relación con ISO 27001.
¿NIS2 ya es obligatoria en España?
La directiva NIS2 debía estar traspuesta en todos los países de la UE antes del 17 de octubre de 2024. En España la ley que la traspone, la Ley de Coordinación y Gobernanza de la Ciberseguridad, aún no se ha publicado en el BOE a fecha de nuestra última revisión. Mientras tanto, muchos clientes ya exigen a sus proveedores medidas propias de NIS2, y cuando la ley se publique los plazos serán cortos.
¿Cómo sé si NIS2 afecta a mi empresa?
Depende sobre todo del sector y del tamaño: afecta a empresas medianas y grandes de los sectores que enumera la directiva y, en algunos casos, a entidades de cualquier tamaño, como proveedores de DNS o de servicios de confianza. Puedes hacer nuestro test orientativo en dos minutos y, si quieres certeza, lo revisamos contigo.
¿Qué diferencia hay entre entidad esencial e importante?
Las dos tienen las mismas obligaciones de gestión de riesgos y notificación de incidentes. Cambia la supervisión, que es más intensa para las esenciales, y el importe máximo de las sanciones: hasta 10 millones de euros o el 2 % de la facturación mundial para las esenciales, y hasta 7 millones o el 1,4 % para las importantes.
No estoy obligado, pero soy proveedor de una empresa que sí. ¿Me afecta?
Indirectamente, sí. Las entidades obligadas deben gestionar los riesgos de su cadena de suministro, así que te pedirán cláusulas, cuestionarios o evidencias de seguridad. Prepararte con antelación te ayuda a no perder contratos.
Si ya tengo ISO 27001, ¿cumplo NIS2?
Tienes mucho camino hecho, porque gran parte de la gestión de riesgos y de las medidas coinciden. Pero NIS2 añade obligaciones propias, como la notificación de incidentes en plazos concretos, la responsabilidad expresa de la dirección y el control de la cadena de suministro. Hacemos un análisis de diferencias para cubrir solo lo que falta.
¿En qué plazos hay que notificar un incidente?
Para incidentes significativos, NIS2 fija una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en el plazo de un mes. Por eso conviene tener el procedimiento preparado antes de necesitarlo.
¿Cuánto se tarda en adaptarse a NIS2?
Depende de la madurez de partida y del tamaño. Tras el diagnóstico te damos un plan con fases y plazos realistas; lo más importante es empezar por las medidas de mayor impacto y la gestión de incidentes.
Servicios relacionados
¿Empezamos a preparar tu empresa para NIS2?
Cuéntanos tu sector y tu situación y te decimos si te afecta, qué te falta y por dónde empezar.
Contenido revisado por el equipo de consultoría de BCNSoluciona · octubre de 2026