La Directiva NIS2 es la nueva normativa europea de ciberseguridad que sustituye a la antigua NIS1 y amplía enormemente el número de empresas obligadas a proteger sus redes y sistemas. Trae obligaciones estrictas, plazos de notificación muy cortos y sanciones de hasta 10 millones de euros, con responsabilidad personal de los directivos. En esta guía te explicamos en qué consiste, si tu empresa está afectada y qué debes hacer para cumplirla, y cómo en Soluciones QES te acompañamos en toda la adecuación.
Qué es la Directiva NIS2 y por qué sustituye a la NIS1
NIS 2
La NIS2 (Directiva UE 2022/2555) es la legislación de ciberseguridad común para toda la Unión Europea. Su objetivo es elevar el nivel mínimo de protección de las redes y sistemas de información en los sectores estratégicos y reforzar la resiliencia de las infraestructuras críticas frente a los ciberataques. Entró en vigor a nivel europeo el 16 de enero de 2023.
El origen: por qué la NIS1 se quedó corta
La primera directiva NIS (2016) fue un buen punto de partida, pero su alcance era demasiado limitado: dejaba fuera sectores enteros y apenas contemplaba la cadena de suministro. Con el aumento exponencial de las amenazas, ese marco resultó insuficiente. La NIS2 responde a ese problema ampliando los sectores obligados, endureciendo las medidas técnicas y de gobernanza, y unificando los plazos de notificación de incidentes en toda la UE. Además, converge con marcos ya existentes como el Esquema Nacional de Seguridad (ENS) y la ISO 27001, de modo que las empresas que ya trabajan con ellos no parten de cero.
A quién aplica la NIS2: empresas obligadas por tamaño y sector
La NIS2 se aplica a las entidades que cumplen dos condiciones a la vez: pertenecer a uno de los sectores designados y superar un determinado tamaño. Como regla general, la directiva aplica la «exclusión de pequeñas empresas», es decir, afecta a las organizaciones que superan el umbral de mediana empresa: más de 50 empleados o más de 10 millones de euros de facturación anual. Dentro de ese ámbito, la norma distingue dos categorías: las entidades esenciales (las grandes empresas de sectores de alta criticidad, sujetas a mayor vigilancia y sanciones) y las entidades importantes (las medianas, o las que operan en otros sectores críticos, con un régimen de supervisión más ligero).
Los 18 sectores afectados: esenciales vs. importantes
La directiva agrupa 18 sectores en dos anexos. Si tu actividad encaja en alguno de ellos y cumples el criterio de tamaño, lo más probable es que estés obligado:
| Sectores de ALTA CRITICIDAD (Anexo I) — 11 | OTROS SECTORES CRÍTICOS (Anexo II) — 7 |
|---|---|
|
|
Las excepciones y el efecto dominó: cuándo te afecta aunque no cumplas el tamaño
El criterio de tamaño tiene excepciones: hay casos en los que la obligación se aplica con independencia del número de empleados o la facturación, como ciertos proveedores de redes y servicios de comunicaciones electrónicas, los prestadores de servicios de confianza o las entidades que sean único proveedor de un servicio crítico en un Estado miembro. Y aunque tu empresa no esté directamente obligada, puede acabar afectada de forma indirecta por el efecto dominó: la NIS2 responsabiliza a las entidades obligadas de la seguridad de toda su cadena de suministro, e incluso les exige derechos de auditoría sobre sus proveedores. En la práctica, tus clientes obligados te pedirán garantías y evidencias de ciberseguridad para seguir trabajando contigo. Si tienes dudas sobre tu caso, conviene una evaluación específica (es lo primero que revisamos en QES) porque cumplir acaba convirtiéndose en una ventaja competitiva.
Estado de la NIS2 en España: cuándo es obligatoria
El plazo para que los Estados miembros trasladaran la directiva a su legislación nacional venció el 17 de octubre de 2024. España llegó tarde a esa fecha, lo que motivó un procedimiento de infracción por parte de la Comisión Europea. A día de hoy, España ha avanzado la transposición por fases (a través de un Real Decreto-ley) mientras tramita la Ley de Coordinación y Gobernanza de la Ciberseguridad, que completará la incorporación de la NIS2 al ordenamiento jurídico español.
La conclusión práctica es clara: esperar a que la ley esté “del todo” aprobada es un error. Las obligaciones llegarán sin un periodo transitorio largo, las inspecciones ya están en marcha y la adecuación realista lleva entre seis meses y un año. Las empresas que se preparan ahora evitan sanciones y ganan ventaja frente a su competencia.
Las obligaciones clave de la NIS2 para tu empresa
Estar dentro del ámbito de la NIS2 no es solo una etiqueta: implica una serie de obligaciones concretas y verificables. Estas son las principales.
Gestión de riesgos
Análisis continuo de amenazas, controles técnicos, cifrado, autenticación multifactor y supervisión de la cadena de suministro.
Notificación de incidentes
Plazos estrictos ante cualquier incidente significativo: alerta a las autoridades en 24h, notificación formal en 72h e informe final en 1 mes.
Responsabilidad de la dirección
Los directivos pueden ser sancionados personalmente. Multas de hasta 10 M€ o el 2% de la facturación global anual para entidades esenciales.
Supervisión y auditorías
Las autoridades pueden inspeccionar y auditar tu empresa. Las entidades esenciales, de forma proactiva y periódica; las importantes, si hay indicios o incidentes.
¿Existe una certificación NIS2?
Cómo demostrar tu cumplimiento
Es la duda más habitual, y conviene aclararla sin rodeos: la NIS2 es una directiva (una ley), no una norma certificable, por lo que no existe un “sello” ni un certificado oficial NIS2 como tal. Lo que la normativa exige es que tu empresa cumpla y, sobre todo, que pueda demostrarlo ante autoridades, clientes y socios.
No hay sello oficial: la vía de la ISO 27001 y el ENS
La forma más sólida de evidenciar tu cumplimiento es apoyarte en marcos ya reconocidos y certificables. Si ya tienes implantada la ISO 27001, partes con buena parte del camino recorrido; los huecos habituales son la notificación en 24/72h, la gestión formal de la cadena de suministro y la formación de la dirección. El ENS es la referencia natural si trabajas con el sector público o sus proveedores. Por eso, cuando se habla de “certificación NIS2”, en realidad se habla de acreditar tu adecuación a la directiva a través de estos sistemas.
Importante
En Soluciones QES no emitimos certificados, eso corresponde a las entidades acreditadas (AENOR, SGS, Applus, Bureau Veritas). Lo que hacemos es acompañarte para que llegues a esa certificación y a tu cumplimiento NIS2 con garantías, sin sobresaltos en la auditoría.
Cómo te ayuda nuestra consultora Soluciones QES a cumplir la NIS2
Nuestro proceso de adecuación (5 pasos)
Te acompañamos de principio a fin, con un método probado y adaptado a tu realidad operativa. Nuestro papel es el de consultora en la directiva NIS 2: te guiamos, documentamos y preparamos para que superes la auditoría externa y demuestres tu cumplimiento.
Analizamos si la NIS2 te aplica, en qué categoría y cuál es tu grado de cumplimiento actual frente a las obligaciones de la directiva.
Definimos una hoja de ruta priorizada con las medidas técnicas y organizativas necesarias y los plazos para implantarlas.
Te ayudamos a desplegar políticas, controles, gestión de incidentes y seguridad de la cadena de suministro.
Verificamos la eficacia de lo implantado y cerramos las desviaciones antes de cualquier inspección o auditoría externa.
Te preparamos y acompañamos en la auditoría de certificación (ISO 27001 / ENS) que evidencia tu cumplimiento NIS2 ante la entidad acreditada.
Por qué elegir a Soluciones QES
Soluciones Q.E.S.
Somos una consultora con años experiencia en ciberseguridad, normas ISO, ENS y compliance. Trabajamos con un enfoque práctico, cercano y transparente: formamos a tu equipo para que el sistema sea sostenible y no quedes “cautivo” de la consultora. Colaboramos con las principales certificadoras (AENOR, SGS, Applus, Bureau Veritas) y damos servicio en toda España, de forma presencial desde Madrid y online.
Servicio integral y cercano
En Soluciones Q.E.S. ofrecemos un servicio integral, adaptado a cada organización.
Los mejores expertos
Nuestro equipo lo forman solo expertos cualificados que acompañan a la empresa durante todo el proceso.
Servicio simplificado, rápido y eficaz
Simplificamos la gestión, reduciendo tiempos y asegurando una implantación eficaz del sistema de calidad.
Garantía escrita de certificación del 200%.
Trabajamos con entidades con acreditación reconocida, garantizando resultados reales y sostenibles.
Resolvemos tus dudas
Preguntas frecuentes sobre la NIS2
No existe un certificado oficial “NIS2”. El cumplimiento se demuestra a través de marcos certificables como la ISO 27001 o el ENS, emitidos por entidades certificadoras acreditadas. La supervisión del cumplimiento corresponde a las autoridades nacionales (en España, en el ámbito de INCIBE-CERT y CCN-CERT). En QES no certificamos: te acompañamos para llegar a esa certificación.
Sí, para las entidades esenciales e importantes que cumplen los criterios de sector y tamaño. Aunque la transposición en España aún se está completando, las obligaciones serán exigibles sin un periodo transitorio largo y las inspecciones ya están en marcha, por lo que conviene anticiparse.
Depende del punto de partida, pero un proyecto realista suele llevar entre seis meses y un año. Si ya tienes ISO 27001 o ENS, el plazo se reduce considerablemente.
No. La NIS2 convive con ambos y, de hecho, se apoya en ellos: son la vía práctica para demostrar tu cumplimiento. Tener ISO 27001 o ENS implantados te acerca mucho a las exigencias de la directiva.
La autoridad puede auditarte e inspeccionarte (de forma proactiva si eres entidad esencial; reactiva si eres importante). Para llegar preparado y poder demostrar tu cumplimiento, lo recomendable es realizar una auditoría interna previa y certificar un marco como la ISO 27001 o el ENS mediante una auditoría externa.
Adecúa tu empresa a la NIS2 con Soluciones QES
¿Quieres saber si la NIS2 afecta a tu empresa y qué pasos dar? Solicita un diagnóstico gratuito y sin compromiso. Analizamos tu situación y te proponemos una hoja de ruta clara para cumplir con la directiva europea de ciberseguridad.