La Directiva NIS2 (UE 2022/2555) ha ampliado enormemente el número de organizaciones obligadas a demostrar ciberseguridad en Europa. Si tu empresa tiene sede o presta servicios en España, esta guía te explica a quién aplica NIS2, qué exige, cuándo entra en vigor y cómo prepararte sin invertir en hardware costoso.

¿Qué es la Directiva NIS2?

NIS2 es la evolución de la Directiva NIS de 2016. Su objetivo es elevar el nivel de ciberseguridad común en la Unión Europea imponiendo obligaciones técnicas y organizativas a un conjunto mucho más amplio de entidades. En España se traspone mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad, alineada con la CNI y el CCN.

A diferencia de la primera NIS, NIS2:

Incluye medianas y grandes empresas de sectores esenciales e importantes.
Introduce responsabilidad directa de la dirección.
Impone plazos concretos de notificación de incidentes (24 h alerta temprana, 72 h notificación completa).
Establece sanciones de hasta 10 M € o el 2 % de la facturación global.

¿A quién aplica NIS2 en España?

NIS2 aplica a organizaciones a partir de 50 empleados o 10 M € de facturación que operen en sectores considerados esenciales o importantes. Entre ellos:

Sectores esenciales	Sectores importantes
Energía, transporte, banca	Servicios postales
Salud, agua potable y residual	Gestión de residuos
Infraestructura digital, administración pública	Fabricación (química, alimentación, dispositivos médicos)
Espacio	Proveedores digitales (marketplaces, buscadores, redes sociales)

Muchas pymes tecnológicas, MSP, clínicas privadas, distribuidoras eléctricas locales y administraciones entran dentro del alcance aunque no lo esperen.

Si eres proveedor de una entidad esencial, tu contrato probablemente ya te obliga a cumplir NIS2 aunque tu empresa no supere los umbrales.

Requisitos técnicos clave

El artículo 21 de la directiva exige, entre otros:

Análisis de riesgos y políticas de seguridad de la información.
Gestión de incidentes con detección, respuesta y notificación.
Continuidad de negocio y recuperación ante desastres.
Seguridad de la cadena de suministro (auditar proveedores).
Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
Cifrado cuando proceda.
Control de acceso y gestión de identidades, con MFA obligatorio en accesos remotos y privilegiados.
Formación y concienciación del personal.

Cómo Zero Trust ayuda a cumplir NIS2

Muchos puntos anteriores se resuelven al sustituir la VPN tradicional por un modelo Zero Trust Network Access (ZTNA):

Control de acceso granular por identidad + dispositivo → cubre el requisito 7.
Segmentación por aplicación → limita el impacto de un incidente (requisitos 2 y 3).
Registro completo de sesiones → base para la notificación en 24/72 h.
MFA nativo y sin excepciones → obligatorio en NIS2 para accesos remotos.
Eliminación de superficie de ataque expuesta (sin puertos VPN públicos).

Si aún dependes de una VPN clásica, consulta nuestra guía de migración VPN → ZTNA.

Plazos y sanciones

Trasposición estatal: la ley española está en fase final.
Aplicación: las autoridades competentes (INCIBE-CERT, CCN-CERT) ya están notificando entidades esenciales.
Sanciones: hasta 10 M € o 2 % de facturación para entidades esenciales; 7 M € o 1,4 % para importantes.
Responsabilidad personal del órgano de dirección.

Checklist rápido para pymes

Confirmar si estás dentro del alcance (sector + tamaño).
Designar un responsable de ciberseguridad.
Inventario de activos y proveedores críticos.
Política de gestión de incidentes con plazos NIS2.
MFA en todos los accesos remotos y privilegiados.
Segmentar la red por aplicación (ZTNA / microsegmentación).
Plan de continuidad y copias de seguridad probadas.
Formación anual al personal.

Preguntas frecuentes

¿NIS2 aplica a mi pyme si tengo menos de 50 empleados? Solo si prestas servicios críticos a una entidad esencial o si tu sector expresamente elimina el umbral (proveedores DNS, registros TLD, etc.).

¿Qué diferencia hay con el ENS? El ENS aplica al sector público y a sus proveedores. NIS2 aplica a sectores estratégicos privados y públicos. Se solapan y refuerzan: si cumples ENS Alto, cubres buena parte de NIS2.

¿Cuánto cuesta cumplir NIS2? Depende del punto de partida. Sustituir VPN por ZTNA como ConnectaSec cuesta desde 40 €/mes y cubre varios controles clave sin hardware.

¿Quieres validar tu situación frente a NIS2? Solicita una demo gratuita y calcula el ahorro con nuestra calculadora ROI ZTNA.