La Directiva NIS2 (UE 2022/2555) amplía el alcance de las obligaciones de ciberseguridad en la Unión Europea. Si tu empresa tiene sede o presta servicios en España, esta guía te explica a quién afectará, qué exige el artículo 21, cuál es el estado real de la trasposición en España a octubre de 2026 y cómo prepararte sin invertir en hardware costoso.

Estado en España (octubre de 2026)

La NIS2 aún no está transpuesta en España. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros el 14 de enero de 2025, pero no llegó al Congreso como proyecto de ley. Con la disolución de las Cortes en octubre de 2026 el procedimiento decayó; la ley llegará, como pronto, en 2027. El plazo europeo de trasposición era el 17 de octubre de 2024 y, el 8 de julio de 2026, la Comisión Europea remitió a España al Tribunal de Justicia de la UE por no notificar la trasposición completa. Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 (primera NIS) y el Esquema Nacional de Seguridad (ENS). Aun así, muchas grandes empresas ya exigen controles alineados con NIS2 a sus proveedores por contrato.

¿Qué es la Directiva NIS2?

NIS2 es la evolución de la Directiva NIS de 2016. Su objetivo es elevar el nivel de ciberseguridad común en la Unión Europea imponiendo obligaciones técnicas y organizativas a un conjunto mucho más amplio de entidades.

A diferencia de la primera NIS, NIS2:

Incluye medianas y grandes empresas de sectores esenciales e importantes.
Introduce responsabilidad directa de la dirección.
Impone plazos concretos de notificación de incidentes (24 h alerta temprana, 72 h notificación completa).
Establece sanciones de hasta 10 M € o el 2 % de la facturación global.

¿A quién afectará NIS2 en España?

Cuando se apruebe la ley española, NIS2 aplicará a organizaciones a partir de 50 empleados o 10 M € de facturación que operen en sectores considerados esenciales o importantes. Entre ellos:

Sectores esenciales	Sectores importantes
Energía, transporte, banca	Servicios postales
Salud, agua potable y residual	Gestión de residuos
Infraestructura digital, administración pública	Fabricación (química, alimentación, dispositivos médicos)
Espacio	Proveedores digitales (marketplaces, buscadores, redes sociales)

Muchas pymes tecnológicas, MSP, clínicas privadas, distribuidoras eléctricas locales y administraciones entrarán dentro del alcance aunque no lo esperen.

Si eres proveedor de una entidad esencial o importante, tu contrato probablemente ya te exige controles alineados con NIS2, aunque la directiva aún no esté transpuesta en España y tu empresa no supere los umbrales.

Requisitos técnicos clave

El artículo 21 de la directiva exige, entre otros:

Análisis de riesgos y políticas de seguridad de la información.
Gestión de incidentes con detección, respuesta y notificación.
Continuidad de negocio y recuperación ante desastres.
Seguridad de la cadena de suministro (auditar proveedores).
Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
Cifrado cuando proceda.
Control de acceso y gestión de identidades, con MFA obligatorio en accesos remotos y privilegiados.
Formación y concienciación del personal.

Cómo Zero Trust ayuda a alinearte con NIS2

Muchos puntos anteriores se cubren al sustituir la VPN tradicional por un modelo Zero Trust Network Access (ZTNA):

Control de acceso granular por identidad + dispositivo → cubre el requisito 7.
Segmentación por aplicación → limita el impacto de un incidente (requisitos 2 y 3).
Registro completo de sesiones → base para la notificación en 24/72 h.
MFA exigido en todos los accesos, sin excepciones (principio general de Zero Trust) → alineado con NIS2 para accesos remotos.
Eliminación de superficie de ataque expuesta (sin puertos VPN públicos).

Si aún dependes de una VPN clásica, consulta nuestra guía de migración VPN → ZTNA.

Plazos y sanciones

Trasposición estatal: pendiente. El anteproyecto decayó con la disolución de las Cortes en octubre de 2026; la Comisión remitió a España al TJUE el 8/07/2026.
Preparación práctica: muchas entidades esenciales e importantes ya piden controles tipo NIS2 por contrato a su cadena de suministro; la aplicación formal bajo la ley española aún no está en vigor.
Sanciones previstas en la directiva: hasta 10 M € o 2 % de facturación para entidades esenciales; 7 M € o 1,4 % para importantes (aplicables cuando exista ley española).
Responsabilidad personal del órgano de dirección (cuando la ley entre en vigor).

Checklist rápido para pymes

Confirmar si estás o estarás dentro del alcance (sector + tamaño) o si un cliente ya te exige controles.
Designar un responsable de ciberseguridad.
Inventario de activos y proveedores críticos.
Política de gestión de incidentes con plazos tipo NIS2 (24/72 h).
MFA en todos los accesos remotos y privilegiados.
Segmentar la red por aplicación (ZTNA / microsegmentación).
Plan de continuidad y copias de seguridad probadas.
Formación anual al personal.

Preguntas frecuentes

¿NIS2 aplica ya a mi pyme si tengo menos de 50 empleados? Como ley española, aún no. Como exigencia contractual, sí puede: si prestas servicios críticos a una entidad esencial o importante, o si tu sector elimina el umbral (proveedores DNS, registros TLD, etc.), muchos clientes ya te lo piden.

¿Qué diferencia hay con el ENS? El ENS aplica al sector público y a sus proveedores y sí está en vigor. NIS2 cubrirá sectores estratégicos privados y públicos cuando se trasponga. Se solapan y refuerzan: si cumples ENS Alto, cubres buena parte de los controles del artículo 21.

¿Cuánto cuesta prepararse? Depende del punto de partida. Sustituir VPN por ZTNA como ConnectaSec cuesta desde 40 €/mes y cubre varios controles clave sin hardware. (sin IVA)

¿Quieres validar tu situación frente a NIS2? Solicita una demo gratuita y calcula el ahorro con nuestra calculadora ROI ZTNA.