La Directiva NIS2 (UE 2022/2555) amplia l'abast de les obligacions de ciberseguretat a la Unió Europea. Si la teva empresa té seu o presta serveis a Espanya, aquesta guia t'explica a qui afectarà, què exigeix l'article 21, quin és l'estat real de la transposició a Espanya a l'octubre de 2026 i com preparar-te sense invertir en maquinari costós.

Estat a Espanya (octubre de 2026)

La NIS2 encara no està transposada a Espanya. L'avantprojecte de Llei de Coordinació i Governança de la Ciberseguretat va ser aprovat pel Consell de Ministres el 14 de gener de 2025, però no va arribar al Congrés com a projecte de llei. Amb la dissolució de les Corts l'octubre de 2026 el procediment va decaure; la llei arribarà, com a aviat, el 2027. El termini europeu de transposició era el 17 d'octubre de 2024 i, el 8 de juliol de 2026, la Comissió Europea va remetre Espanya al Tribunal de Justícia de la UE per no notificar la transposició completa. Mentrestant segueixen vigents el Reial decret llei 12/2018 (primera NIS) i l'Esquema Nacional de Seguretat (ENS). Tot i així, moltes grans empreses ja exigeixen controls alineats amb NIS2 als seus proveïdors per contracte.

Què és la Directiva NIS2?

NIS2 és l'evolució de la Directiva NIS de 2016. El seu objectiu és elevar el nivell de ciberseguretat comú a la Unió Europea imposant obligacions tècniques i organitzatives a un conjunt molt més ampli d'entitats.

A diferència de la primera NIS, NIS2:

Inclou mitjanes i grans empreses de sectors essencials i importants.
Introdueix responsabilitat directa de la direcció.
Imposa terminis concrets de notificació d'incidents (24 h alerta primerenca, 72 h notificació completa).
Estableix sancions de fins a 10 M€ o el 2 % de la facturació global.

A qui afectarà NIS2 a Espanya?

Quan s'aprovi la llei espanyola, NIS2 aplicarà a organitzacions a partir de 50 empleats o 10 M€ de facturació que operin en sectors essencials o importants:

Sectors essencials	Sectors importants
Energia, transport, banca	Serveis postals
Salut, aigua	Gestió de residus
Infraestructura digital, administració	Fabricació (química, alimentació, dispositius mèdics)
Espai	Proveïdors digitals

Moltes pimes tecnològiques, MSP, clíniques privades, distribuïdores elèctriques locals i administracions hi entraran tot i no esperar-ho.

Si ets proveïdor d'una entitat essencial o important, el teu contracte probablement ja t'exigeix controls alineats amb NIS2, encara que la directiva no estigui transposada a Espanya i la teva empresa no superi els llindars.

Requisits tècnics clau

L'article 21 de la directiva exigeix, entre d'altres:

Anàlisi de riscos i polítiques de seguretat.
Gestió d'incidents amb detecció, resposta i notificació.
Continuïtat de negoci i recuperació.
Seguretat de la cadena de subministrament.
Seguretat en desenvolupament i manteniment.
Xifratge quan escaigui.
Control d'accés i identitats, amb MFA obligatori en accessos remots i privilegiats.
Formació i conscienciació.

Com Zero Trust ajuda a alinear-te amb NIS2

Molts d'aquests punts es cobreixen substituint la VPN tradicional per un model Zero Trust Network Access (ZTNA):

Control d'accés granular per identitat + dispositiu.
Segmentació per aplicació que limita l'impacte d'un incident.
Registre complet de sessions com a base per a la notificació en 24/72 h.
MFA exigit en tots els accessos, sense excepcions (principi general de Zero Trust).
Eliminació de superfície d'atac exposada (sense ports VPN públics).

Si encara depens d'una VPN clàssica, consulta la nostra guia de migració VPN → ZTNA.

Terminis i sancions

Transposició estatal: pendent. L'avantprojecte va decaure amb la dissolució de les Corts l'octubre de 2026; la Comissió va remetre Espanya al TJUE el 8/07/2026.
Preparació pràctica: moltes entitats essencials i importants ja demanen controls tipus NIS2 per contracte a la cadena de subministrament; l'aplicació formal sota la llei espanyola encara no és vigent.
Sancions previstes a la directiva: fins a 10 M€ o 2 % de facturació per a entitats essencials; 7 M€ o 1,4 % per a importants (aplicables quan hi hagi llei espanyola).
Responsabilitat personal de la direcció (quan la llei entri en vigor).

Checklist ràpid per a pimes

Confirmar si ets o seràs dins de l'abast, o si un client ja t'exigeix controls.
Designar un responsable de ciberseguretat.
Inventari d'actius i proveïdors crítics.
Política de gestió d'incidents amb terminis tipus NIS2.
MFA a tots els accessos remots i privilegiats.
Segmentar la xarxa per aplicació (ZTNA).
Pla de continuïtat i còpies de seguretat provades.
Formació anual del personal.

Preguntes freqüents

NIS2 aplica ja a la meva pime amb menys de 50 empleats? Com a llei espanyola, encara no. Com a exigència contractual, sí pot: si prestes serveis crítics a una entitat essencial o important, o si el teu sector elimina el llindar, molts clients ja t'ho demanen.

Quina diferència hi ha amb l'ENS? L'ENS aplica al sector públic i als seus proveïdors i sí és vigent. NIS2 cobrirà sectors estratègics privats i públics quan es transposi. Es reforcen mútuament.

Quant costa preparar-se? Depèn del punt de partida. Substituir VPN per ZTNA com ConnectaSec costa des de 40 €/mes. (sense IVA)

Vols validar la teva situació respecte a NIS2? Sol·licita una demo i calcula l'estalvi amb la calculadora ROI ZTNA.