Cumplimiento NIS2
para empresas
Te ayudamos a saber si te aplica, qué tienes que implementar y en qué plazo.
NIS2: alcance europeo
y preparación de tu empresa
La Directiva (UE) 2022/2555, NIS2, entró en vigor el 16 de enero de 2023. Los Estados debían transponerla a más tardar el 17 de octubre de 2024 y aplicar las medidas nacionales desde el 18 de octubre de 2024. Estas fechas no equivalen a la entrada en vigor de una ley española de transposición.
En la revisión de 1 de octubre de 2026, las fuentes oficiales consultadas no acreditan la transposición completa en España: la Comisión comunicó el 8 de julio de 2026 la remisión del caso español al TJUE por falta de notificación. Revisamos las obligaciones exigibles conforme a la normativa vigente y su evolución; no presumimos que la directiva, por sí sola, imponga automáticamente todas sus obligaciones o sanciones a cada empresa.
El alcance depende del tipo de entidad, su tamaño y las excepciones previstas. Los clientes sujetos a requisitos de ciberseguridad también pueden exigir garantías a sus proveedores por contrato, sin que eso convierta automáticamente al proveedor en entidad obligada directamente.
Fuentes: Directiva NIS2 y Comisión Europea, 8 de julio de 2026.
¿Me aplica NIS2?
¿Tu empresa opera en alguno de los sectores del Anexo I o II?
Anexo I (alta criticidad): energía, transporte, banca, mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, TIC, espacio, Administración Pública.
Anexo II (otros críticos): servicios postales, gestión de residuos, química, alimentación, fabricación (sanitarios, electrónica, maquinaria, vehículos), servicios digitales, investigación.
Si sí → pasa a la pregunta 2.
¿Tu empresa alcanza el tamaño mediano o superior según los criterios europeos?
La regla general combina un tipo de entidad de los anexos I o II con tamaño mediano o superior. Se valoran plantilla, volumen de negocio y balance, con las reglas europeas para empresas asociadas y vinculadas. No basta con comprobar solo la facturación.
También existen supuestos sujetos con independencia del tamaño. Hay que revisar las excepciones y la normativa aplicable antes de concluir si una empresa queda incluida.
¿Existe una excepción de alcance o un requisito de tu cliente?
Algunos tipos de entidad y supuestos de criticidad pueden quedar incluidos con independencia del tamaño. Ser proveedor de una entidad esencial o importante, por sí solo, no determina esa inclusión.
Tu cliente puede exigir medidas y evidencias de seguridad en el contrato. Analizamos por separado la sujeción directa y las obligaciones contractuales; un proveedor TIC puede estar sujeto por su propia actividad y tamaño.
“EL ALCANCE DEPENDE DEL SERVICIO, EL TAMAÑO Y LAS EXCEPCIONES”
Qué exige una NIS2 bien implantada
Gobernanza de riesgos
Identificación y evaluación documentada de riesgos, con revisiones periódicas y ante cambios relevantes. Incluye valorar la seguridad de proveedores directos y definir medidas y compromisos proporcionados al riesgo de cada relación.
Medidas técnicas
Autenticación multifactor para accesos críticos, cifrado de datos sensibles, gestión de vulnerabilidades, copias de seguridad verificadas, control de accesos con principio de mínimo privilegio e inventario de activos. Las bases técnicas que cualquier sistema serio debe tener, documentadas y auditables.
Gestión de incidentes y continuidad
Procedimientos de detección, respuesta, continuidad y recuperación. Para incidentes significativos, el artículo 23 prevé, como regla general, alerta temprana en 24 horas y notificación en 72 horas desde que se tiene constancia; informe final dentro del mes siguiente a la notificación. Hay excepciones, como servicios de confianza, y reglas para incidentes en curso. El destinatario es el CSIRT o la autoridad competente que corresponda.
Formación y responsabilidad directiva
El artículo 20 exige que los órganos de dirección aprueben y supervisen las medidas y reciban formación. El programa incluye también ciberhigiene y formación adecuada al personal. La responsabilidad y las medidas supervisoras se valoran conforme al marco aplicable y al procedimiento correspondiente.
"Muy profesionales. Trabajamos juntos desde hace muchos años y seguirán siendo muchos más!"
Empresas
que ya han confiado
Sí, estos son algunos de nuestros clientes
Seis señales de
una adecuación NIS2 mal hecha
Si el trabajo se resume en rellenar plantillas, redactar un documento de políticas y mandarte una factura, te están vendiendo papel, no cumplimiento. Cómo reconocerlo.
Te venden "certificación NIS2" y listo
El proyecto es solo documental
No tocan la cadena de suministro
Ignoran los plazos del Artículo 23
No hay formación para dirección
No queda plan de evidencia continua
Cuándo tiene sentido
abordar tu adecuación a NIS2
Cuando tu sector aparece en el Anexo I o II
Si tu actividad coincide con los tipos de entidad de los anexos I o II, conviene analizar tamaño, excepciones y normativa aplicable. Ese análisis permite preparar medidas proporcionadas y un calendario de adecuación basado en requisitos confirmados.
Cuando un cliente te lo empieza a exigir
Un cliente sujeto a requisitos de ciberseguridad puede pedirte evidencias y compromisos contractuales. Revisamos qué solicita, cómo demostrarlo y qué implica para tu servicio, sin confundir esa relación comercial con sujeción directa automática a NIS2.
Cuando ya cumples ISO 27001 o ENS
El análisis de riesgos, las políticas y los controles existentes pueden ser una buena base. Evaluamos las brechas reales respecto del alcance y los requisitos aplicables, incluidos proveedores, notificación de incidentes y formación directiva, sin dar por cubierto un porcentaje antes de revisarlo.
Para anticipar requisitos y reducir riesgos
Preparar inventario, análisis de riesgos y medidas prioritarias ayuda a llegar con evidencia a los requisitos que resulten aplicables. Seguimos la tramitación española y las publicaciones oficiales para ajustar el plan; no anticipamos fechas de aprobación ni inspecciones retroactivas.
Cómo trabajamos una adecuación NIS2 paso a paso
Diagnóstico inicial
- Una llamada de 30-45 minutos para validar si NIS2 te aplica, con qué intensidad y qué riesgos operativos tiene no cumplir. Al final tienes criterio para decidir si sigues con nosotros o con otro. Sin presentación comercial larga, directo al criterio técnico.
Análisis de brechas
- Revisión técnica y documental contra los 10 puntos del Artículo 21. Entrevistas con IT, dirección y responsables de procesos críticos. Entregamos un informe con qué cumples ya, qué falta y en qué orden atacarlo, con estimación de esfuerzo y coste cerrado.
Plan de adecuación
- Hoja de ruta priorizada por riesgo e impacto, con fases, plazos, responsables y precio cerrado por fase. Nada de bolsa de horas abierta. Tú decides el ritmo: todo de golpe o por tramos según disponibilidad presupuestaria.
Implantación
- Despliegue de las medidas técnicas (MFA, cifrado, copias verificadas, monitorización, SOC si aplica) y documentales (políticas, playbooks, procedimientos, contratos con proveedores, plan de formación). El mismo equipo que hizo el gap analysis lidera la implantación.
Mantenimiento y evidencia continua
- Auditorías internas periódicas, actualización del análisis de riesgos, informes trimestrales para dirección y preparación ante supervisión. NIS2 no es un proyecto, es una capacidad que hay que sostener.
FAQs
sobre NIS2
Somos pequeños, no nos afecta, ¿verdad?
Depende de la actividad y de las excepciones, además del tamaño. La regla general se refiere a entidades de los anexos I o II de tamaño mediano o superior, calculado con plantilla, volumen de negocio, balance y relaciones empresariales. Algunos supuestos se incluyen con independencia del tamaño. Ser proveedor puede generar requisitos contractuales, pero no convierte automáticamente a una empresa pequeña en entidad directamente obligada.
Ya cumplimos ISO 27001, ¿nos vale para NIS2?
ISO 27001 puede aportar políticas, análisis de riesgos y controles útiles, pero no sustituye la comprobación de las obligaciones aplicables. Revisamos las brechas, incluidos notificación de incidentes, gobernanza y formación de dirección, y reutilizamos la evidencia que resulte válida.
¿Y si ya tenemos ENS?
El ENS puede aportar medidas y evidencias aprovechables. Su alcance y el de NIS2 no son idénticos, por lo que revisamos la correspondencia y las brechas, incluidos proveedores, notificaciones y gobernanza. No damos por cerrado el análisis por disponer de una certificación ENS.
¿Qué pasa si no cumplo y nadie me inspecciona?
Un incidente puede causar pérdidas operativas y dar lugar a actuaciones de supervisión. Las responsabilidades, posibles sanciones y consecuencias contractuales dependen de la norma aplicable, los hechos y el procedimiento. No son automáticas por sufrir un incidente. Nuestro trabajo se centra en reducir riesgos y mantener evidencia verificable.
¿Cuánto cuesta cumplir NIS2?
Depende del punto de partida. Un diagnóstico inicial es gratuito. Un gap analysis completo va desde unos miles de euros. La implantación varía enormemente según tu tamaño, sector e infraestructura actual: desde 5.000-15.000 € para empresas con una base sólida hasta proyectos mayores para empresas que parten de cero. Damos siempre precio cerrado tras el gap analysis, no «bolsa de horas» abierta.
¿Cuánto tiempo lleva implantar NIS2?
Como estimación comercial orientativa, un proyecto de adecuación NIS2 para una pyme puede llevar entre 3 y 9 meses. No es un plazo legal ni una garantía. El calendario se acuerda tras el análisis inicial de alcance y brechas, teniendo en cuenta los recursos disponibles, las evidencias aprovechables de ISO 27001 o ENS y los requisitos y plazos oficiales aplicables.
¿islaNet subcontrata los proyectos NIS2 a otra empresa?
No. Lo llevamos desde Palma con equipo propio: técnicos certificados (Auditor ISO 27001, CISSP, CISA) y consultores legales especializados. Cuando nos contratas, el proyecto lo lleva el mismo equipo desde el diagnóstico hasta el seguimiento continuo.
EMPIEZA POR UN DIAGNÓSTICO PARA
TU
EMPRESA
Una llamada de 30 minutos nos basta para validar si NIS2 te aplica, con qué intensidad y darte rango de coste realista. Si encajamos, preparamos propuesta cerrada en pocos días. Si no, te orientamos sobre qué buscar.