¿Te afecta NIS2 si tienes una pyme?

¿A quién obliga NIS2?

NIS2 es la Directiva (UE) 2022/2555. Su artículo 2 dice que se aplica a las entidades públicas o privadas de los tipos que recogen sus anexos I y II, siempre que sean medianas empresas o más grandes. La Comisión Europea habla de dieciocho sectores críticos, entre ellos la salud, la energía, el transporte y el sector público.

Para saber si eres mediana empresa, la directiva remite a la definición europea de pyme. Según la Comisión Europea, una pequeña empresa tiene menos de 50 personas y no supera los 10 millones de euros de volumen de negocio o de balance. Por encima de eso, eres mediana o grande. Si tu empresa forma parte de un grupo, pueden contar también los datos del grupo.

Hay excepciones. El mismo artículo 2 incluye algunos casos sea cual sea el tamaño, como los proveedores de redes o servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza o los registros de dominios de primer nivel y proveedores de DNS.

Si tu sector aparece en los anexos, consúltalo con tu asesor legal. Esta guía no sustituye ese análisis.

¿En qué punto está NIS2 en España?

A 19 de octubre de 2026, esta es la situación según el BOE y las fuentes oficiales:

• Plazo vencido. Los Estados tenían hasta el 17 de octubre de 2024 para transponer la directiva, según la Comisión Europea.
• Anteproyecto de ley. El 14 de enero de 2025, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el texto con el que el Gobierno quiere transponer NIS2.
• Denuncia ante el Tribunal de Justicia. El 8 de julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE, junto con Irlanda, Francia y los Países Bajos, por no haber notificado la transposición completa. Pide sanciones económicas: una suma a tanto alzado y multas diarias hasta que se complete.
• Sin ley en el BOE. A 19 de octubre de 2026 no se ha publicado en el BOE ninguna ley ni ningún real decreto-ley que transponga NIS2.
• Cortes disueltas. El 6 de octubre de 2026, el BOE publicó el Real Decreto 806/2026, que disuelve el Congreso y el Senado y convoca elecciones generales para el 29 de noviembre de 2026.

¿Qué significa esto? Una ley tiene que aprobarse en las Cortes. Con las Cámaras disueltas, esa tramitación queda en pausa hasta que se constituyan las nuevas. Lo prudente es no contar con una fecha concreta.

Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que incorporó la directiva anterior y se aplica a los operadores de servicios esenciales y a los proveedores de servicios digitales.

Actualizaré esta guía cuando cambie el estado. La fecha de actualización está arriba.

¿Por qué puede llegarte aunque no estés obligado?

Por la cadena de suministro. El artículo 21.2.d de NIS2 exige a las entidades obligadas gestionar «la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos».

En la práctica, si eres proveedor de una empresa obligada, puede pedirte medidas de seguridad por contrato: cuestionarios, cláusulas o pruebas de que haces copias y controlas los accesos.

No es una obligación legal directa para ti. Pero si quieres seguir trabajando con ese cliente, se convierte en una exigencia comercial.

¿Y el ENS si trabajas para la Administración?

El Esquema Nacional de Seguridad (ENS) es otra norma, española, y ya está en vigor. Lo regula el Real Decreto 311/2022.

Su artículo 2.3 dice que también se aplica a los sistemas de información de las empresas privadas que, por contrato, presten servicios o den soluciones a entidades del sector público para el ejercicio de sus competencias. Incluye la obligación de tener una política de seguridad, aprobada por quien tenga las máximas competencias ejecutivas.

El mismo artículo prevé que los pliegos de los contratos públicos recojan los requisitos para cumplir el ENS. Si trabajas para la Administración, empieza por leer tus pliegos.

¿Qué revisar ya, con o sin ley?

Hay medidas que tienen sentido sea cual sea la fecha de la ley. El artículo 21.2 de NIS2 enumera varias. Estas tres son un buen punto de partida para una pyme:

• Continuidad de las actividades (art. 21.2.c): gestión de copias de seguridad, recuperación en caso de catástrofe y gestión de crisis. Empieza por comprobar que tus copias funcionan.
• Control de accesos y gestión de activos (art. 21.2.i): saber quién entra a qué. Lo explico en qué accesos deben estar a nombre de la empresa.
• Seguridad de la cadena de suministro (art. 21.2.d): qué hacen tus proveedores con tus sistemas. Mira cómo comprobar si tu proveedor cumple.

Y si hay datos personales de por medio, recuerda que el RGPD ya está en vigor. Su artículo 33 obliga a notificar una brecha de seguridad a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tienes constancia, salvo que sea improbable que suponga un riesgo para las personas.

El Diagnóstico IT revisa justo estos puntos en tu empresa: copias, accesos y proveedores.

¿Qué no es el Diagnóstico IT?

No es una opinión legal. No te dice si estás obligado por NIS2 o por el ENS. Eso te lo dice tu asesor legal.

Tampoco es una certificación ni una auditoría de cumplimiento. No te da un sello.

Lo que sí te da es una foto por escrito, con pruebas, de los puntos que esas normas tratan: copias, accesos y proveedores. Si veo que necesitas algo más, te lo digo y te explico por qué.

Tienes la diferencia entre estos trabajos en qué es una segunda opinión informática.