NIS2 en dos minutos
La Directiva (UE) 2022/2555 (NIS2) sustituye a la primera Directiva NIS y amplía mucho su alcance: de unos pocos sectores críticos a 18 sectores, entre ellos energía, transporte, banca, sanidad, agua, infraestructura digital, proveedores de servicios gestionados, administración pública, fabricación, alimentación, química y servicios postales.
Por regla general aplica a medianas y grandes empresas de esos sectores (50 o más empleados, o más de 10 millones de euros de volumen de negocio y de balance). Distingue entre entidades esenciales (multas de hasta 10 millones de euros o el 2 % de la facturación mundial) e importantes (hasta 7 millones o el 1,4 %).
Transposición en España: el plazo europeo terminó el 17 de octubre de 2024. España la incorpora mediante la futura Ley de Coordinación y Gobernanza de la Ciberseguridad. Consulta su estado de tramitación y la versión publicada en el BOE antes de aplicar plazos u obligaciones concretas.
La cadena de suministro es una obligación expresa
El art. 21.2 enumera diez medidas mínimas de gestión de riesgos. Una de ellas, la letra d), es la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones con proveedores. El art. 21.3 añade que hay que tener en cuenta las vulnerabilidades de cada proveedor, la calidad de sus productos y sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro.
Además, el art. 20 hace a los órganos de dirección responsables de aprobar y supervisar estas medidas, y les obliga a formarse. Por eso el consejo de tu cliente quiere pruebas, no promesas.
Qué te van a pedir
| Qué | Ejemplo práctico |
|---|---|
| Cuestionario de seguridad | 100–300 preguntas sobre políticas, accesos, copias, cifrado y continuidad. |
| Evidencias o certificados | ISO/IEC 27001, ENS (sector público), SOC 2 o informes de pentest recientes. |
| Cláusulas contractuales | Notificación de incidentes en 24 h, derecho de auditoría, subcontratación autorizada, plan de salida. |
| MFA y accesos | MFA obligatorio en cualquier acceso a sistemas del cliente; cuentas nominativas. |
| Desarrollo seguro | Gestión de vulnerabilidades, parches en plazo y, cada vez más, lista de componentes de software (SBOM). |
| Continuidad | RTO y RPO comprometidos y pruebas de restauración documentadas. |
Cómo prepararte (sin morir en el intento)
- Haz tu propio inventario de activos, datos de clientes y subproveedores. Es lo primero que te preguntarán.
- Prepara un «trust pack»: respuestas estándar a cuestionarios, políticas resumidas y certificados vigentes.
- Implanta las medidas básicas del art. 21: MFA, copias inmutables, gestión de parches, formación y procedimiento de incidentes.
- Revisa tus contratos para no comprometerte a plazos que no puedes cumplir.
- Plantéate certificarte en ISO/IEC 27001 o ENS si trabajas con grandes clientes o con el sector público.
Si eres proveedor de servicios gestionados o de seguridad gestionada (MSP/MSSP), cloud o centro de datos, probablemente estés sujeto directamente: el Reglamento de Ejecución (UE) 2024/2690 detalla las medidas técnicas que te aplican.
Fuentes y lecturas recomendadas
Artículo divulgativo actualizado a octubre de 2026. La normativa cambia: comprueba siempre la versión vigente en las fuentes oficiales. No constituye asesoramiento jurídico.