Su expediente documental
NIS2 en 5 días
La directiva europea NIS2 (UE 2022/2555) obliga a las entidades esenciales e importantes de 18 sectores a gestionar sus riesgos de ciberseguridad y, por efecto rebote, también a sus proveedores. SYAGA NIS2-Express le entrega el documento de referencia (política de seguridad de la información + correspondencia de cumplimiento), sin movilizar a sus equipos durante meses. Documenta su gestión; no equivale a una certificación ni a una garantía de cumplimiento.
¿Me afecta NIS2?
Ocho preguntas como máximo, de una en una. El cálculo se realiza en su navegador: ninguna respuesta se envía ni se conserva.
Resultado orientativo, no constituye asesoramiento jurídico. El texto que hace fe es la Directiva (UE) 2022/2555, publicada en el Diario Oficial de la Unión Europea, y su transposición en su Estado miembro.
¿Qué es NIS2?
La respuesta en un minuto, para un directivo que no es informático.
NIS2 es una directiva europea: la Directiva (UE) 2022/2555. Obliga a las organizaciones de 18 sectores considerados críticos a gestionar su riesgo cibernético y a notificar a las autoridades nacionales sus incidentes graves. No es ni un sello ni una certificación que se obtiene una sola vez: es una obligación permanente, y la directiva hace responsable a la dirección, no solo al departamento informático.
Quién la redactó y desde cuándo existe
Es un texto del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, publicado en el Diario Oficial de la Unión Europea el 27 de diciembre de 2022. La Comisión Europea indica que «entró en vigor en enero de 2023» y que sustituyó al texto anterior, NIS1 (Directiva 2016/1148), «derogada con efectos a partir del 18 de octubre de 2024».
Fuente: ANSSI, Comisión Europea, DG CONNECT, EUR-Lex, Oficina de Publicaciones de la Unión EuropeaQué exige, en claro
Dos obligaciones de fondo, con las palabras de la Comisión Europea: adoptar «medidas adecuadas de gestión de los riesgos en materia de ciberseguridad» y «notificar los incidentes significativos a las autoridades nacionales competentes». Y una tercera que cambia la naturaleza del asunto: la directiva «introduce también la responsabilidad de la alta dirección en caso de incumplimiento de las medidas de gestión de los riesgos de ciberseguridad, lo que sitúa la ciberseguridad en la agenda del consejo de administración». La ANSSI remite para ello a los artículos 20 y 21 de la directiva.
Fuente: Comisión Europea, DG CONNECT, ANSSI¿Me afecta?
Existen dos categorías, entidades esenciales (EE) y entidades importantes (EI), definidas por el sector, el tamaño y el volumen de negocio. Umbrales publicados por la ANSSI: es esencial una entidad que «emplea al menos a 250 personas o tiene un volumen de negocio anual superior a 50 millones de euros y un balance anual superior a 43 millones de euros»; es importante la que, sin ser esencial, «emplea al menos a 50 personas o tiene un volumen de negocio y un balance anual superiores a 10 millones de euros». La ANSSI resume el objetivo: «En lo esencial, estas entidades serán medianas y grandes empresas, así como entidades locales y administraciones». Estos umbrales de tamaño solo valen para los sectores del anexo I de la directiva (sectores de alta criticidad). En los sectores del anexo II (otros sectores críticos), una entidad es «importante», y no «esencial», sea cual sea su tamaño, salvo designación distinta por un Estado miembro (artículo 3 de la Directiva (UE) 2022/2555); algunas entidades, como los proveedores de servicios DNS, son esenciales sea cual sea su tamaño. Por debajo de estos umbrales, en principio no es usted una entidad NIS2, lo que no significa que el asunto no le alcance: consulte la sección «Efecto rebote» más abajo en esta página. Para resolver su caso, la ANSSI pone a disposición un simulador público, «¿Estoy afectado?», en monEspaceNIS2.
Fuente: ANSSI, ANSSI (cyber.gouv.fr)En qué punto está Francia hoy
La transposición no ha terminado. La ANSSI lo escribe negro sobre blanco: «La transposición de la directiva NIS 2 en Francia está en curso», y todavía habla de las «futuras entidades esenciales e importantes». El vehículo es el proyecto de ley relativo a la resiliencia de las infraestructuras críticas y al refuerzo de la ciberseguridad (llamado «proyecto de ley Résilience», referencia Légifrance PRMD2412608L), presentado en el Consejo de Ministros el 15 de octubre de 2024, aprobado por el Senado los días 11 y 12 de marzo de 2025 y votado en comisión especial de la Asamblea Nacional el 10 de septiembre de 2025. La ANSSI precisa la consecuencia: «NIS 2 entrará en vigor en Francia cuando se hayan promulgado todos los textos de transposición (ley, decretos, órdenes)».
Fuente: ANSSI, ANSSI (cyber.gouv.fr), ANSSIEl retraso francés está oficialmente constatado
El plazo europeo ha vencido: «Los Estados miembros tenían hasta el 17 de octubre de 2024 para transponer la Directiva NIS 2 a su Derecho nacional». El 8 de julio de 2026, la Comisión Europea anunció que «lleva ante el Tribunal de Justicia de la Unión Europea a Irlanda, España, Francia y los Países Bajos por no haber comunicado las medidas de transposición», tras los escritos de requerimiento del 28 de noviembre de 2024 y los dictámenes motivados del 7 de mayo de 2025. La demanda incluye «una solicitud al Tribunal para que imponga sanciones financieras». Este recurso se dirige contra Francia como Estado, no contra las empresas francesas; lo que le dice al directivo es que el calendario francés está bajo presión y que esperar no es una estrategia.
Fuente: Comisión Europea, DG CONNECT, Comisión Europea, DG CONNECT¿Qué se puede hacer antes de que salga la ley?
Ya hay dos cosas disponibles y gratuitas. Saber si estará afectado: el simulador «¿Estoy afectado?» de monEspaceNIS2. Saber con qué criterios se le evaluará: desde el 17 de marzo de 2026, la ANSSI publica el Referencial Cyber France (ReCyF), que «enumera las medidas recomendadas por la ANSSI para alcanzar los objetivos de seguridad fijados por NIS 2». La ANSSI lo difunde «por el momento como documento de trabajo» y precisa que corresponde «al referencial de ciberseguridad mencionado en el artículo 14 del proyecto de ley Résilience», «no obligatorio por defecto», que los futuros sujetos obligados podrán «invocar en caso de control de la ANSSI».
Fuente: ANSSI (cyber.gouv.fr), ANSSILo que NIS2 no es
No es una certificación que se compra, y ninguna página web (esta incluida) es vinculante. La propia ANSSI lo dice de su FAQ: «carece de fuerza jurídica y no compromete en modo alguno a la ANSSI», y «la Directiva 2022/2555 [...] tal como se publicó en el Diario Oficial de la Unión Europea es la única referencia que permite determinar la totalidad de las condiciones relativas a la aplicación de dicha directiva». El mismo principio vale aquí: esta página ayuda a comprender, el texto es el que hace fe, y la parte jurídicamente vinculante corresponde a un profesional del derecho.
Fuente: ANSSI, EUR-Lex, Oficina de Publicaciones de la Unión EuropeaTema en evolución: los hechos anteriores se verificaron en las fuentes oficiales el 7 de agosto de 2026. Cada fuente se cita con su fecha de consulta para que pueda comprobarla usted mismo.
Las fuentes de este bloque, con su fecha de consulta
- FAQ monEspaceNIS2, requisitos de ciberseguridad (artículos 20 y 21), ANSSI, consultado el 2026-08-07
https://aide.monespacenis2.cyber.gouv.fr/fr/ - Avance de la transposición de la directiva NIS 2 (FAQ monEspaceNIS2), ANSSI, consultado el 2026-08-07 (página actualizada el 19/09/2025)
https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/ - Directiva NIS 2, monEspaceNIS2 / MesServicesCyber, ANSSI, consultado el 2026-08-07
https://monespacenis2.cyber.gouv.fr/ - La directiva NIS 2, ANSSI (cyber.gouv.fr), consultado el 2026-08-07
https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/ - Directiva NIS 2, página de política pública, Comisión Europea, DG CONNECT, consultado el 2026-08-07 (página actualizada el 2 de julio de 2026)
https://digital-strategy.ec.europa.eu/fr/policies/nis2-directive - La Comisión lleva ante el Tribunal de Justicia a Irlanda, España, Francia y los Países Bajos por no haber transpuesto las normas en materia de ciberseguridad, Comisión Europea, DG CONNECT, consultado el 2026-08-07 (publicado el 8 de julio de 2026)
https://digital-strategy.ec.europa.eu/fr/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules - Directiva (UE) 2022/2555 (NIS2), texto oficial, EUR-Lex, Oficina de Publicaciones de la Unión Europea, consultado el 2026-08-07 URL citada como referencia canónica del texto; su contenido no pudo extraerse automáticamente el 07/08/2026 (HTTP 202, cuerpo vacío). Ningún hecho mostrado aquí procede de una lectura directa de esta página.
https://eur-lex.europa.eu/eli/dir/2022/2555/oj
La directiva NIS2, en cifras
Lo que la directiva europea cambia en concreto para las entidades afectadas
Unas 160 000 entidades afectadas en la UE
La directiva NIS2 (UE 2022/2555) amplía muy considerablemente el ámbito de la antigua NIS1, con un umbral de aplicación fijado en la empresa «mediana» en el sentido europeo: 50 empleados, o a la vez más de 10 M EUR de volumen de negocio y más de 10 M EUR de balance, para 18 sectores esenciales e importantes.
Sanciones que alcanzan hasta a los directivos
Los textos prevén multas administrativas (del orden de varios millones de euros o de un porcentaje del volumen de negocio mundial según el tipo de entidad) y una responsabilidad personal de los directivos que puede llegar hasta la inhabilitación temporal para ejercer funciones.
La transposición francesa está en curso
Francia todavía no ha transpuesto NIS2 a su Derecho nacional (se está preparando una ley de transposición). Las empresas que se anticipan ahora evitan el atasco previsto cuando entre en vigor el texto francés.
Las consultoras facturan proyectos largos
Un proyecto clásico de adecuación a NIS2/ISO 27001 dirigido por una gran consultora se cuenta en meses. Un presupuesto a menudo fuera del alcance de una pyme o empresa de tamaño intermedio de 50 a 500 empleados que, sin embargo, debe ponerse manos a la obra.
El efecto rebote: incluso si usted no está sujeto directamente
NIS2 obliga a las entidades esenciales e importantes a verificar la seguridad de su cadena de suministro. En la práctica, sus clientes ya le envían -o le enviarán- un cuestionario de seguridad para proveedores. Ejemplos de preguntas reales extraídas de este tipo de cuestionario:
Autenticación multifactor (MFA)
« ¿Para qué servicios exige la MFA? Correo electrónico, VPN, RDP, administración de red y de la nube, cuentas con privilegios. »
Seguridad del correo electrónico
« ¿Qué controles utiliza contra la suplantación de correos (SPF, DKIM, DMARC)? ¿Ha desactivado los protocolos heredados (IMAP, POP3, SMTP no seguros)? »
Plan de respuesta a incidentes
« ¿Cuál es su plan de respuesta a incidentes y en qué plazo nos notificaría un incidente de ciberseguridad? »
Subcontratación y cadena de suministro
« ¿Recurre a subcontratistas de cuarto nivel? ¿Aceptaría cláusulas contractuales que impongan el cumplimiento de NIS2 (controles, notificación de brechas, derecho de auditoría)? »
Copias de seguridad y continuidad
« ¿Se realizan copias de seguridad? ¿Se prueban la integridad y los procedimientos de restauración al menos una vez al año? »
Gobernanza de la seguridad
« ¿Se apoya su política de seguridad de la información en un marco de referencia reconocido (NIST, ISO 27001)? »
La política de seguridad (PSI) que produce NIS2-Express responde punto por punto a este tipo de cuestionario, con las pruebas correspondientes.
La solución: NIS2-Express
5 días, 20 capítulos, 1 documento operativo que sus equipos pueden aplicar desde el lunes siguiente
Cuestionario y entrevista con la dirección
Entrevista de 2 h con el director de sistemas de información o el directivo. Recopilación del contexto, del alcance, de los retos de negocio y de la madurez actual mediante nuestro cuestionario estructurado (10 dominios, 60 preguntas).
Recopilación y cartografía del sistema de información
Inventario de activos (servidores, equipos, aplicaciones), análisis de la arquitectura de red, identificación de los flujos críticos. Escaneo de vulnerabilidades ligero previo acuerdo.
Generación de la política de seguridad personalizada
Redacción de los 20 capítulos con sus datos reales: organigrama de seguridad, matriz de riesgos, procedimientos operativos, normas de uso informático. Todo es específico de su contexto.
Correspondencia de cumplimiento y anexos
Correspondencia detallada con NIS2 (gobernanza, medidas de seguridad, notificación de incidentes), ISO 27001, ANSSI y RGPD. Generación de los anexos: inventario de activos, matriz SoA, procedimientos de gestión de incidentes, de accesos y de cambios.
Presentación de resultados y transferencia de conocimientos
Presentación del entregable al comité de dirección. Sesión de preguntas y respuestas. Entrega de los archivos editables (HTML, PDF, DOCX) para que sus equipos se los apropien.
Lo que usted recibe
Un paquete completo, listo para desplegar, con todos los documentos que necesita
Política de seguridad (PSI) - 20 capítulos
Política de seguridad completa que cubre todos los dominios de ISO 27001, base documental esperada en virtud de NIS2.
- Gobernanza y organización de la seguridad
- Clasificación de los activos y de los datos
- Gestión de accesos e identidades
- Seguridad de red, de sistemas y de aplicaciones
- Continuidad de la actividad y gestión de incidentes
Informe de auditoría exprés
Síntesis de la postura de seguridad con indicadores visuales.
- Radar de madurez (10 dominios)
- Matriz de riesgos (impacto/probabilidad)
- 10 principales vulnerabilidades críticas
- Plan de acción priorizado (PDCA)
- Presupuesto de seguridad recomendado
Procedimientos y normas de uso
Documentos operativos directamente aplicables por sus equipos.
- PROC-01: Gestión de incidentes
- PROC-02: Gestión de accesos
- PROC-03: Gestión de cambios
- PROC-04: Copia de seguridad y restauración
- Normas de uso informático (listas para firmar)
Correspondencia NIS2
Correspondencia entre su política de seguridad y los grandes capítulos de obligaciones de la directiva NIS2.
- Art. 20 - Gobernanza
- Art. 21 - Medidas de gestión de riesgos (10 dominios)
- Art. 23 - Notificación de incidentes
- Respuestas tipo al cuestionario de proveedores NIS2
- Matriz de cumplimiento con estado
Anexos ISO 27001
Declaración de aplicabilidad y correspondencia de los 93 controles del Anexo A (ISO 27001:2022).
- SoA con justificación por control
- Inventario detallado de servidores
- Registro de vulnerabilidades
- Cadenas de ataque identificadas
- Plan de acción presupuestado
Archivos editables
Todos los documentos en formatos que usted puede modificar.
- HTML autónomo (se abre en cualquier navegador)
- PDF de alta calidad (impresión A4)
- DOCX editable (Microsoft Word)
- Bilingüe FR/EN (opcional)
- Gráficos PNG de alta resolución
Cumplimiento cubierto
Un único documento para responder a todos sus marcos de referencia
NIS2 (Directiva UE 2022/2555)
Cobertura de los grandes capítulos de gobernanza, medidas de gestión de riesgos y notificación de incidentes. Correspondencia de cumplimiento incluida.
ISO 27001:2022
Declaración de aplicabilidad de los 93 controles del Anexo A. Estructura alineada con las cláusulas 4 a 10 y los 4 temas (organizativos, de personas, físicos, tecnológicos).
Guía de la ANSSI - Higiene informática
Las medidas de higiene informática de la ANSSI están cubiertas en los 20 capítulos. Correspondencia explícita en la matriz de cumplimiento.
RGPD (Art. 32)
Medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales. Se abordan la clasificación de los datos y el registro de las actividades de tratamiento.
Preguntas frecuentes
¿Listo para preparar su expediente NIS2?
Vigilancia normativa - fuentes oficiales
NIS2 en lenguaje sencillo, resumido para un directivo con prisa. Cada punto remite al texto oficial del que procede.
¿A quién afecta?
La directiva se dirige a las empresas «medianas» o «grandes» (en el sentido del Derecho europeo) que operan en una lista de sectores considerados críticos: energía, transporte, sanidad, banca, agua, digital, administración pública por un lado; correos, residuos, química, agroalimentación, fabricación, investigación por otro. Un Estado también puede incluir estructuras más pequeñas si desempeñan un papel clave.
Lo que NIS2 le impone realmente
En claro: implantar medidas de seguridad «proporcionadas», saber identificar sus riesgos, proteger sus datos, detectar un ataque, reaccionar y volver a arrancar después. A ello se suman la seguridad física de los locales, el control de accesos y de autorizaciones, y la verificación de la seguridad de sus prestadores y proveedores.
Ante un contratiempo, un calendario preciso
Si se produce un incidente «significativo», hay que avisar a la autoridad en tres tiempos: una alerta temprana en 24 h, una notificación más detallada en 72 h y un informe final en un mes. Los clientes afectados también deben ser informados sin demora de las medidas que han de adoptar por su parte.
Las sanciones, sin dramatizar
El tope de las multas lo fija la directiva: hasta 10 M€ o el 2 % del volumen de negocio mundial (la cifra más elevada) para las entidades «esenciales»; hasta 7 M€ o el 1,4 % del volumen de negocio mundial para las entidades «importantes». Son límites legales, no una factura automática, y la multa solo llega tras una escala de medidas correctivas - véase el detalle más abajo.
Las fechas que hay que recordar
La directiva está en vigor desde el 16 de enero de 2023. Cada Estado miembro debía haber transpuesto sus obligaciones a su ley nacional a más tardar el 17 de octubre de 2024, para una aplicación efectiva desde el 18 de octubre de 2024, fecha en la que se derogó el antiguo texto NIS1.
En Francia, quién lleva el expediente
La ANSSI es la autoridad designada para acompañar la adecuación a NIS2. Ha publicado un «Referencial Cyber France» (ReCyF, disponible desde el 17 de marzo de 2026) y ofrece una plataforma «MonEspaceNIS2» y un «ClubSSI» para ayudar a las empresas a orientarse.
Lo que ya ocurre en los países vecinos
En Alemania, la autoridad BSI indica que el plazo legal de registro de las empresas afectadas ya ha vencido: las que todavía no lo han hecho deben hacerlo sin esperar. Una señal concreta de que el movimiento europeo ya está en marcha, mucho más allá de los textos.
Se estudia una simplificación
La Comisión Europea presentó en 2026 una propuesta («paquete ómnibus») para aliviar el cumplimiento de NIS2, en particular para las estructuras más pequeñas: unas 28 700 empresas se verían afectadas por este alivio, entre ellas 6 200 microempresas y pequeñas empresas.
Vigilancia realizada el 17/07/2026 a partir de los textos y sitios oficiales citados. Informa, no sustituye un dictamen jurídico sobre su situación.
El calendario NIS2, en claro
Para entenderlo en 2 minutos: lo que ya es obligatorio, lo que se acerca y en qué punto está realmente Francia hoy. Cada fecha remite al texto oficial del que procede.
Se adopta la directiva NIS2 Hecho
El texto oficial, la Directiva (UE) 2022/2555, se firma. Se publicará en el Diario Oficial de la UE el 27 de diciembre de 2022.
Entrada en vigor a escala europea Hecho
Veinte días después de su publicación, la directiva entra oficialmente en vigor (artículo 45). Es el punto de partida de la cuenta atrás concedida a los Estados miembros para transponer el texto a su Derecho nacional.
Fecha límite de transposición nacional Vencida
Cada Estado miembro debía, a más tardar en esa fecha, haber adoptado y publicado su propia ley de transposición. Este plazo venció hace casi 2 años: varios países (Alemania, Bélgica...) tienen su ley en vigor; otros, entre ellos Francia, siguen con retraso (véase más abajo).
Aplicación efectiva + fin de NIS1 En vigor
En los países que transpusieron a tiempo, las nuevas normas se aplican realmente desde esa fecha. Es también el día en que la antigua directiva NIS1 (2016/1148) quedó derogada y sustituida por NIS2.
Francia: apertura del prerregistro voluntario Disponible
A la espera de la ley francesa, la ANSSI abre un servicio de prerregistro en su portal ClubSSI. La propia administración precisa que «la obligación de registro... llegará con la publicación de los textos reglamentarios»: por tanto, todavía no es obligatorio, pero ya es útil prepararse.
La Comisión propone simplificar NIS2 En estudio
La Comisión Europea propone enmiendas específicas para «aumentar la claridad jurídica» y «simplificar el cumplimiento» de las normas NIS2, en particular para las estructuras más pequeñas. Es una propuesta, todavía no un texto adoptado: hay que vigilarla, sin esperar por ello.
Francia: la ley sigue sin publicarse En espera
Reuniendo a las partes interesadas en el Campus Cyber, la ANSSI lo confirma negro sobre blanco: «los trabajos legislativos y reglamentarios relativos a la transposición todavía no se han llevado a cabo». Mensaje a las empresas: hagan el prerregistro «sin esperar» a la ley.
Francia, llevada ante la justicia europea Retraso confirmado
La Comisión Europea lleva a Francia, así como a Irlanda, España y los Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado sus medidas de transposición de NIS2. Es la prueba oficial, a escala europea, de que la ley francesa sigue haciéndose esperar casi 2 años después del plazo.
Lo que hay que recordar, sin jerga
A escala europea, NIS2 está en vigor desde el 18 de octubre de 2024: en los países que transpusieron a tiempo, las obligaciones (seguridad, notificación de incidentes, posibles sanciones) ya se aplican de verdad.
En Francia, la ley de transposición sigue sin publicarse a día de hoy (17 de julio de 2026): por tanto, todavía no es posible ninguna sanción «NIS2 francesa» mientras no salga el decreto. Pero el retraso está sometido a fuerte presión (procedimiento ante el Tribunal de Justicia de la UE iniciado el 8 de julio de 2026) y el prerregistro voluntario ya está abierto.
En concreto, para un directivo: que la ley francesa se retrase no significa que haya que esperar para ponerse en regla. El día en que se publique el decreto, las empresas que ya estén preparadas no tendrán nada que recuperar: ahí está todo el interés de un diagnóstico hecho ahora.
Calendario elaborado el 17/07/2026 a partir de las fuentes oficiales citadas (EUR-Lex, Comisión Europea, ANSSI/cyber.gouv.fr). Se actualizará en cuanto se publique la ley francesa.
¿A quién afecta NIS2? El ámbito explicado de forma sencilla
Para entenderlo en 2 minutos: la regla de tamaño, las excepciones, la diferencia entre «esencial» e «importante», y ejemplos concretos extraídos directamente del texto oficial de la directiva.
La regla básica: sector + tamaño
NIS2 se aplica a una empresa que cumple dos condiciones a la vez: ejerce en uno de los 18 sectores enumerados por la directiva (véase más abajo), y es al menos una empresa «mediana» en el sentido europeo, es decir, 50 empleados o más, o a la vez un volumen de negocio y un total de balance superiores a 10 M€. Estos umbrales de tamaño solo valen para los sectores del anexo I de la directiva (sectores de alta criticidad). En los sectores del anexo II (otros sectores críticos), una entidad es «importante», y no «esencial», sea cual sea su tamaño, salvo designación distinta por un Estado miembro (artículo 3 de la Directiva (UE) 2022/2555); algunas entidades, como los proveedores de servicios DNS, son esenciales sea cual sea su tamaño. Por debajo de estos umbrales, una empresa en general no está afectada directamente.
Excepciones, incluso por debajo del umbral
Algunas estructuras están afectadas sea cual sea su tamaño, incluso una pequeña: operadores de telecomunicaciones, prestadores de servicios de confianza (firma electrónica...), registros de nombres de dominio (DNS/TLD), una empresa que es la única que presta un servicio esencial en su país, o cuya interrupción afectaría a la seguridad, a la salud pública o provocaría un riesgo en cadena. Las administraciones públicas (Estado, a veces regiones) también entran en el ámbito, salvo las vinculadas a la seguridad nacional, la defensa o la policía.
«Esencial» o «importante»: ¿qué diferencia hay?
Las dos categorías tienen las mismas obligaciones de seguridad básicas. Lo que cambia es el control: una entidad esencial (en general las grandes empresas de un sector de alta criticidad o, sea cual sea su tamaño, los prestadores cualificados de servicios de confianza, los registros de nombres de dominio y los proveedores de servicios DNS; los operadores de telecomunicaciones lo son a partir del tamaño mediano) puede ser controlada en cualquier momento por la autoridad, incluso antes de un incidente. Una entidad importante (las empresas medianas de los 18 sectores que no están en el caso anterior) en principio solo es controlada tras una denuncia o un incidente.
Microempresas y muy pequeñas empresas: en general fuera del ámbito directo
La Comisión Europea lo confirma: la regla general se dirige a las empresas «medianas y grandes» de los 18 sectores; las microempresas y pequeñas empresas en general están exentas, salvo que se encuentren en alguno de los casos sin umbral de tamaño mencionados (telecomunicaciones, DNS, servicio esencial único...). Incluso se estudia en 2026 un alivio adicional para unas 28 700 empresas, entre ellas 6 200 microempresas y pequeñas empresas.
Los 18 sectores cubiertos, tal como los enumera la directiva
Dos anexos oficiales: el Anexo I (sectores de «alta criticidad», 11 sectores) y el Anexo II («otros sectores críticos», 7 sectores). Una empresa del Anexo I que supera los umbrales de la gran empresa es casi siempre «esencial»; las demás son en general «importantes».
Anexo I - Sectores de alta criticidad (11)
- 1. Energía (electricidad, calefacción y refrigeración urbanas, petróleo, gas, hidrógeno)
- 2. Transporte (aéreo, ferroviario, marítimo/fluvial, por carretera)
- 3. Banca
- 4. Infraestructuras de los mercados financieros
- 5. Sanidad
- 6. Agua potable
- 7. Aguas residuales
- 8. Infraestructura digital (nube, DNS, centros de datos, CDN, telecomunicaciones...)
- 9. Gestión de servicios TIC (proveedores de servicios gestionados B2B)
- 10. Administración pública (central y regional)
- 11. Espacio
Anexo II - Otros sectores críticos (7)
- 1. Servicios postales y de mensajería
- 2. Gestión de residuos
- 3. Fabricación, producción y distribución de sustancias y mezclas químicas
- 4. Producción, transformación y distribución de alimentos
- 5. Industria manufacturera (productos sanitarios, electrónica, material eléctrico, maquinaria, automoción, otro material de transporte)
- 6. Proveedores digitales (mercados en línea, motores de búsqueda, redes sociales)
- 7. Investigación (organismos de investigación)
En concreto, ¿qué significa esto?
Traducción a lenguaje corriente de algunas líneas de los anexos anteriores.
Una clínica privada o un laboratorio de análisis
Entra en el sector «Sanidad» del Anexo I en cuanto se trata de un centro sanitario en el sentido del Derecho europeo, si supera el umbral de tamaño mediano.
Un subcontratista de automoción o un fabricante de maquinaria
Entra en el sector «Industria manufacturera» del Anexo II (vehículos, material eléctrico, maquinaria, electrónica) por encima del umbral de tamaño.
Un proveedor de nube o una empresa de servicios gestionados (MSP/MSSP)
Forma parte de la «Infraestructura digital» o de la «Gestión de servicios TIC» del Anexo I: afectada desde el tamaño mediano (entidad importante), entidad esencial si es grande. Única excepción de tamaño: si además es prestador cualificado de servicios de confianza, registro de nombres de dominio o proveedor de DNS.
Una entidad local o un organismo público regional
Entra en el sector «Administración pública» del Anexo I si el Estado miembro lo designa, en particular cuando la interrupción de sus servicios tendría un impacto significativo en actividades sociales o económicas críticas.
Un transformador agroalimentario o un mayorista
Se incluye en «Producción, transformación y distribución de alimentos» del Anexo II siempre que ejerza una actividad mayorista o una producción/ transformación industrial.
Una empresa «fuera de los 18 sectores», pero proveedora de una entidad afectada
No está directamente en el ámbito de NIS2, pero puede verse empujada a él por contrato: véase la sección «Efecto rebote» más arriba en esta página.
Ámbito resumido el 17/07/2026 a partir del texto oficial de la Directiva (UE) 2022/2555 (Diario Oficial de la Unión Europea, L 333, 27.12.2022) y del sitio de la Comisión Europea. Este resumen informa, no sustituye una calificación jurídica de su situación concreta: la definición exacta de «empresa mediana» (plantilla, volumen de negocio, total de balance) remite a la Recomendación 2003/361/CE y conviene verificarla con un asesor en un caso límite.
NIS2 visto por un directivo: 7 preguntas, 7 respuestas con fuentes
Sin jerga: lo que le preguntaría a un abogado o a la ANSSI, explicado en 2 minutos. Cada respuesta remite al texto oficial del que procede.
P. ¿Qué es la directiva NIS2, en una frase?
Es el texto europeo que sustituyó, desde el 18 de octubre de 2024, a la antigua ley de 2016 sobre ciberseguridad: la Comisión Europea lo describe como un texto que «eleva el nivel común de ambición en ciberseguridad de la UE, mediante un ámbito de aplicación más amplio, normas más claras y herramientas de control reforzadas».
P. Soy una pyme, ¿me afectan realmente los umbrales de tamaño?
El texto se dirige primero a las empresas «medianas» o «grandes» en el sentido europeo, un criterio legal preciso que remite a la Recomendación 2003/361/CE (en la práctica: a partir de 50 empleados, o de más de 10 M EUR de volumen de negocio y de balance a la vez), que operen en uno de los 18 sectores enumerados. Por debajo, en principio no está sujeto directamente, salvo que su Estado incluya estructuras más pequeñas consideradas esenciales, o que usted suministre a una entidad que lo sea (efecto rebote, véase más arriba en esta página).
P. Como directivo, ¿puedo ser considerado personalmente responsable?
Sí, y es el punto menos conocido del texto: el resumen legal oficial de la directiva precisa que el órgano de dirección debe aprobar las medidas de gestión de riesgos y supervisar su aplicación, y que puede ser considerado responsable en caso de incumplimiento. La ciberseguridad no es solo un asunto informático: es una cuestión de gobernanza que llega hasta el directivo.
P. ¿Cómo saber en concreto si mi empresa debe registrarse?
Cada Estado miembro debe mantener actualizada una lista oficial de entidades esenciales e importantes, revisada cada dos años (primer plazo europeo: 17 de abril de 2025). En Francia, la ANSSI pone a disposición una herramienta gratuita de autoevaluación en línea, «MonEspaceNIS2», que responde directamente a la pregunta «¿estoy afectado?».
P. ¿Va Francia con retraso? ¿Qué cambia para mí hoy?
Sí: la ley francesa de transposición sigue sin publicarse, mucho después del plazo europeo. En julio de 2026, la Comisión Europea llevó además a Francia ante el Tribunal de Justicia de la UE por no haber notificado sus medidas de transposición (véase el calendario detallado más arriba). En concreto: todavía no es posible ninguna sanción «NIS2 francesa» mientras no salga el decreto, pero el día en que se publique, las empresas que ya estén preparadas no tendrán nada que recuperar.
P. ¿Qué cambia realmente respecto de la antigua ley NIS1?
NIS1 (2016) se limitaba a la energía, el transporte, la sanidad, las finanzas, el agua y lo digital. NIS2 amplía considerablemente este ámbito: se añaden ahora las comunicaciones electrónicas de uso general, las redes sociales y plataformas digitales, la gestión de residuos, la fabricación de productos críticos, los servicios postales y la administración pública. Muchas empresas que hasta ahora pasaban desapercibidas entran ahora en el ámbito.
P. ¿Está previsto un alivio para las estructuras pequeñas?
Sí, en estudio: la Comisión Europea presentó en 2026 un paquete de simplificación para reducir la carga administrativa vinculada a NIS2, en particular para las entidades más pequeñas. Unas 28 700 empresas se verían afectadas por este alivio, entre ellas 6 200 microempresas y pequeñas empresas. El texto todavía no está adoptado definitivamente: hay que vigilarlo, sin esperar para prepararse.
FAQ normativa elaborada el 17/07/2026 a partir de los textos y sitios oficiales citados (EUR-Lex, Comisión Europea, ANSSI). Informa, no sustituye un dictamen jurídico sobre su situación.
Las sanciones NIS2, en claro
Sin dramatizar: la directiva prevé un sistema gradual en el que la multa solo llega como último recurso. Estas son las cifras exactas, artículo por artículo, con fuente en el texto oficial.
Multa administrativa máxima: como mínimo 10 000 000 EUR O como mínimo el 2 % del volumen de negocio mundial del ejercicio anterior - se aplica la cifra más elevada de las dos.
Multa administrativa máxima: como mínimo 7 000 000 EUR O como mínimo el 1,4 % del volumen de negocio mundial del ejercicio anterior - misma lógica, se aplica la cifra más elevada.
La multa es el último escalón, no el primer reflejo
Antes de llegar a una cifra, el texto impone a las autoridades una escala de medidas: advertencia, instrucciones vinculantes con un plazo, orden de ponerse en conformidad, orden de informar a los clientes afectados por una amenaza, obligación de seguir las recomendaciones de una auditoría, designación de un «responsable de supervisión», obligación de hacer públicos ciertos aspectos de la infracción. La multa «se añade» a estas medidas, no las sustituye.
¿Quién sanciona?
Cada Estado miembro designa una o varias «autoridades competentes» encargadas de la supervisión y de la ejecución de la directiva. En Francia, este papel corresponde a la ANSSI.
El último recurso - solo entidades esenciales
Si las medidas anteriores no surten efecto, la autoridad puede solicitar a un tribunal la suspensión temporal de una certificación o de una autorización, e incluso apartar temporalmente a un directivo (director general o representante legal) de sus funciones, hasta que se alcance la conformidad. Esta escalada extrema afecta SOLO a las entidades esenciales, no a las entidades importantes.
El importe no es automático
La ley impone tener en cuenta, caso por caso: la gravedad y la duración de la infracción, la reincidencia, el daño causado, la intención o la negligencia, las medidas adoptadas para limitar el perjuicio, la adhesión a códigos de conducta o certificaciones, el nivel de cooperación con la autoridad. Dos empresas en la misma situación no reciben automáticamente la misma multa.
Los directivos, personalmente responsables
El texto prevé expresamente que las personas físicas que dirigen la entidad (director general, representante legal) pueden ser consideradas responsables en caso de incumplimiento de sus obligaciones de adecuación - tanto para las entidades esenciales como para las entidades importantes.
¿Y si además es una fuga de datos?
Si el incidente constituye también una violación de la seguridad de los datos personales, la autoridad NIS2 debe informar de ello sin demora a la autoridad de RGPD competente (la CNIL en Francia). Los dos regímenes se coordinan - no es una acumulación automática de sanciones, sino un intercambio de información entre autoridades.
¿Ejemplos con cifras? Todavía no, con toda honestidad
En la fecha de esta vigilancia, no se ha encontrado en ninguna fuente oficial ninguna decisión de sanción NIS2 hecha pública. El sistema depende de la ley de transposición de cada Estado miembro, en fase de finalización. Señal de que el movimiento está en marcha: en Alemania, la autoridad BSI indica que el plazo legal de registro de las entidades afectadas ya ha vencido.
Sección de sanciones redactada el 17/07/2026 a partir de la lectura directa de los artículos 31 a 35 de la Directiva (UE) 2022/2555 (texto oficial EUR-Lex) y de las fuentes citadas. Informa, no sustituye un dictamen jurídico sobre su situación.
Su propio Microsoft 365: la puntuación gratuita
SYAGA Audit lee la configuración de seguridad de su Microsoft 365 y le entrega una puntuación gratuita, punto por punto. Es solo lectura: dentro de los límites de los derechos que Microsoft permite conceder para la lectura pura, e incluso cuando un derecho permitiera actuar, nosotros solo leemos. Esta puntuación no es una certificación ni una garantía de conformidad.