Respuesta corta: si su pyme tiene menos de 50 empleados y factura menos de 10 millones de euros, lo más probable es que la NIS2 no le obligue de forma directa. Pero si entre sus clientes hay un hospital, una eléctrica, un operador logístico, un banco o una administración pública, la obligación le va a llegar igualmente por vía contractual: el artículo 21.2.d de la directiva obliga a esos clientes a controlar la seguridad de sus proveedores. La pregunta correcta no es si usted está dentro del ámbito de la ley, sino a quién le vende.
La reacción más habitual cuando hablamos de NIS2 con gerentes de empresas de 40, 60 o 100 empleados en Madrid es siempre la misma: «eso es para eléctricas, hospitales y bancos». Es una lectura razonable del texto legal y, aun así, es la que más caro sale. Porque la NIS2 no llega a las pymes por la puerta de entrada de la ley, sino por la de atrás: la de los contratos con sus clientes. En esta guía explicamos en qué punto está la norma en España a septiembre de 2026, quién está realmente dentro, qué le van a pedir a usted como proveedor y qué conviene tener resuelto antes de que llegue el primer cuestionario.
En qué punto está la NIS2 en España (septiembre de 2026)
Aquí hay bastante ruido, así que conviene separar hechos de titulares. Este es el estado real de la transposición:
| Hito | Situación |
|---|---|
| Directiva (UE) 2022/2555 (NIS2) | En vigor desde enero de 2023 en toda la UE |
| Plazo de transposición | 17 de octubre de 2024. España no llegó |
| Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad | Aprobado por el Consejo de Ministros el 14 de enero de 2025 |
| Publicación en el BOE | Todavía no. Sigue en tramitación parlamentaria |
| Dictamen motivado de la Comisión Europea | Mayo de 2025 |
| Recurso ante el Tribunal de Justicia de la UE | 8 de julio de 2026, con petición de sanciones económicas a España |
| Norma española vigente mientras tanto | Real Decreto-ley 12/2018 (NIS1), más obligaciones sectoriales introducidas por real decreto-ley y, en el sector financiero, el Reglamento DORA |
Con este panorama es fácil concluir que, como la ley española no está aprobada, no hay nada que hacer todavía. Ese es el primer error. El contenido de fondo de la directiva lleva vigente desde 2023, los tribunales pueden aplicar directamente una directiva no transpuesta cuando el plazo ya ha vencido, y el proyecto de ley crea un Centro Nacional de Ciberseguridad con capacidad sancionadora y un registro nacional de entidades. Cuando se publique, lo hará con poco margen de adaptación.
Pero el segundo error, mucho más silencioso, es el que de verdad afecta a la mayoría de las pymes madrileñas. Y no tiene nada que ver con el BOE.
El umbral oficial: quién está dentro del ámbito directo
El criterio general es conocido: entidades medianas o grandes —50 o más empleados, o una facturación o balance igual o superior a 10 millones de euros— que operen en alguno de los sectores de los anexos I y II de la directiva.
| Anexo I · Sectores de alta criticidad | Anexo II · Otros sectores críticos |
|---|---|
| Energía (electricidad, gas, petróleo, hidrógeno, calor) | Servicios postales y de mensajería |
| Transporte (aéreo, ferroviario, marítimo, carretera) | Gestión de residuos |
| Banca y mercados financieros | Fabricación y distribución de productos químicos |
| Sanidad | Producción y distribución de alimentos |
| Agua potable y aguas residuales | Fabricación (sanitaria, electrónica, maquinaria, automoción) |
| Infraestructura digital y gestión de servicios TIC entre empresas | Proveedores de servicios digitales (marketplaces, buscadores, redes sociales) |
| Administración pública | Investigación científica |
El anteproyecto español añade además la industria nuclear entre los sectores de alta criticidad y la seguridad privada entre los de menor criticidad. Y hay excepciones tasadas en las que el tamaño no le salva: proveedores de DNS, registros de nombres de dominio de primer nivel, prestadores cualificados de servicios de confianza, redes públicas de comunicaciones y administraciones públicas quedan dentro aunque sean microempresas. El criterio de riesgo sistémico pesa más que la cifra de negocio.
Si su empresa está claramente por debajo de esos umbrales y fuera de esos sectores, la lectura rápida es correcta: queda fuera del ámbito directo. Hasta aquí, lo que cuenta todo el mundo.
La letra pequeña: el efecto cascada del artículo 21.2.d
La NIS2 no se limita a obligar a las entidades incluidas en su ámbito a proteger sus propios sistemas. El artículo 21.2.d les obliga también a gestionar la seguridad de su cadena de suministro, incluidos «los aspectos relativos a la seguridad de las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos».
Traducido a la práctica: una empresa mediana o grande sujeta a NIS2 tiene la obligación legal de exigir garantías de seguridad a sus proveedores, integradores, subcontratas, gestorías y despachos externos, tengan el tamaño que tengan. No lo hace por celo burocrático, lo hace porque responde de ello.
El paralelismo con el RGPD es casi exacto. Cuando el reglamento obligó a los responsables del tratamiento a garantizar que sus encargados cumplían, miles de pymes que jamás habían oído hablar del RGPD acabaron firmando contratos de encargo y revisando sus políticas. Con la NIS2 está pasando lo mismo, pero en ciberseguridad. Y con una diferencia importante: aquí el plazo no lo marca la ley, lo marca su cliente.
Un matiz técnico que conviene conocer porque le ahorrará discusiones: el artículo 21.2.d habla de proveedores directos. No impone un traslado automático en cascada a cada subproveedor de tercer o cuarto nivel. Si un cliente le exige que replique íntegramente sus obligaciones NIS2 sobre todos sus proveedores, está yendo más allá de lo que pide la directiva y es legítimo negociarlo.
¿Le va a llegar el cuestionario? Señales de que sí
| Si entre sus clientes hay… | Probabilidad de recibir exigencias contractuales |
|---|---|
| Hospital o grupo sanitario privado, mutua, laboratorio | Muy alta |
| Ayuntamiento, consejería, organismo público | Muy alta (además, ENS por contrato) |
| Banca, aseguradora, entidad de pago | Muy alta (DORA en paralelo) |
| Eléctrica, gasista, gestor de agua o residuos | Alta |
| Operador logístico, transporte, handling aeroportuario | Alta |
| Fabricante de automoción, electrónica o producto sanitario | Alta |
| Proveedor cloud, telco, data center, MSP grande | Alta (y se lo trasladarán a usted) |
| Solo pymes locales fuera de esos sectores | Baja, por ahora |
Si se ha reconocido en alguna de las filas superiores, no es cuestión de si, sino de cuándo. Y el disparador habitual no es una carta formal: es la renovación del contrato, la ampliación del servicio o la entrada de un nuevo responsable de compras.
Qué le van a pedir exactamente
Los cuestionarios varían, pero el fondo se repite porque todos derivan de las diez categorías de medidas del artículo 21.2. Esto es lo que, en nuestra experiencia con clientes de la Comunidad de Madrid, se está pidiendo de verdad, y con qué evidencia se demuestra:
| Lo que le preguntan | La evidencia que sirve |
|---|---|
| Análisis de riesgos y política de seguridad | Documento aprobado por dirección, con fecha y revisión anual |
| Gestión de accesos y doble factor | Inventario de cuentas, política de contraseñas, MFA activo en VPN y correo |
| Copias de seguridad y continuidad | Esquema 3-2-1 documentado, con informes de restauración probada y RTO/RPO por servicio |
| Actualizaciones y vulnerabilidades | Ciclo de gestión de parches con informes mensuales |
| Protección del puesto y del servidor | EDR/XDR desplegado, con consola y cobertura demostrable |
| Detección y registro de eventos | Monitorización y SIEM, con retención de logs |
| Plan de respuesta a incidentes | Procedimiento escrito, responsables nombrados y al menos un simulacro |
| Notificación de incidentes al cliente | Compromiso contractual, normalmente en 24 horas |
| Formación y concienciación | Registro de asistencia y resultados de campañas de phishing simulado |
| Control de sus propios proveedores | Listado de subcontratas críticas y cláusulas de seguridad firmadas |
Para el sector de infraestructura digital, el Reglamento de Ejecución (UE) 2024/2690 detalla qué formas de evidencia son admisibles: un cuestionario cumplimentado, una certificación reconocida como ISO 27001, un informe reciente de pruebas de intrusión o una cláusula de auditoría ejercida por muestreo. No hay una única respuesta válida; hay que elegir la proporcionada al riesgo y dejarla documentada. Por eso una auditoría de seguridad previa y un test de intrusión resuelven de golpe media docena de casillas del cuestionario.
Un punto ciego: su proveedor informático sí está dentro
Merece la pena decirlo con claridad, aunque nos afecte a nosotros mismos. El anexo I incluye expresamente la gestión de servicios TIC entre empresas: los proveedores de servicios gestionados (MSP) y los de servicios de seguridad gestionados (MSSP). Es decir, la empresa que mantiene sus servidores, su correo y sus copias está en un sector de alta criticidad. Si además supera los umbrales de tamaño, está sujeta directamente.
Esto tiene una consecuencia práctica para usted: delegar no exime. Puede externalizar la operación, pero la responsabilidad sobre lo que ocurra en sus sistemas sigue siendo suya, y tendrá que acreditar que supervisa a su proveedor. Es razonable pedirle a su empresa de mantenimiento informático qué medidas aplica sobre sus propios accesos remotos, dónde guarda las credenciales de sus clientes y cómo le notificaría un incidente. Si no sabe responder por escrito, ese es ya el primer hallazgo de su análisis de riesgos.
Los plazos que de verdad le van a exigir
La directiva establece una notificación de incidentes significativos en tres tiempos, y ese esquema es el que sus clientes replicarán en sus contratos:
- 24 horas: alerta temprana desde que se tiene conocimiento del incidente.
- 72 horas: notificación con evaluación inicial de gravedad, impacto e indicadores de compromiso.
- 1 mes: informe final con causa raíz, medidas aplicadas y alcance real.
Cumplir un plazo de 24 horas no es un problema de papeleo, es un problema de detección. Si nadie mira los registros y no hay alertas, usted se entera del incidente cuando un empleado no puede abrir un archivo, y para entonces el reloj lleva días corriendo. Ahí es donde un servicio de monitorización continua deja de ser un lujo y pasa a ser el requisito que hace posible todo lo demás.
Qué pasa si no cumple
Conviene distinguir dos escenarios, porque se confunden constantemente.
Si es usted una entidad obligada, la directiva fija multas de hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes. El anteproyecto español gradúa las infracciones en leves, graves y muy graves, con sanciones desde 10.000 euros, contempla la responsabilidad solidaria de los miembros del órgano de dirección y obliga a designar un Responsable de la Seguridad de la Información. Las entidades esenciales tendrán que acreditar su cumplimiento con una certificación de conformidad; las importantes podrán optar por la autoevaluación. El cumplimiento del Esquema Nacional de Seguridad servirá para acreditar las medidas.
Si es usted proveedor, no le va a inspeccionar nadie. Lo que está en juego no es una multa: es el contrato. La empresa que no pueda demostrar sus controles se queda fuera de la renovación, o directamente no entra en la lista de proveedores homologados. Es una sanción menos aparatosa y bastante más inmediata.
Plan de 90 días para una pyme proveedora
No hace falta un proyecto de cumplimiento completo para estar en posición razonable. Un programa serio de ciberseguridad, con gestión de riesgos, notificación y control de proveedores, lleva entre seis y doce meses; pero lo que le preguntará su cliente el mes que viene se puede preparar en tres pasos.
Días 1-30. Saber dónde está. Revise qué clientes suyos pertenecen a sectores regulados. Haga inventario de equipos, servicios cloud, accesos remotos y cuentas con privilegios. Compruebe si sus copias restauran de verdad, no si el trabajo aparece en verde. Si quiere una primera medición sin coste, nuestro test de ciberseguridad para empresas son 18 preguntas y un resultado priorizado en tres minutos.
Días 31-60. Cerrar lo evidente. Doble factor en correo, VPN y accesos administrativos. Copias con una réplica fuera de línea o inmutable. Parcheo con calendario. Gestor de contraseñas corporativo, no un Excel compartido. EDR en todos los puestos, incluidos los portátiles del gerente y del comercial.
Días 61-90. Poder demostrarlo. Redacte la política de seguridad y el procedimiento de respuesta a incidentes, con nombres y teléfonos. Deje un registro de formación. Prepare una ficha de dos páginas con sus controles, lista para responder a cualquier cuestionario sin empezar de cero cada vez. Y valore un seguro de ciberriesgo: cada vez más clientes lo piden como cláusula, y la propia aseguradora le auditará controles mínimos.
Ese orden no es casual. Primero se reduce el riesgo real, después se documenta. Al revés se obtiene una carpeta bonita y una empresa igual de expuesta.
NIS2 en Madrid: por qué aquí llega antes
La Comunidad de Madrid concentra una densidad poco habitual de entidades que sí están dentro del ámbito directo: sedes de banca y aseguradoras, grandes grupos sanitarios privados, administración central y autonómica, operadores energéticos, el nudo logístico de Barajas, Coslada y el Corredor del Henares, ingenierías y una parte muy relevante del sector TIC nacional. Alrededor de todas ellas trabaja un tejido de pymes proveedoras que es, precisamente, el que está recibiendo los cuestionarios.
En soluciones.si llevamos más de quince años dando servicio a empresas y despachos profesionales de Madrid desde Villaviciosa de Odón, con presencia habitual en Móstoles, Alcorcón, Getafe, Leganés, Fuenlabrada, Boadilla, Pozuelo, Las Rozas y el centro de la capital. En los últimos meses, las peticiones que más han crecido no vienen de empresas asustadas por la ley, sino de empresas a las que un cliente grande les ha enviado un documento de veinte páginas con casillas que no saben rellenar. Puede ver cómo trabajamos en la página de mantenimiento informático en Madrid y en nuestro área de ciberseguridad para empresas.
Cinco errores que vemos repetirse
1. Esperar al BOE. La exigencia contractual no depende de la publicación de la ley española. Ya está circulando.
2. Confundir tener con demostrar. Tener copias no vale; vale enseñar el informe de la última restauración probada. La auditoría del cliente pregunta por evidencias, no por intenciones.
3. Firmar el cuestionario sin leerlo. Hemos visto pymes comprometerse por contrato a notificar en 24 horas sin tener ninguna capacidad de detección. Eso no es cumplir: es asumir un incumplimiento con firma.
4. Tratarlo como un asunto del informático. La NIS2 sitúa la responsabilidad en el órgano de dirección. La política de seguridad la aprueba la gerencia, no el técnico.
5. Olvidar el RGPD. Muchos incidentes NIS2 son a la vez brechas de datos personales notificables a la AEPD en 72 horas. Son dos relojes distintos que arrancan a la vez, y conviene tener un único procedimiento que los contemple.
Preguntas frecuentes sobre la NIS2 en pymes
¿La NIS2 obliga a mi pyme de menos de 50 empleados?
Por regla general no, salvo que opere en un sector de excepción tasada (DNS, registros de dominios, prestadores cualificados de servicios de confianza, redes públicas de comunicaciones o administración pública). Pero si presta servicios a una entidad obligada, le llegarán exigencias equivalentes por contrato.
¿Puedo esperar a que se apruebe la ley española?
No es recomendable. A septiembre de 2026 el proyecto sigue en tramitación y España ha sido llevada ante el Tribunal de Justicia de la UE, pero las obligaciones de fondo de la directiva están vigentes desde 2023 y sus clientes ya las están trasladando a sus contratos.
¿Qué me pedirá exactamente un cliente sujeto a NIS2?
Habitualmente un cuestionario de seguridad, cláusulas contractuales con compromiso de notificación de incidentes en 24 horas, evidencias de copias, accesos, parcheo y formación y, en algunos casos, derecho de auditoría o una certificación reconocida.
¿Sirve la ISO 27001 para cumplir la NIS2?
No es un requisito legal, pero cubre buena parte de las medidas del artículo 21 y es la forma más rápida de demostrar madurez ante un cliente o un auditor. En entornos con contratación pública, el Esquema Nacional de Seguridad suele pesar más.
Si tengo el mantenimiento informático externalizado, ¿cumple mi proveedor por mí?
No. Puede delegar la ejecución, pero no la responsabilidad. Deberá acreditar además que supervisa a ese proveedor y que tiene cláusulas de seguridad firmadas con él.
¿Cuánto tiempo lleva prepararse?
Un programa completo de cumplimiento se mueve entre seis y doce meses. Estar en condiciones de responder con solvencia al cuestionario de un cliente es cuestión de unos tres meses de trabajo ordenado.
¿Qué pasa si sufro un incidente y soy proveedor de una entidad NIS2?
Tendrá que notificarlo a su cliente en el plazo pactado, normalmente 24 horas, colaborar en el análisis y entregar un informe de causa raíz. Si además hay datos personales implicados, se activa en paralelo la notificación a la AEPD. Puede ver cómo actuar en nuestra guía sobre qué hacer ante un ataque de ransomware.
¿Le ha llegado ya un cuestionario de seguridad de un cliente?
Si quiere saber en qué situación está su empresa y qué le van a pedir sus clientes en los próximos meses, eso es exactamente lo que resolvemos en una sesión de diagnóstico: una hora de conversación de la que sale un mapa de prioridades, no una lista de miedos. Revisamos sus controles reales, el cuestionario que tenga sobre la mesa y qué hace falta para poder firmarlo con tranquilidad.
Llámenos al 911 599 883 o escríbanos desde el formulario de contacto. Si prefiere empezar usted solo, haga primero el test de ciberseguridad y hablamos sobre el resultado.
Para profundizar: nuestra guía general sobre qué es la Directiva NIS2 y cómo afecta a la ciberseguridad en Europa y la comparativa entre ENS, DORA y NIS2. El texto del anteproyecto está disponible en el Departamento de Seguridad Nacional.
Contenido revisado el 20 de septiembre de 2026. El estado de la tramitación puede cambiar: si está leyendo esto meses después, conviene verificar si la Ley de Coordinación y Gobernanza de la Ciberseguridad ya se ha publicado en el BOE.
