¿Qué es NIS2? La directiva de ciberseguridad de la UE en palabras sencillas
NIS2 es la Directiva (UE) 2022/2555. Obliga a las empresas de 18 sectores, por regla general a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance, a registrarse, a tomar medidas de seguridad en diez ámbitos y a notificar los incidentes significativos. La dirección es responsable de ello. Cada país de la UE transpone la directiva a su propia ley; en Alemania se aplica desde el 6 de diciembre de 2025 a través de la Ley del BSI (BSIG).
Una directiva de la UE
NIS2 es la segunda directiva relativa a la seguridad de las redes y sistemas de información. Se publicó en el Diario Oficial de la UE el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023.
Su objetivo es un elevado nivel común de ciberseguridad en toda la UE. Sustituye a la primera Directiva NIS (UE) 2016/1148, derogada el 18 de octubre de 2024.
Una directiva no se aplica directamente a las empresas. Cada país de la UE la transpone a su propia ley. El plazo para ello era el 17 de octubre de 2024. Los deberes para su empresa solo nacen con esa ley nacional.
Arts. 1, 41, 44 y 45 NIS 2
Quién está afectado
Una empresa está afectada si trabaja en uno de los 18 sectores de los Anexos I y II y es al menos mediana: a partir de 50 empleados, o con una facturación anual y un balance de más de 10 millones de euros cada uno.
Algunos proveedores están afectados con independencia de su tamaño, como los proveedores de telecomunicaciones, de servicios de confianza, de dominios de primer nivel y de DNS. Los Estados miembros pueden identificar otras entidades.
Arts. 2 y 3 NIS 2 · Recomendación 2003/361/CE
Anexo I: sectores de alta criticidad
- 01Energía
- 02Transporte
- 03Banca
- 04Infraestructuras de los mercados financieros
- 05Salud
- 06Agua potable
- 07Aguas residuales
- 08Infraestructura digital, como la nube, los centros de datos y las telecomunicaciones
- 09Gestión de servicios TIC para empresas, como los servicios gestionados
- 10Administración pública
- 11Espacio
Anexo II: otros sectores críticos
- 01Servicios postales y de mensajería
- 02Gestión de residuos
- 03Fabricación, producción y distribución de sustancias químicas
- 04Alimentación: comercio mayorista, producción industrial y transformación
- 05Fabricación, como maquinaria, electrónica, productos sanitarios y vehículos
- 06Proveedores digitales: mercados en línea, motores de búsqueda, redes sociales
- 07Investigación
Entidades esenciales e importantes
La directiva divide a las empresas afectadas en dos grupos. El tamaño se calcula según la Recomendación 2003/361/CE; también pueden contar las empresas vinculadas y asociadas.
| Tamaño | Cuándo | Resultado |
|---|---|---|
| Pequeña | Menos de 50 empleados, y facturación o balance de 10 M€ o menos | Por regla general, no afectada |
| Mediana | A partir de 50 empleados, o facturación y balance de más de 10 M€ cada uno | Entidad importante |
| Grande | A partir de 250 empleados, o facturación de más de 50 M€ y balance de más de 43 M€ | Anexo I: entidad esencial. Anexo II: entidad importante |
Los deberes son los mismos para ambos grupos. La supervisión es distinta: la autoridad puede inspeccionar a las entidades esenciales sin un motivo concreto, y a las importantes a posteriori, cuando hay indicios de un incumplimiento (arts. 32 y 33 NIS 2).
Los cuatro deberes
Registrarse
Comunica su empresa a la autoridad competente: nombre, dirección, datos de contacto, rangos de IP, sector y los países en los que opera. Los cambios los comunica en dos semanas.
Art. 3(4) NIS 2
Tomar medidas de seguridad
Medidas en diez ámbitos, desde la gestión de incidentes, pasando por las copias de seguridad y la cadena de suministro, hasta un segundo factor al iniciar sesión. La profundidad depende del riesgo, del tamaño y del coste.
Art. 21 NIS 2
Notificar los incidentes significativos
Una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final un mes después de la notificación.
Art. 23 NIS 2
La dirección
La dirección aprueba las medidas, supervisa su implementación y participa en formaciones. Puede responder por los incumplimientos.
Art. 20 NIS 2
Qué se aplica en caso de incumplimiento
La directiva exige a cada país prever multas con un máximo de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales), y de 7 millones de euros o el 1,4 % para las entidades importantes, el importe que sea mayor.
La ley alemana fija los límites máximos en 10 y 7 millones de euros. Un porcentaje de la facturación solo entra en juego allí por encima de 500 millones de euros de facturación (§ 65 BSIG).
En las entidades esenciales, a una persona de la dirección se le puede prohibir temporalmente, como último recurso, ejercer funciones de dirección. La directiva no prevé esto para las entidades importantes.
En nuestra última comprobación, en agosto de 2026, el BSI no había publicado ninguna multa según el nuevo BSIG.
Art. 32(5) y art. 34 NIS 2 · § 65 BSIG
Las multas en Alemania en detalleQué cambió respecto a NIS 1
Con la primera Directiva NIS, los Estados miembros decidían en gran parte por sí mismos qué operadores quedaban incluidos. Con NIS2 deciden el sector y el tamaño, y las empresas comprueban por sí mismas si están afectadas.
Son nuevos, entre otras cosas, más sectores, plazos de notificación fijos en tres fases, los deberes de la dirección y una lista mínima de diez ámbitos que incluye la cadena de suministro.
Arts. 2, 20, 21, 23 y 44 NIS 2
En Alemania y en los demás países de la UE
En Alemania, NIS2 se aplica a través de la NIS2UmsuCG, que reescribió la Ley del BSI. Entró en vigor el 6 de diciembre de 2025. La autoridad competente es el BSI. Allí la entidad esencial se llama «besonders wichtige Einrichtung» (entidad especialmente importante).
En los demás países de la UE se aplica la ley nacional, en los Países Bajos por ejemplo la Cyberbeveiligingswet. El país competente es aquel en el que está establecida su empresa.
Art. 26 NIS 2 · BGBl. 2025 I n.º 301
Qué significa esto para una empresa de 50 a 150 empleados
En uno de los 18 sectores, una empresa así suele ser entidad importante. Con este tamaño solo es esencial por excepción: en un sector del Anexo I con más de 50 millones de euros de facturación y más de 43 millones de euros de balance, como proveedor de telecomunicaciones, o si el país la identifica como tal.
Tiene los mismos cuatro deberes que una gran empresa. Pero las medidas solo tienen que ser tan profundas como exijan el riesgo, el tamaño y el coste.
La autoridad solo inspecciona a una entidad importante cuando hay indicios de un incumplimiento.
Arts. 3, 21(1) y 33 NIS 2
Un ejemplo
Una empresa inventada: un fabricante de máquinas de embalaje con 110 empleados en Alemania.
La fabricación de maquinaria pertenece a la fabricación del Anexo II. Con 110 empleados, la empresa es entidad importante.
Se registra ante el BSI, la autoridad competente en Alemania.
Anota con qué trabaja, decide las medidas en los diez ámbitos y deja escrito en un plan de respuesta a incidentes quién notifica un incidente.
El gerente participa en una formación, lee los documentos y los aprueba.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu le lleva paso a paso por los deberes.
20 pasos. Los operadores de instalaciones críticas tienen uno más.
Junto a cada paso está la norma, explicada con palabras sencillas.
El registro, las medidas, la notificación y la formación de la dirección son pasos propios.
El paso de registro muestra la autoridad competente de su país y su portal.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
Preguntas frecuentes
¿Qué es NIS2, en pocas palabras?
Una directiva de la UE sobre ciberseguridad. Obliga a las empresas de sectores importantes a registrarse, a proteger su informática de forma adecuada y a notificar con rapidez los incidentes significativos. La dirección es responsable de ello.
¿Es NIS2 una ley?
NIS2 es una directiva. Se dirige a los países de la UE, que la transponen a su propia ley. En Alemania es la Ley del BSI (BSIG) en la versión de la NIS2UmsuCG.
¿A quién se aplica NIS2?
A las empresas de los 18 sectores de los Anexos I y II que son al menos medianas: a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance. Algunos proveedores, como los de DNS o de servicios de confianza, están afectados con independencia de su tamaño.
¿Desde cuándo se aplica NIS2?
La directiva está en vigor desde el 16 de enero de 2023. A las empresas se les aplica a través de la ley de su país; en Alemania, desde el 6 de diciembre de 2025.
¿Qué significa NIS?
Network and information systems, es decir, redes y sistemas de información. NIS2 es la segunda directiva sobre su seguridad.
Fuentes
- Directiva (UE) 2022/2555 (NIS 2), arts. 1 a 3, 20, 21, 23, 26, 32 a 34, 41, 44, 45 y Anexos I y II, EUR-Lex
- Recomendación 2003/361/CE de la Comisión, EUR-Lex
- Ley del BSI (BSIG) § 65, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n.º 301
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
