AEGISNIS2 en España: ¿afecta a mi pyme?
En resumen
- NIS2 es la directiva europea que obliga a muchas más empresas a gestionar su ciberseguridad.
- España aprobó el anteproyecto de ley en enero de 2025, pero a la fecha de esta guía sigue sin publicarse en el BOE.
- Aunque tu pyme no esté obligada directamente, tus clientes obligados te pedirán garantías como proveedor.
Qué es NIS2
NIS2 es la Directiva (UE) 2022/2555, que sustituye a la primera directiva NIS de 2016 y amplía mucho los sectores y empresas que deben tomarse en serio la ciberseguridad [1]. Exige medidas de gestión del riesgo, notificar incidentes en plazos cortos y que la dirección responda de ello.
En qué punto está en España
Los Estados miembros debían trasponerla antes del 17 de octubre de 2024, y España no cumplió el plazo [1]. El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es la norma que la incorporará [2].
A finales de octubre de 2026, España seguía sin una ley formal de transposición y continuaba vigente el Real Decreto-ley 12/2018, que trasladó la directiva anterior [1]. Revisaremos esta guía cuando la ley se publique.
Mientras tanto, el texto de la propia directiva es la referencia práctica para quien opera en España [3].
¿Está obligada mi empresa?
NIS2 se aplica, en general, a medianas y grandes empresas de sectores considerados esenciales o importantes: energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación de ciertos productos, proveedores digitales, entre otros.
Una pyme pequeña de esos sectores puede quedar fuera por tamaño, pero hay excepciones (por ejemplo, proveedores de DNS o de confianza digital). Ante la duda, consulta con un asesor el texto final cuando se publique.
Por qué te afecta aunque no estés en la lista
NIS2 obliga a las empresas incluidas a gestionar el riesgo de su cadena de suministro. En la práctica, eso significa que tus clientes grandes empezarán a mandarte cuestionarios de seguridad, a pedirte que demuestres ciertas medidas o a incluir cláusulas en los contratos.
La pyme que pueda responder rápido, con evidencias, tendrá ventaja comercial. La que no, puede quedarse fuera de concursos y homologaciones.
Qué puedes hacer ya, sin esperar a la ley
- Conoce lo que expones. Revisa qué ve un atacante desde fuera: correo, web y servicios abiertos a internet.
- Cierra lo básico. Doble factor en el correo y en los accesos remotos, DMARC en
reject, nada de escritorio remoto expuesto, actualizaciones al día. - Copias de seguridad separadas de la red y probadas.
- Un responsable y un plan de incidentes de una página: a quién se llama, qué se desconecta, cómo se notifica.
- Guarda evidencias de lo que haces. Es lo que te pedirán tus clientes.
El Instituto Nacional de Ciberseguridad (INCIBE) ofrece gratis la línea de ayuda 017 para empresas y ciudadanos.
Cómo encaja AEGIS
El informe de AEGIS te da una foto externa, fechada y verificable de tu exposición, con una nota de la A a la F. Sirve como punto de partida del plan y como evidencia para los cuestionarios de tus clientes.