La Gaceta del Centinela
En tiempos de sobreinformación: referencias verificables y contraste adicional cuando exista más de una fuente fiable.
Contenido orientativo con fuentes oficiales y referencias contrastables. No sustituye asesoramiento jurídico ni técnico especializado.
La Directiva NIS2 (2022/2555/UE) era de transposición obligatoria antes del 17 de octubre de 2024. España trabaja en el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero el marco de obligaciones ya es exigible vía el Real Decreto 43/2021 y, en muchos casos, los contratos con grandes clientes ya están incorporando cláusulas NIS2. Esta guía responde las preguntas que más recibimos: ¿a quién aplica exactamente?, ¿qué medidas mínimas hay que implementar? y ¿cómo funciona la notificación de incidentes?
Puntos clave
NIS2 distingue entre entidades esenciales (Anexo I) y entidades importantes (Anexo II). Los criterios cuantitativos son: más de 250 empleados o más de 50 millones de euros de facturación para esenciales; más de 50 empleados o más de 10 millones para importantes. Pero hay excepciones: algunas entidades están sujetas independientemente de su tamaño (operadores de infraestructuras críticas, prestadores de servicios de confianza, registros de dominio, etc.).
| Tipo de entidad | Umbral | Ejemplos de sectores | Sanción máxima |
|---|---|---|---|
| Esencial | >250 empleados o >50M€ | Energía, banca, salud, infraestructura digital | 10M€ o 2% facturación global |
| Importante | >50 empleados o >10M€ | Servicios postales, residuos, fabricación, proveedores digitales | 7M€ o 1,4% facturación global |
| Independiente del tamaño | Por tipo de actividad | Prestadores de confianza, DNS, TLD, AAPP | Igual que esenciales |
El artículo 21 NIS2 exige medidas «adecuadas y proporcionadas» para gestionar los riesgos. No fija controles exactos, pero enumera 10 áreas mínimas. La proporcionalidad se evalúa en función del tamaño, la exposición al riesgo y el impacto potencial de un incidente. Los organismos de supervisión (CCN, INCIBE) pueden requerir evidencias de implementación durante una inspección.
El sistema de notificación NIS2 es escalonado. El primer nivel —alerta temprana— no exige información completa: basta con notificar que ha ocurrido un incidente que podría ser significativo. La notificación de 72 horas debe incluir ya una evaluación de gravedad, indicadores de compromiso y, si se sospecha, el origen. El informe final de un mes cierra el ciclo con el análisis de causa raíz y las medidas correctoras adoptadas.
La supervisión en España no recae en un único organismo: depende del sector y del impacto potencial de la entidad. El CCN-CERT supervisa las Administraciones Públicas y los operadores esenciales del sector privado de muy alto impacto. INCIBE supervisa el resto del sector privado. El CNPIC coordina con ambos para entidades que también son operadores críticos bajo la Ley 8/2011.
Próximos pasos recomendados
¿Tienes dudas concretas sobre este tema?
Pregúntale directamente a Centinela AI con tu contexto específico. Responde en segundos con fuentes citadas.
Probar gratis, sin tarjetaFuentes y referencias
También en NIS2