Cumplir NIS2 no es conseguir un sello. Es algo más complicado que eso
España acumula ya más de un año de retraso en la transposición de la Directiva NIS2 al ordenamiento jurídico nacional. El plazo europeo venció el 17 de octubre de 2024, y aunque el Real Decreto-ley 7/2025 adelantó de forma parcial algunas de sus obligaciones, la norma que debe completar la transposición íntegra, la Ley de Coordinación y Gobernanza de la Ciberseguridad, sigue en tramitación parlamentaria. Lo que parecía un calendario lejano marcado por Bruselas ha pasado a ser, en la práctica, una exigencia con efectos inmediatos para miles de empresas: aquellas que operan en sectores críticos con más de 50 empleados o más de 10 millones de euros de facturación están sujetas a un conjunto de requisitos en materia de ciberseguridad que van bastante más allá de lo que la mayoría tiene implantado hoy.
La directiva no llegó sola ni de improviso. La NIS2 sustituyó en 2022 a su predecesora, la NIS1 de 2016, que muchos expertos consideraban insuficiente dado el ritmo al que evolucionaron las amenazas digitales durante esa década. Donde antes había obligaciones para unos pocos cientos de grandes operadores en siete sectores, ahora hay una red de requisitos que abarca 18 sectores críticos y que, con matices importantes, se extiende también a la cadena de suministro de esas entidades. El salto en alcance es considerable, y la mayoría de las empresas españolas todavía está calibrando qué significa exactamente para su actividad concreta. El retraso en la transposición tampoco exime de responsabilidad: la directiva es vinculante a nivel europeo desde enero de 2023, y los reguladores, auditores y clientes corporativos ya están operando con sus criterios como referencia, con independencia de que la ley española esté o no publicada en el BOE.
Una obligación que ya condiciona contratos, no solo inspecciones
El debate habitual sobre NIS2 gira en torno al regulador: cuándo empezará a inspeccionar, qué sanciones puede imponer, cómo funcionará el sistema de notificación de incidentes. Son preguntas pertinentes, pero tienden a ocultar lo que ya está pasando en el mercado con independencia de la actividad supervisora. Las grandes empresas obligadas por la directiva, que deben demostrar que gestionan los riesgos de ciberseguridad de su cadena de suministro, han empezado a trasladar esas exigencias a sus proveedores a través de los contratos. Cuestionarios de seguridad, cláusulas específicas, solicitudes de evidencias documentadas: ese es el primer escenario en el que muchas organizaciones van a encontrarse con NIS2, no una inspección de INCIBE, sino una llamada de su cliente más importante preguntando qué medidas tienen implantadas. Esto es especialmente relevante para las pymes que operan como proveedoras de sectores regulados, aunque ellas mismas no alcancen los umbrales de tamaño que marcan la obligación directa. La propia directiva, en su artículo 21, obliga a las entidades esenciales e importantes a gestionar los riesgos de ciberseguridad de su cadena de suministro, incluyendo la relación con proveedores y prestadores de servicios directos. El INCIBE lo recoge expresamente en su guía de preguntas frecuentes sobre NIS2: una pyme que no entra en el ámbito directo de la directiva puede verse afectada de manera indirecta si forma parte de la cadena de suministro de quien sí está obligado.
Lo que la directiva exige en la práctica
Hay una tendencia generalizada a reducir NIS2 a una cuestión de tecnología: mejores cortafuegos, sistemas de detección de intrusos, software actualizado. Esos elementos son necesarios, pero la directiva pone el peso en algo diferente: la gobernanza. Exige que las organizaciones cuenten con un sistema formal de gestión de riesgos de ciberseguridad, documentado, aprobado por los órganos de dirección y revisado de forma periódica. Exige que esa dirección no solo firme los documentos, sino que reciba formación específica y pueda responder de sus decisiones, hasta el punto de que la normativa contempla la inhabilitación temporal de directivos en casos de incumplimiento grave. Exige que cualquier incidente significativo sea notificado al CSIRT de referencia, INCIBE-CERT para el sector privado, en un plazo máximo de 24 horas desde su detección, con un informe detallado en 72 horas y un reporte final en el plazo de un mes.
Cumplir con esos plazos de notificación sin haber establecido previamente los procedimientos internos necesarios es, en la práctica, imposible. Un incidente que tarde dos días en ser escalado al equipo directivo no puede notificarse en 24 horas. Un equipo que no ha realizado simulacros de respuesta no puede generar un informe coherente en 72. Esto obliga a construir capacidad antes de que el incidente ocurra, no después. Y esa capacidad requiere procesos documentados, personas con roles definidos y evidencias de que el sistema funciona, no solo de que existe en papel.
La cuestión de la certificación: lo que existe y lo que todavía no
Cuando las organizaciones entienden la dimensión real de lo que NIS2 exige, la pregunta que surge de forma natural es la misma en casi todos los casos: ¿quién nos certifica esto? La respuesta, que conviene conocer con precisión para tomar decisiones bien informadas, es que a día de hoy no existe una certificación NIS2 como tal. La directiva no ha creado un esquema de certificación propio ni ha designado organismos habilitados para emitir un sello de cumplimiento. El mecanismo de supervisión es administrativo: las autoridades competentes de cada sector pueden solicitar evidencias, realizar inspecciones y, si detectan incumplimientos, imponer sanciones que para las entidades esenciales pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual. Puedes consultar el estado actualizado de la directiva y su transposición en Europa para seguir la evolución en cada Estado miembro.
Esto no significa que las organizaciones tengan que esperar a que llegue una inspección para saber si están en orden. Significa que tienen que construir su cumplimiento de forma proactiva y ser capaces de demostrarlo con evidencias sólidas cuando se les requiera, ya sea por parte del regulador, de sus clientes o de sus socios comerciales.
El modelo belga: la hoja de ruta que Europa está siguiendo
Para entender cómo puede evolucionar la situación en España, merece la pena prestar atención a lo que está haciendo Bélgica, que es con diferencia el país europeo que ha desarrollado el sistema de acreditación NIS2 más avanzado y que está sirviendo de referencia para el resto de Estados miembros. El Centre for Cybersecurity Belgium (CCB), el regulador nacional de ciberseguridad, estableció un sistema de conformidad que obliga a las entidades esenciales e importantes a demostrar su cumplimiento a través de una de dos vías reconocidas oficialmente: el esquema propio del CCB, denominado CyberFundamentals, o una certificación ISO 27001 emitida por un organismo de certificación acreditado ante los foros internacionales de acreditación como IAF o EA. Ambas rutas tienen el mismo valor ante el regulador.
Lo relevante de la opción ISO 27001 es que no se trata de una adaptación específica para el contexto belga ni de un esquema ad hoc: es el mismo estándar internacional que miles de organizaciones de todo el mundo ya tienen implantado, emitido por los mismos organismos de certificación acreditados que operan en cualquier país del entorno europeo. Las entidades que eligieron esta ruta presentaron su alcance y su Declaración de Aplicabilidad al CCB antes del 18 de abril de 2026, y deben completar la certificación formal antes de abril de 2027. El portal oficial de NIS2 en Bélgica documenta con detalle cómo funciona este sistema y qué se exige en cada caso.
La Comisión Europea no ha pasado por alto este modelo. En su propuesta de enero de 2026 para revisar el Cybersecurity Act, está planteando la creación de esquemas europeos de certificación de la postura de ciberseguridad de las entidades, que permitirían a los organismos acreditados emitir certificados reconocidos como evidencia de cumplimiento NIS2 en todos los Estados miembros. La negociación parlamentaria está en curso y la transposición no llegará antes de 2027 o 2028, pero la dirección que está tomando la regulación europea es clara: los sistemas de certificación acreditados, con ISO 27001 como referente principal, serán la vía de acreditación del cumplimiento NIS2 en el conjunto de la Unión.
Qué significa esto para las empresas españolas hoy
Las organizaciones que ya cuentan con un sistema de gestión de seguridad de la información certificado se encuentran en una posición notablemente mejor que las que no tienen nada, y no únicamente porque cubran buena parte de los requisitos técnicos del artículo 21 de la directiva. La ventaja principal es de naturaleza estratégica: cuando España termine de desarrollar sus mecanismos de acreditación del cumplimiento NIS2, siguiendo previsiblemente el camino que ha trazado el modelo belga, esas organizaciones podrán acreditar su posición de cumplimiento de forma inmediata y ante cualquier interlocutor, ya sea un regulador, un cliente corporativo o un auditor.
Las que aún no han empezado el proceso tienen que ser conscientes de que construir un sistema de gestión robusto, auditarlo internamente, corregir las brechas detectadas, pasar una auditoría externa de certificación y mantener el sistema en el tiempo no es un proyecto que se complete en pocas semanas. Requiere implicación real de la dirección, asignación de recursos, y un trabajo sistemático de documentación y verificación que no admite atajos si el objetivo es que resista el escrutinio de un cliente o un regulador exigente. El mercado y la regulación avanzan en la misma dirección, y la distancia entre las empresas que están preparadas y las que no lo están se irá ampliando con el tiempo.
La pregunta que más vale la pena hacerse en este momento no es si NIS2 aplica o no a una organización concreta. Es qué pasaría si mañana un cliente importante, un auditor o el regulador pidiera demostrar el nivel de ciberseguridad implantado, y si la respuesta disponible sería suficiente.
