¿Qué empresas españolas están afectadas por NIS2?

Las entidades públicas o privadas de los sectores de los anexos I y II de la Directiva (UE) 2022/2555 que sean al menos medianas empresas (50 o más personas, o más de 10 millones de euros de volumen de negocios o de balance), más algunas entidades incluidas con independencia de su tamaño, como los prestadores de servicios de confianza o los proveedores de DNS.

¿Una pequeña empresa puede estar dentro de NIS2?

Sí, en casos tasados. El artículo 2.2 incluye, con independencia del tamaño, a los proveedores de redes y servicios públicos de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS, y a entidades cuya perturbación tendría un impacto significativo, entre otros supuestos.

¿Qué norma se aplica hoy en España mientras NIS2 no se transpone?

El Real Decreto-ley 12/2018, que transpuso la primera directiva NIS, y el Real Decreto 43/2021 que lo desarrolla. Para el sector público y sus proveedores, además, el Esquema Nacional de Seguridad (Real Decreto 311/2022).

¿Los bancos están sujetos a NIS2 o a DORA?

En materia de gestión de riesgos TIC, notificación de incidentes y supervisión, DORA prevalece como norma sectorial específica para las entidades financieras, según el artículo 4 de NIS2. Banca e infraestructuras de los mercados financieros figuran en el anexo I, pero las obligaciones equivalentes se cumplen por la vía de DORA.

¿Qué diferencia hay entre entidad esencial e importante?

Las esenciales —por ejemplo, las grandes empresas de los sectores del anexo I— tienen supervisión proactiva y multas de hasta 10 millones de euros o el 2 % de la facturación mundial. Las importantes tienen supervisión reactiva y multas de hasta 7 millones o el 1,4 %.

¿Cómo sé si mi empresa está dentro?

Comprueba tres cosas: si tu actividad coincide con un tipo de entidad de los anexos I o II (no basta con el sector, hay que bajar al tipo de entidad), si alcanzas el umbral de mediana empresa y si te afecta alguna de las inclusiones del artículo 2 que no dependen del tamaño.

Directiva NIS2 en España: sectores y empresas afectadas

Actualizado el 11 de octubre de 2026

La pregunta más repetida sobre NIS2 en España no es qué exige, sino a quién. Y la respuesta sorprende a menudo: la Directiva (UE) 2022/2555 alcanza a muchas empresas españolas que nunca se han considerado infraestructura crítica, desde fabricantes de maquinaria hasta proveedores de servicios informáticos gestionados o empresas de gestión de residuos.

Este artículo explica, con la directiva delante, qué sectores y qué empresas españolas quedan dentro, qué excepciones al criterio de tamaño existen y qué normas se aplican hoy en España mientras la transposición sigue pendiente. Para el marco completo de obligaciones, consulta nuestra guía de NIS2.

La regla general: sector y tamaño (artículo 2.1)

NIS2 se aplica a las entidades públicas o privadas que cumplan a la vez dos condiciones:

Ser de alguno de los tipos de entidad enumerados en los anexos I o II.
Ser mediana empresa según la Recomendación 2003/361/CE, o superar sus umbrales.

Según esa Recomendación, es mediana empresa la que ocupa a menos de 250 personas y tiene un volumen de negocios de hasta 50 millones de euros o un balance de hasta 43 millones, siempre que no sea pequeña. Y es pequeña la que ocupa a menos de 50 personas y no supera los 10 millones de volumen de negocios o de balance. En la práctica: a partir de 50 personas o de 10 millones de euros, conviene comprobarlo.

Dos detalles técnicos. Primero, para el cálculo se aplican las reglas de la Recomendación sobre empresas asociadas y vinculadas: una filial pequeña de un grupo grande puede no ser «pequeña» a estos efectos. Segundo, el artículo 2.1 excluye el artículo 3.4 del anexo de la Recomendación, la regla que impide considerar pyme a una empresa controlada en un 25 % o más por organismos públicos.

Los sectores: anexo I y anexo II

Anexo I — sectores de alta criticidad	Anexo II — otros sectores críticos
Energía (electricidad, calefacción y refrigeración urbanas, crudo, gas, hidrógeno)	Servicios postales y de mensajería
Transporte (aéreo, ferroviario, marítimo, por carretera)	Gestión de residuos
Banca	Fabricación, producción y distribución de sustancias y mezclas químicas
Infraestructuras de los mercados financieros	Producción, transformación y distribución de alimentos
Sector sanitario	Fabricación (productos sanitarios, productos informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos de motor y otro material de transporte)
Agua potable y aguas residuales	Proveedores de servicios digitales (mercados en línea, motores de búsqueda, redes sociales)
Infraestructura digital (DNS, dominios, nube, centros de datos, redes de distribución de contenidos, servicios de confianza, comunicaciones electrónicas)	Investigación
Gestión de servicios TIC de empresa a empresa (servicios gestionados y de seguridad gestionada)
Administración pública
Espacio

Dos advertencias prácticas para el tejido empresarial español:

La fabricación del anexo II es muy amplia. Buena parte de la industria española de componentes, maquinaria, material eléctrico y automoción puede quedar dentro si alcanza el tamaño.
Los proveedores de servicios TIC gestionados están en el anexo I. Integradores, empresas de mantenimiento y de seguridad gestionada que dan servicio a otras empresas pueden ser entidades de alta criticidad aunque nunca se hayan visto como tales.

Y una regla de oro: no basta con el nombre del sector. Los anexos bajan a subsectores y tipos de entidad concretos, y es a ese nivel donde hay que comprobar si tu actividad encaja.

Las inclusiones que no dependen del tamaño (artículo 2.2 a 2.4)

Con independencia de su tamaño, NIS2 se aplica también a las entidades de los anexos cuando:

presten redes o servicios públicos de comunicaciones electrónicas;
sean prestadores de servicios de confianza;
sean registros de dominios de primer nivel o proveedores de DNS, o presten servicios de registro de nombres de dominio;
sean el único proveedor en el Estado de un servicio esencial para actividades sociales o económicas críticas;
su perturbación pueda afectar significativamente a la seguridad, el orden o la salud públicos, o generar riesgos sistémicos;
sean críticas por su importancia nacional o regional;
sean entidades de la Administración pública central, o regional tras una evaluación de riesgos;
o hayan sido identificadas como entidades críticas conforme a la Directiva (UE) 2022/2557.

Los Estados pueden, además, extender la directiva a la Administración local y a los centros de enseñanza con actividades críticas de investigación (artículo 2.5). Habrá que ver qué decide la ley española.

Esenciales o importantes: por qué importa

El artículo 3 distingue dos categorías. Son entidades esenciales, entre otras, las del anexo I que superan el tamaño de mediana empresa y, con independencia del tamaño, los prestadores cualificados de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS. El resto de entidades incluidas son, por defecto, importantes.

	Esenciales	Importantes
Supervisión	Proactiva (art. 32): inspecciones y auditorías sin indicio previo	Reactiva (art. 33): tras indicios de incumplimiento
Multa máxima (art. 34)	10 millones de euros o el 2 % de la facturación mundial, la mayor	7 millones de euros o el 1,4 %, la mayor

El caso del sector financiero: DORA primero

Banca e infraestructuras de los mercados financieros figuran en el anexo I, pero el artículo 4 de NIS2 da prioridad a los actos sectoriales con requisitos equivalentes. Para las entidades financieras, ese acto es DORA (Reglamento (UE) 2022/2554), que se aplica desde enero de 2025: la gestión del riesgo TIC, la notificación de incidentes y la supervisión se rigen por DORA. Lo desarrollamos en nuestra guía del Reglamento DORA.

Qué se aplica hoy en España

España no ha transpuesto NIS2: el plazo venció el 17 de octubre de 2024, la Comisión llevó a España ante el Tribunal de Justicia de la UE en julio de 2026 y, con la disolución de las Cortes el 6 de octubre de 2026, la ley no se aprobará antes de 2027. Lo contamos en transposición de NIS2 en España.

Mientras tanto, no hay un vacío. Siguen vigentes:

El Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que transpusieron la primera directiva NIS para los operadores de servicios esenciales y los proveedores de servicios digitales, con su propio régimen de notificación de incidentes.
El Esquema Nacional de Seguridad (Real Decreto 311/2022), obligatorio para el sector público y para los proveedores que le prestan servicios.
Para las entidades financieras, DORA, directamente aplicable.

El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad prevé un Centro Nacional de Ciberseguridad y autoridades de control en Interior, Defensa y Transformación Digital, con INCIBE-CERT y CCN-CERT como equipos de respuesta de referencia. Explicamos el papel de INCIBE en INCIBE y NIS2.

Cómo comprobar si tu empresa está dentro: cuatro pasos

Busca tu actividad en los anexos, al nivel de tipo de entidad, no solo de sector.
Calcula tu tamaño con las reglas de la Recomendación 2003/361/CE, incluidas las empresas asociadas y vinculadas.
Revisa las inclusiones del artículo 2.2 a 2.4, que no dependen del tamaño.
Si estás dentro, determina si eres esencial o importante y cuál será, previsiblemente, tu autoridad de control.

Y aunque concluyas que estás fuera, revisa a tus clientes: si ellos están dentro, el artículo 21 les obliga a gestionar la seguridad de su cadena de suministro, y te pedirán garantías a ti.

Qué implica según el tamaño de tu empresa

Pequeña empresa: en general quedas fuera, salvo las excepciones del artículo 2.2. Pero si prestas servicios TIC o fabricas componentes para empresas obligadas, NIS2 te llegará por contrato.
Mediana empresa: es el tramo donde más empresas se descubren dentro sin saberlo, sobre todo en fabricación y servicios TIC. Haz la comprobación de los cuatro pasos cuanto antes.
Gran empresa: si tu sector está en el anexo I, probablemente seas entidad esencial, con supervisión proactiva. Prepárate para auditorías periódicas.

El reto de fondo: demostrar, no estimar

Saber que estás dentro es el primer paso. El segundo es poder demostrar ante la autoridad que las medidas del artículo 21 están implantadas y funcionan: el propio artículo exige evaluar su eficacia. Las auditorías por muestreo dan una estimación; un supervisor, especialmente tras un incidente, pide prueba.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables en una prueba demostrable, reproducible y auditable. La prueba, no la estimación.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Directiva (UE) 2022/2555, artículos 2, 3, 4, 21, 32, 33 y 34, y anexos I y II; Recomendación 2003/361/CE; Reglamento (UE) 2022/2554 (DORA); Real Decreto-ley 12/2018; Real Decreto 43/2021; Real Decreto 311/2022; anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (14 de enero de 2025); Real Decreto 806/2026. Verificado el 11 de octubre de 2026.