Durante años, la ciberseguridad fue vista como un asunto técnico, propio del departamento de IT. Importante, sí, pero no necesariamente estratégico. Esa etapa ha terminado. Hoy, la seguridad digital es una obligación legal que alcanza directamente al órgano de administración y a la alta dirección.
En 2026, con la transposición de la Directiva NIS2 ya efectiva o en su fase final de implementación en España, se ha cerrado definitivamente el periodo de “recomendaciones”. La ciberseguridad ha pasado del terreno de las buenas prácticas al de la responsabilidad corporativa. No se trata sólo de evitar incidentes: se trata de demostrar que la empresa ha adoptado medidas de gobernanza, prevención y respuesta acordes con la ley.
El nuevo marco no llega aislado. Forma parte de un ecosistema regulatorio más amplio que incluye el AI Act, DORA o el refuerzo de las obligaciones de resiliencia digital en sectores estratégicos.
La pregunta que hoy se hacen muchos consejos de administración es simple y a la vez crítica: ¿estamos obligados a cumplir NIS2?
La regla de oro: ¿tamaño + sector = obligación?
A diferencia de la NIS1, que dependía de designaciones nacionales, la NIS2 introduce un criterio automático. La aplicabilidad se basa en una fórmula sencilla:
Sector + tamaño = obligación
El criterio de tamaño
Como regla general, la NIS2 se aplica a empresas medianas y grandes, es decir:
- Más de 50 empleados, o
- Más de 10 millones de euros de facturación anual
Este umbral permite a muchas organizaciones hacer un primer filtro rápido. Sin embargo, aquí aparece el primer matiz importante.
Las excepciones
En determinados sectores críticos, la obligación existe independientemente del tamaño. Es decir, una empresa pequeña puede estar plenamente sujeta si opera en un ámbito considerado esencial o de alto impacto para la sociedad.
Por eso, la pregunta no es solo “¿cuántos empleados tengo?”, sino “¿en qué sector opero?”. Y aquí entra la gran distinción de la directiva.
Entidades esenciales vs. entidades importantes: la gran distinción
La NIS2 clasifica a las organizaciones obligadas en dos grandes categorías:
- Entidades esenciales
- Entidades importantes
Ambas están obligadas a implantar medidas de seguridad, gestión de riesgos y notificación de incidentes. La diferencia no está en el deber de cumplimiento, sino en cómo y cuándo las autoridades supervisan.
Supervisión: ex ante vs. ex post
- Entidades esenciales: están sujetas a supervisión proactiva (ex ante). La autoridad puede auditar, requerir información y verificar el cumplimiento de forma preventiva.
- Entidades importantes: se supervisan de forma reactiva (ex post), normalmente tras un incidente o indicio de incumplimiento.
Ser “importante” no implica menor responsabilidad. Las obligaciones son prácticamente las mismas y las sanciones siguen siendo elevadas. La diferencia es el modelo de control, no el nivel de exigencia.
Para un Consejo de Administración, el mensaje es claro: ninguna de las dos categorías permite relajación. La ciberseguridad pasa a ser parte del sistema de control interno de la empresa.
Sectores de alta criticidad (Anexo I)
El Anexo I de la directiva identifica los sectores de máxima criticidad para el funcionamiento de la economía y la sociedad. Si operas en alguno de ellos y superas los umbrales (o incluso aunque no los superes, en ciertos casos), tu empresa será considerada entidad esencial.
Principales sectores del Anexo I
- Energía: electricidad, gas, petróleo, hidrógeno.
- Transporte: aéreo, ferroviario, marítimo y por carretera.
- Banca.
- Infraestructuras del mercado financiero.
- Sanidad.
- Agua potable y aguas residuales.
- Infraestructura digital: centros de datos, servicios en la nube, puntos de intercambio de internet.
- Gestión de servicios TIC (MSP, proveedores de servicios gestionados).
- Administración pública.
- Espacio.
En estos ámbitos, la NIS2 no se limita a “recomendar”: exige gobernanza, controles técnicos y capacidad de respuesta ante incidentes.
Una nota relevante: banca y regulación específica
Cuando se menciona el sector bancario, conviene recordar que el Reglamento DORA actúa como lex specialis en materia de resiliencia operativa digital para entidades financieras. Es decir, DORA prevalece en su ámbito, pero NIS2 sigue marcando el contexto general de ciberseguridad para muchos proveedores y actores del ecosistema financiero.
Otros sectores críticos (Anexo II)
Aquí es donde muchas empresas descubren que sí están obligadas sin haberlo previsto. El Anexo II amplía el perímetro a sectores que, hasta ahora, no se asociaban directamente con la ciberseguridad legal.
Sectores del Anexo II
- Servicios postales y de mensajería.
- Gestión de residuos.
- Industria química.
- Alimentación: producción, transformación y distribución.
- Fabricación: productos sanitarios, ordenadores, equipos electrónicos, vehículos, maquinaria.
- Proveedores digitales: motores de búsqueda, plataformas de redes sociales.
Por qué este cambio es estratégico
La inclusión de fabricación y alimentación marca un punto de inflexión. Sectores históricamente alejados del discurso de la ciberseguridad pasan a estar dentro del marco legal. Para muchas organizaciones industriales o de distribución, esto supone un cambio cultural: la seguridad de la información ya no es solo un soporte, sino un factor de continuidad de negocio.
El efecto dominó: la seguridad en la cadena de suministro
La obligación de vigilar a terceros
La NIS2 impone a las entidades esenciales e importantes la responsabilidad de gestionar el riesgo de sus proveedores y socios tecnológicos. Esto significa que:
- Si eres proveedor de software, servicios IT, mantenimiento o datos para una entidad sujeta a NIS2,
- Es muy probable que te exijan contractualmente cumplir con sus estándares de ciberseguridad.
El impacto real para pymes y startups
Incluso una pequeña empresa puede verse obligada a:
- Implantar políticas de seguridad.
- Documentar controles y procesos.
- Superar auditorías o evaluaciones de sus clientes.
La ciberseguridad deja de ser un coste “opcional” y pasa a ser una condición de acceso al mercado.
Cómo prepararse
Desde una perspectiva estratégica, la mejor defensa es anticiparse: alinear tus políticas, procesos y controles con NIS2 para poder demostrar madurez ante clientes críticos. Es una forma de convertir una obligación en ventaja competitiva.
Responsabilidad directa del directivo: te juegas más que la reputación
La NIS2 introduce un elemento que transforma la gobernanza: la responsabilidad directa de los órganos de dirección. Ya no es válido delegar por completo en el CISO o en el departamento de IT.
Qué exige la directiva
- Implicación real de la alta dirección en la estrategia de ciberseguridad.
- Aprobación y supervisión de las medidas de gestión de riesgos.
- Formación específica para los miembros del órgano de administración.
Riesgos para el directivo
En casos de incumplimiento grave, la normativa contempla:
- Sanciones a la organización.
- Posibles inhabilitaciones temporales para ejercer funciones directivas.
No se trata de penalizar la gestión empresarial, sino de asegurar que la ciberseguridad se integra en la toma de decisiones estratégicas. La gobernanza digital se convierte en un componente más del compliance corporativo.
Régimen sancionador: ¿cuánto cuesta mirar a otro lado?
La NIS2 establece un régimen sancionador significativo, alineado con la gravedad del riesgo que pretende mitigar.
Límites de las sanciones
- Entidades esenciales: hasta 10 millones de euros o el 2 % del volumen de negocio anual global.
- Entidades importantes: hasta 7 millones de euros o el 1,4 % del volumen de negocio anual global.
En determinados escenarios, estas cifras superan incluso a las sanciones habituales del RGPD. El mensaje del legislador es claro: la ciberseguridad es un pilar de la estabilidad económica y social.
Más allá de la multa
A las sanciones económicas se suman:
- Pérdida de confianza de clientes y socios.
- Riesgos contractuales.
- Impacto reputacional.
- Interrupciones de actividad.
Desde una óptica de negocio, la pregunta no es cuánto cuesta cumplir, sino cuánto cuesta no hacerlo.
Qué implica cumplir con NIS2 en la práctica
Sin entrar en tecnicismos, el cumplimiento se articula en cuatro pilares:
- Gobernanza: roles claros, implicación de la dirección y políticas de seguridad.
- Gestión de riesgos: identificación, evaluación y priorización de amenazas.
- Medidas técnicas y organizativas: controles de acceso, continuidad de negocio, respuesta ante incidentes.
- Notificación y comunicación: capacidad de informar incidentes relevantes a las autoridades en los plazos establecidos.
El enfoque no es meramente tecnológico. Es organizativo, jurídico y estratégico.
De obligación a ventaja competitiva
Para muchas empresas, sí. Cumplir con NIS2:
- Refuerza la confianza de clientes y socios.
- Mejora la resiliencia operativa.
- Facilita el acceso a contratos con entidades críticas.
- Alinea la ciberseguridad con los principios de gobernanza y compliance.
Cuando se integra de forma inteligente en los sistemas de gestión existentes, la ciberseguridad deja de ser un coste reactivo y pasa a ser una inversión en continuidad de negocio.
Desde 4D Legal abordamos el cumplimiento NIS2 con un enfoque LegalTech, combinando análisis jurídico, gobierno corporativo y automatización de procesos para reducir carga interna y evitar duplicidades. Y lo hacemos en coherencia con el resto del marco regulatorio, como DORA o los sistemas de gestión de seguridad de la información.
La NIS2 ha cambiado las reglas del juego. La ciberseguridad:
- Ya no es voluntaria.
- Ya no es solo técnica.
- Ya no es delegable sin supervisión.
Si tu empresa cumple los criterios de tamaño y sector, estás obligada. Si no los cumple, es muy probable que tus clientes te exijan estándares equivalentes. En ambos casos, la pregunta estratégica es la misma: ¿quieres reaccionar cuando llegue el problema o anticiparte con un modelo de gobernanza sólido?
Si tienes dudas sobre tu clasificación o sobre el nivel de exigencia que te aplica, puedes conocer nuestro enfoque en el servicio de cumplimiento normativo NIS2.Porque hoy, la ciberseguridad no es un proyecto de IT. Es una decisión de dirección.