La Directiva NIS2 es la norma europea de ciberseguridad que sustituye a la NIS de 2016 y amplía de forma notable quién está obligado y a qué. España debía transponerla antes del 17 de octubre de 2024 y, a 16 de septiembre de 2026, la ley que la transpone sigue sin publicarse en el BOE. Eso no significa que no afecte todavía a quien trabaja con la Administración: los pliegos ya la citan, los responsables de seguridad ya la usan para exigir garantías a sus proveedores y la Comisión Europea aprieta al Gobierno para que la apruebe. Esta guía explica qué es NIS2 en España hoy, qué obligaciones trasladará a los proveedores de software de las administraciones, en qué se diferencia del Esquema Nacional de Seguridad y qué conviene hacer ahora.

Dónde está la transposición a 16 de septiembre de 2026

Directiva (UE) 2022/2555 (NIS2): en vigor desde enero de 2023, con plazo de transposición hasta el 17 de octubre de 2024.
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad: aprobado por el Consejo de Ministros el 14 de enero de 2025. Crea el Centro Nacional de Ciberseguridad como autoridad nacional, reparte la supervisión entre Interior, Defensa (a través del Centro Criptológico Nacional) y Transformación Digital, y mantiene el ENS como marco de seguridad del sector público.
Procedimiento de infracción: la Comisión envió a España un dictamen motivado el 7 de mayo de 2025 y, el 19 de mayo de 2026, dio el siguiente paso exigiendo la transposición con urgencia.
Transposición parcial: el Real Decreto-ley 7/2025 incorporó algunas medidas de NIS2 en el ámbito del sistema eléctrico. El resto sigue pendiente de la ley.

Conviene por tanto escribir «en tramitación» en cualquier documento que cite NIS2 en España, y revisar el pliego o el contrato cuando la ley se publique. Lo que sí es seguro es el contenido de fondo, porque la directiva es de mínimos y la ley española no podrá rebajarlo.

A quién obliga NIS2 y por qué alcanza a los proveedores

La directiva se aplica a entidades esenciales e importantes de los sectores de sus anexos: energía, transporte, banca, sanidad, agua, infraestructuras digitales, gestión de servicios TIC, administración pública (la central obligatoriamente, la regional y local según decida cada Estado), espacio, correos, residuos, químicos, alimentación, fabricación, proveedores digitales e investigación. El tamaño cuenta: como regla general, medianas y grandes empresas de esos sectores, con excepciones para servicios críticos con independencia del tamaño.

Un proveedor de software a medida no está, por el hecho de serlo, en los anexos. Le alcanza NIS2 por dos vías:

Directamente, si presta servicios de gestión de TIC o servicios gestionados de seguridad, si es proveedor digital de los tipos enumerados, o si supera el umbral de tamaño en un sector incluido.
Indirectamente, a través de sus clientes, que es lo habitual. El artículo 21 obliga a las entidades esenciales e importantes a gestionar los riesgos de su cadena de suministro, incluidos los proveedores de software y de servicios TIC. Para una administración obligada, eso se traduce en cláusulas contractuales: requisitos de seguridad, derecho de auditoría, notificación de incidentes al cliente, desarrollo seguro, gestión de vulnerabilidades y continuidad.

Dicho de otro modo: aunque la ley española tarde, cada organismo que ya se sepa entidad esencial trasladará estas exigencias a sus pliegos, y algunos ya lo hacen.

Las obligaciones de fondo que traslada la directiva

Las medidas del artículo 21 que una entidad obligada debe aplicar, y que acabará exigiendo a sus proveedores, son diez:

Políticas de análisis de riesgos y de seguridad de los sistemas.
Gestión de incidentes.
Continuidad de negocio: copias de seguridad, recuperación y gestión de crisis.
Seguridad de la cadena de suministro, con la relación con cada proveedor.
Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades y su divulgación.
Evaluación de la eficacia de las medidas.
Ciberhigiene básica y formación.
Criptografía y cifrado.
Seguridad de los recursos humanos, control de acceso y gestión de activos.
Autenticación multifactor y comunicaciones seguras.

A ello se suman la notificación de incidentes significativos en tres tiempos (alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes), la responsabilidad de los órganos de dirección, que deben aprobar las medidas y formarse, y un régimen sancionador con multas de hasta 10 millones de euros o el 2 % del volumen de negocio mundial para las entidades esenciales y de hasta 7 millones o el 1,4 % para las importantes.

NIS2 y ENS: distintos y complementarios

Es la confusión más frecuente en los pliegos, así que conviene separarlos:

	Esquema Nacional de Seguridad	NIS2
Naturaleza	Real Decreto 311/2022, en vigor y exigible hoy	Directiva europea, en España pendiente de ley de transposición
A quién obliga	Sector público y sus proveedores, por los sistemas que prestan servicio a la Administración	Entidades esenciales e importantes de los sectores del anexo, públicas y privadas
Qué fija	Catálogo de medidas concretas por categoría (básica, media, alta) y un sistema de certificación con distintivo	Obligaciones de gestión del riesgo, notificación de incidentes, cadena de suministro y responsabilidad directiva; las medidas concretas se remiten a normas y guías
Cómo se acredita	Declaración o certificación de conformidad por entidad acreditada, renovada cada dos años	Supervisión por la autoridad nacional; sin certificado propio, aunque las normas nacionales pueden apoyarse en esquemas existentes
Relación	El anteproyecto español mantiene el ENS como marco de seguridad del sector público	NIS2 añade gobernanza, notificación y cadena de suministro por encima del ENS

Para un proveedor de la Administración la consecuencia práctica es clara: el ENS es la exigencia de hoy y seguirá siéndolo; NIS2 añadirá, a través de los contratos, obligaciones de notificación de incidentes y de desarrollo seguro que un sistema de gestión bien construido ya cubre. Explicamos el ENS en qué es el ENS y por qué tu proveedor debe tenerlo y cómo comprobar que un certificado es válido en certificado ENS caducado: cómo comprobar el de tu proveedor.

Qué debe hacer ya un proveedor de la Administración

Sin esperar al BOE, porque los pliegos ya lo piden:

Tener el ENS en vigor en la categoría que corresponda a los sistemas que presta, con el distintivo publicado y comprobable.
Un sistema de gestión de la seguridad que cubra las diez medidas del artículo 21. La ISO 27001 es la vía natural y la mayoría de sus controles coinciden; lo explicamos en cómo implantar la ISO 27001 paso a paso.
Un procedimiento de notificación de incidentes al cliente con los plazos de la directiva, aunque el contrato aún no los exija, y con un punto de contacto de seguridad.
Desarrollo seguro documentado: revisión de código, gestión de dependencias, pruebas de seguridad, gestión de vulnerabilidades y política de divulgación coordinada.
Cadena de suministro propia: inventario de proveedores y componentes de terceros, con sus garantías.
Implicación de la dirección: aprobación de las medidas, formación y responsabilidad asignada.
Cláusulas listas para responder a lo que pedirán los pliegos: derecho de auditoría, notificación, continuidad, subcontratación y salida.

Estas exigencias no favorecen a las grandes integradoras frente a las medianas: favorecen a quien las tenga documentadas y certificadas. Lo comparamos en gran integradora o empresa mediana.

Qué debe hacer una administración obligada

Determinar si es entidad esencial o importante según la ley española cuando se publique, y mientras tanto asumir que la central lo es.
Inventariar proveedores de software y servicios TIC y clasificarlos por criticidad.
Incorporar a los pliegos las cláusulas de cadena de suministro: ENS vigente, notificación de incidentes, desarrollo seguro, auditoría, continuidad y salida. La guía de cómo preparar un pliego técnico con ENS sirve de base.
Preparar el procedimiento interno de notificación en 24, 72 horas y un mes, y la formación del órgano de dirección.

Preguntas frecuentes sobre NIS2 en España

¿Está en vigor NIS2 en España?

La directiva está en vigor en la Unión Europea, pero España no ha publicado la ley que la transpone. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó el 14 de enero de 2025 y a 16 de septiembre de 2026 no está en el BOE, con un procedimiento de infracción abierto por la Comisión Europea. Mientras tanto, las entidades ya trasladan sus exigencias a los contratos.

¿NIS2 sustituye al ENS?

No. El ENS, regulado por el Real Decreto 311/2022, sigue siendo obligatorio para el sector público y sus proveedores, y el anteproyecto español lo mantiene como marco de seguridad de la Administración. NIS2 añade obligaciones de gobernanza, notificación de incidentes, cadena de suministro y responsabilidad directiva que se superponen al ENS.

¿Una empresa de software a medida está obligada por NIS2?

Directamente solo si presta servicios de gestión de TIC o de seguridad gestionada, es proveedor digital de los tipos enumerados o supera el umbral de tamaño en un sector incluido. Indirectamente, casi siempre: sus clientes obligados deben gestionar la seguridad de su cadena de suministro y lo hacen mediante cláusulas contractuales.

¿Qué plazos de notificación de incidentes fija NIS2?

Alerta temprana en 24 horas desde que se tiene conocimiento del incidente significativo, notificación completa en 72 horas e informe final en un mes. Las entidades obligadas trasladarán plazos coherentes a sus proveedores para poder cumplirlos.

¿Qué sanciones prevé NIS2?

Multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial para las entidades esenciales, y de hasta 7 millones o el 1,4 % para las importantes, además de la responsabilidad de los órganos de dirección. Las cuantías concretas en España las fijará la ley de transposición.

Conclusión

NIS2 en España es una ley pendiente con un contenido ya conocido: gestión del riesgo, notificación de incidentes, seguridad de la cadena de suministro y responsabilidad de la dirección, por encima de un ENS que sigue siendo la exigencia de hoy. Para un proveedor de la Administración, prepararse consiste en tener el ENS vigente, un sistema de gestión certificado y procedimientos de notificación y desarrollo seguro documentados antes de que el pliego los pida. Si buscas un proveedor que ya trabaja así, escríbenos desde nuestra página de contacto.