NIS2 y CRA: lo que te van a pedir aunque no seas una gran empresa.
Qué es la Directiva NIS2
NIS2 sustituye a la primera directiva europea de seguridad de las redes y sistemas de información (NIS1) y amplía mucho su alcance. Además de energía, transporte, banca, salud o agua, incorpora sectores como la gestión de residuos, la alimentación, la fabricación de determinados productos (maquinaria, equipos eléctricos, vehículos o productos químicos, entre otros) y los proveedores de servicios digitales.
Entidades esenciales e importantes
La directiva divide a las empresas afectadas en dos grupos. Las esenciales tienen supervisión previa: la autoridad puede inspeccionar sin que haya pasado nada. Las importantes tienen supervisión posterior: se revisan cuando hay indicios o un incidente. Como regla general quedan dentro las empresas medianas y grandes (a partir de 50 trabajadores o de 10 millones de euros de facturación) de los sectores incluidos, aunque algunas actividades entran sea cual sea el tamaño.
La dirección responde
Es uno de los cambios más serios. Los órganos de dirección deben aprobar las medidas de seguridad, supervisar que se aplican y formarse, y pueden responder personalmente por negligencia. Las multas llegan hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes.
Qué es el Reglamento de Ciberresiliencia (CRA)
El CRA, Reglamento (UE) 2024/2847, no mira a las empresas por su sector, sino a los productos. Se aplica a cualquier producto con elementos digitales que se venda en la UE: software, sensores, controladores industriales, maquinaria conectada o una placa electrónica con conexión 4G. Exige tres cosas:
- Seguridad desde el diseño y una configuración segura por defecto.
- Actualizaciones de seguridad durante el periodo de soporte que declare el fabricante.
- Notificación de vulnerabilidades explotadas e incidentes graves a ENISA y al CSIRT nacional.
| Fecha | Qué se aplica del CRA |
|---|---|
| 10 de diciembre de 2024 | Entrada en vigor del reglamento |
| 11 de septiembre de 2026 | Obligación de notificar vulnerabilidades explotadas e incidentes graves: alerta en 24 horas, notificación en 72 horas e informe final |
| 11 de diciembre de 2027 | Resto de obligaciones: requisitos esenciales, documentación técnica, declaración de conformidad y marcado CE |
Si fabricas o integras un equipo con conexión, ya sea una máquina con panel conectado, un sistema de control o un dispositivo con GPS, el CRA te afecta como fabricante. Si solo compras esos productos, te beneficia: podrás exigir al proveedor el periodo de soporte y las actualizaciones.
En qué punto está España
El plazo para trasponer NIS2 terminó el 17 de octubre de 2024 y España no lo cumplió. El Gobierno aprobó en primera vuelta el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso. A finales de septiembre de 2026 el texto todavía no ha llegado a las Cortes.
Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera directiva, y la respuesta a incidentes está repartida entre el CCN-CERT, para el sector público y estratégico, e INCIBE-CERT, para empresas y ciudadanos. El anteproyecto prevé crear un Centro Nacional de Ciberseguridad.
Los plazos de notificación que vienen
| Plazo | Qué hay que enviar |
|---|---|
| 24 horas desde que se detecta | Alerta temprana: ha ocurrido algo significativo |
| 72 horas | Notificación con una primera evaluación de gravedad e impacto |
| 1 mes | Informe final con las causas y las medidas adoptadas |
Cumplir estos plazos sin preparación previa es casi imposible. Por eso la parte documental y la técnica van juntas.
El efecto cascada: por qué te afecta aunque tengas 15 trabajadores
El artículo 21.2.d de NIS2 obliga a las entidades reguladas a gestionar la seguridad de su cadena de suministro, incluida la relación con sus proveedores directos y sus prestadores de servicios. Traducido: tu cliente grande tiene que demostrar que sus proveedores no son un agujero.
En la práctica, un taller de mecanizado, una empresa de transporte o un fabricante de componentes de la Sierra Sur que trabaja para la industria alimentaria, farmacéutica o energética, o para la gran distribución, va a recibir cuestionarios de seguridad, cláusulas contractuales nuevas y, en algunos casos, auditorías. No superarlas puede significar perder el contrato, aunque la ley no te nombre directamente.
Y esto no espera a que España apruebe su ley: muchas de esas grandes empresas operan también en países donde NIS2 ya está en vigor y aplican los mismos requisitos a todos sus proveedores.
Los controles mínimos que te van a pedir
El artículo 21 enumera las medidas. Aterrizadas a una pyme, son estas cinco:
| Control | En qué consiste | Qué evidencia te pedirán |
|---|---|---|
| Riesgos y políticas | Inventario de equipos y sistemas, evaluación periódica de riesgos y políticas alineadas con ISO/IEC 27001 o el Esquema Nacional de Seguridad | El inventario, la evaluación y las políticas aprobadas por la dirección |
| Control de accesos | Doble factor en el correo y en los accesos remotos (VPN, escritorio remoto), mínimo privilegio y gestor de credenciales | La configuración del doble factor y el listado de accesos por persona |
| Seguridad de red | Redes separadas mediante VLAN para oficina, producción y visitas, y cortafuegos con filtrado activo | El esquema de red y las reglas del cortafuegos |
| Continuidad y copias | Copias 3-2-1, una de ellas inmutable o desconectada, y pruebas de restauración programadas | Los registros de copias y de la última restauración probada |
| Parches y mantenimiento | Actualización sistemática de servidores, sistemas, hipervisores y aplicaciones para corregir vulnerabilidades conocidas (CVE) | El historial de actualizaciones |
Varias de estas piezas las explicamos con más detalle en copias de seguridad cifradas y en teletrabajo seguro.
Del papel firmado a la seguridad real
La tentación es resolverlo con un formulario: firmar una política genérica y contestar que sí a todo el cuestionario. Funciona hasta el primer incidente o la primera auditoría seria, porque lo que se pide son evidencias técnicas: registros, configuraciones y pruebas de que las copias se restauran.
Nuestro enfoque empieza por una auditoría de la infraestructura que ya tienes y sigue con medidas sobre tecnologías auditables y software libre: cortafuegos perimetrales, servicios separados en contenedores, doble factor y copias cifradas. El resultado es una seguridad que puedes demostrar, a un coste razonable frente al de una consultora multinacional. Lo tienes en infraestructura y ciberseguridad.
Si prefieres el contexto general antes de entrar en normativa, empieza por el mito del «a mí no me van a hackear».
NIS2 convierte la ciberseguridad en un requisito para trabajar con grandes empresas y con la administración. Adaptamos la infraestructura de pymes de Alcalá la Real y comarca a lo que exige la normativa europea, con controles técnicos y documentales a medida. Pide una auditoría de cumplimiento y protege tus contratos.
Preguntas rápidas
De forma directa, normalmente no: la directiva se dirige a empresas medianas y grandes de sectores concretos, salvo algunas actividades que entran por su naturaleza. De forma indirecta, sí: si trabajas para empresas sujetas a NIS2, te exigirán controles de seguridad por contrato.
No. A finales de septiembre de 2026 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue sin llegar a las Cortes, y la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE por el retraso. Mientras tanto sigue vigente el Real Decreto-ley 12/2018.
NIS2 regula a las empresas según su sector y su tamaño y les exige gestionar sus riesgos de ciberseguridad. El CRA regula los productos con elementos digitales y exige seguridad a quien los fabrica, importa o distribuye.
NIS2 no la exige, pero es un marco de referencia útil y algunos clientes la pedirán. Lo que siempre te van a pedir son controles que puedas demostrar con evidencias técnicas.
Por tres cosas: un inventario de tus equipos y accesos, doble factor en el correo y en los accesos remotos, y copias de seguridad cuya restauración hayas probado. A partir de ahí, una auditoría te dice qué falta para lo que exigen tus clientes.
Fuentes oficiales
- EUR-Lex · Directiva (UE) 2022/2555 (NIS2)
- EUR-Lex · Reglamento (UE) 2024/2847 de Ciberresiliencia (CRA)
- INCIBE-CERT
- CCN-CERT
Datos normativos revisados el 30 de septiembre de 2026. Actualizamos este artículo cuando cambian las fechas o la norma.
