Founder & Compliance Lead, Xtaiga
La Directiva NIS2 está vigente en toda la UE y su transposición en España obliga ya a miles de empresas. Muchas todavía no saben si están sujetas.
La pregunta clave: ¿mi empresa está sujeta?
Depende de dos criterios: sector de actividad y tamaño.
Criterio 1 — Sector
La NIS2 divide las entidades en dos grupos:
Entidades Esenciales (sectores críticos):
- Energía (electricidad, gas, petróleo, hidrógeno)
- Transportes (aéreo, ferroviario, marítimo, por carretera)
- Banca y mercados financieros
- Sanidad (hospitales, laboratorios, farmacéutica)
- Agua potable y aguas residuales
- Infraestructura digital (DNS, datacenters, cloud)
- Administración pública
- Espacio
Entidades Importantes:
- Servicios postales y mensajería
- Gestión de residuos
- Química y alimentación
- Fabricación de dispositivos médicos, máquinas, vehículos
- Proveedores digitales (buscadores, redes sociales, plataformas online)
- Investigación
Criterio 2 — Tamaño
Como regla general la NIS2 se aplica a empresas con:
- Más de 50 empleados, o
- Volumen de negocio anual superior a 10 millones de euros
Algunas entidades están sujetas con independencia del tamaño (proveedores DNS, registros de dominio, prestadores cualificados de servicios de confianza).
Las 5 preguntas
1. ¿Opera en uno de los sectores anteriores? Si no → probablemente no aplica NIS2.
2. ¿Más de 50 empleados o 10 M€ de facturación? Si no → en la mayoría de los casos, no aplica.
3. ¿Presta servicios al sector público? Si sí → puede aplicar como proveedor crítico.
4. ¿Gestiona infraestructura digital (servidores, DNS, cloud)? Si sí → muy probablemente aplica, independientemente del tamaño.
5. ¿Opera en sanidad, energía o transporte? Si sí → casi seguro como esencial o importante.
Qué pasa si está sujeta
- Designar un Responsable de Ciberseguridad y comunicarlo al CCN-CERT / INCIBE-CERT según corresponda.
- Implantar medidas técnicas y organizativas proporcionadas al riesgo.
- Notificar incidentes en 24 h (alerta temprana) y 72 h (notificación completa).
- Evaluar a los proveedores TIC e incluir cláusulas de seguridad en los contratos.
- Formación continua del personal.
Sanciones
- Entidades Esenciales: hasta 10.000.000 € o 2 % del volumen de negocios global.
- Entidades Importantes: hasta 7.000.000 € o 1,4 %.
Además, el órgano de dirección puede ser responsable personalmente por dolo o culpa grave.
Cómo evaluar su situación
Xtaiga evalúa el cumplimiento NIS2 de su empresa en 30 minutos, con un score 0–100 % y un plan de acción priorizado.
Evalúe el cumplimiento de su empresa gratis → xtaiga.com/register
🔒© 2026 Xtaiga · Cleyderson Oliver. Todos los derechos reservados. La reproducción parcial está permitida siempre que se cite la fuente con enlace activo a xtaiga.com. El contenido de este artículo está protegido por derechos de autor según la legislación española y europea.
Evalúe el cumplimiento de su empresa gratis
30 minutos. Score automático para NIS2, RGPD, DORA, Reglamento IA, ISO 27001 y ENS. Plan de acción incluido.
xtaiga.com/register