← Catálogo de marcosCiberseguridad
Directiva NIS2 sobre ciberseguridad
Dir. (UE) 2022/2555 (sin transponer en España a 25/09/2026) · RD-ley 12/2018 (vigente)
- unas preguntas
- sin registro
- con su artículo
- A quién obliga
- Entidades esenciales e importantes en 18 sectores: energía, transporte, sanidad, finanzas, infraestructura digital, agua, residuos, espacio, AAPP, etc.
- Sanción máxima
- La Directiva exige que la ley nacional prevea multas máximas de al menos 10 M€ o el 2 % del volumen de negocios mundial (esenciales) y de al menos 7 M€ o el 1,4 % (importantes) (art. 34). A 25/09/2026 rige el RD-ley 12/2018: hasta 1.000.000 € (art. 37)
- En vigor desde
- En vigor desde el 16/01/2023 · plazo de transposición: 17/10/2024 (España: sin transponer a 25/09/2026)
- Autoridad
- Pendiente de la ley española de transposición. En el régimen vigente (RD-ley 12/2018), INCIBE-CERT y CCN-CERT son los CSIRT de referencia
NIS2, en claro.
Refuerzo europeo de ciberseguridad que amplía los sectores y las entidades obligadas respecto de la primera Directiva NIS. España no la ha transpuesto, ni total ni parcialmente: el plazo venció el 17/10/2024 y, a 25/09/2026, solo hay un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (aprobado en primera vuelta el 14/01/2025) que no ha llegado a las Cortes. En julio de 2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la UE. Mientras tanto rige el RD-ley 12/2018 (primera Directiva NIS) para operadores de servicios esenciales y proveedores de servicios digitales. El Real Decreto-ley 7/2025 no tiene relación con NIS2: trataba del sistema eléctrico y quedó derogado al no ser convalidado. No hay fecha legal de «primeras auditorías» NIS2 en España.
Estado en ÆGIS: activo. Flujo completo: evaluación guiada que detecta tus obligaciones, plantillas de documento que se rellenan con tus datos para que las revises, y el asistente, que cita el artículo de cada respuesta y comprueba si ese artículo está en la base normativa. Disponible en la plataforma.
Fechas clave
- Plazo de transposición · 17/10/2024 (España: sin transponer a 25/09/2026)
- Lista de entidades esenciales e importantes que debían elaborar los Estados · 17/04/2025
Obligaciones y artículos clave
El asistente cita estos puntos por su artículo. 12 referencias cargadas en el motor — muestra de 4.
-
NIS2 ES · Estado actual
Sin transponer a 25/09/2026: rige el RD-ley 12/2018
España no ha transpuesto la Directiva NIS2, ni total ni parcialmente (plazo: 17/10/2024). El Real Decreto-ley 7/2025 no tiene relación con NIS2: trataba del refuerzo del sistema eléctrico tras el apagón y quedó derogado al no ser convalidado por el Congreso (Resolución de 22 de julio de 2025). El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en primera vuelta el 14/01/2025 y, a 25/09/2026, el Gobierno no lo ha remitido a las Cortes; prevé un Centro Nacional de Ciberseguridad. Sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera Directiva NIS, para operadores de servicios esenciales y proveedores de servicios digitales.
-
RD-ley 12/2018 art. 11 · CSIRT de referencia
CSIRT de referencia en el régimen vigente (RD-ley 12/2018)
España no ha transpuesto NIS2 (a 25/09/2026): las autoridades que la aplicarán dependen de la futura ley (el anteproyecto prevé un Centro Nacional de Ciberseguridad). En el régimen vigente (RD-ley 12/2018, art. 11), los CSIRT de referencia son el CCN-CERT, para las entidades del sector público (Ley 40/2015), y el INCIBE-CERT, para el resto de entidades y para los proveedores de servicios digitales; el ESPDEF-CERT coopera en lo que afecte a la Defensa Nacional. El RD-ley 7/2025 no trata de ciberseguridad.
-
Art. 20
Gobernanza — responsabilidad del órgano de dirección
Los Estados miembros velarán por que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad adoptadas por dichas entidades para cumplir con el artículo 21, supervisen su aplicación y rindan cuentas por el incumplimiento. Los miembros del órgano de dirección recibirán formación específica y ofrecerán formación equivalente al personal.
-
Art. 21
Medidas de gestión de riesgos de ciberseguridad — 10 dominios
Las entidades esenciales e importantes adoptarán medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad y prevenir o minimizar el impacto de los incidentes. Las medidas incluirán al menos: análisis de riesgos, gestión de incidentes, continuidad del negocio, seguridad de la cadena de suministro, seguridad en adquisición/desarrollo/mantenimiento, evaluación de eficacia, prácticas básicas de ciberhigiene y formación, criptografía, RR.HH./control de accesos/gestión de activos, autenticación multifactor y comunicaciones seguras.
Qué puedes hacer con este marco en ÆGIS
EVALUACIÓN INTERACTIVA
Árbol de decisión guiadoUn cuestionario adaptativo determina qué obligaciones de NIS2 aplican a cada cliente y detecta sus brechas. El resultado alimenta los documentos y el universo de controles.
Pruébalo gratis, sin registro →DOCUMENTOS QUE GENERA · 6
Borradores con tus datos, para que los revises- Política de Control de Accesos y Autenticación Multifactor
- Carta de Ciberseguridad del Órgano de Dirección
- Plan de Continuidad de Negocio
- Política de Gestión de Riesgos de Ciberseguridad
- Plan de Respuesta a Incidentes de Ciberseguridad
- Política de Seguridad de la Cadena de Suministro
Cruces con otros marcos
Estos marcos comparten obligaciones convergentes con NIS2. El agente las razona como un sistema, no como silos.
¿Te aplica NIS2? Compruébalo en unas preguntas.
Te decimos si te aplica, por qué y lo que tendrías que tener resuelto, con su artículo. Gratis y sin registro.
¿Una duda concreta sobre NIS2? Pregúntale a Atlas: responde citando el artículo.