La directiva europea NIS2 eleva de forma notable las exigencias de ciberseguridad para miles de empresas. En España, su transposición completa sigue pendiente: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad continúa su tramitación y la Comisión Europea remitió un segundo requerimiento formal en mayo de 2026. La pregunta práctica es qué hacer mientras tanto.
¿Esperar o prepararse?
Aunque la ley española no esté cerrada, el marco de la directiva es conocido, y los grandes clientes ya están trasladando sus exigencias a los proveedores. Prepararse ahora evita el cuello de botella cuando se fijen plazos, y las medidas que adoptes también reducen riesgos reales desde el primer día.
Qué cambia con NIS2
- Sustituye la distinción anterior por dos categorías: entidades esenciales e importantes, en función del sector y del tamaño.
- Exige medidas de gestión de riesgos de ciberseguridad, incluida la seguridad de la cadena de suministro.
- Fija plazos de notificación de incidentes: aviso inicial en 24 horas, notificación en 72 horas e informe final en un mes.
- Hace responsables a los órganos de dirección de aprobar y supervisar las medidas.
- Endurece el régimen sancionador.
Qué aporta la ISO 27001
Un sistema de gestión certificado en ISO 27001 cubre buena parte de los requisitos de gestión de riesgos que plantea NIS2: análisis de riesgos, políticas, control de accesos, gestión de proveedores, continuidad del negocio y mejora continua. Es, de hecho, la base más habitual sobre la que construir el cumplimiento.
Qué no cubre por sí sola
Estar certificado en ISO 27001 no equivale a cumplir NIS2. La directiva añade obligaciones específicas, como los plazos de notificación de incidentes o la responsabilidad directa de la dirección, que conviene revisar aparte sobre la base del SGSI. Tampoco sustituye al ENS cuando trabajas con el sector público español.
Primeros pasos recomendados
- Identifica si tu empresa podría ser entidad esencial o importante, o proveedora de una de ellas.
- Haz un análisis de brechas frente a la ISO 27001.
- Define un procedimiento de detección, gestión y notificación de incidentes que permita cumplir los plazos.
- Revisa la seguridad de tus proveedores críticos y recoge sus compromisos por contrato.
- Informa a la dirección de sus responsabilidades y deja constancia de su aprobación de las medidas.
La ventaja de moverse pronto
Implantar un SGSI lleva meses. Las empresas que ya cuenten con él cuando la ley se apruebe partirán con ventaja frente a las que tengan que improvisar, y además podrán responder con rapidez a los cuestionarios de seguridad que sus clientes ya están enviando.
Más información en nuestra página de certificación ISO 27001.
Preguntas frecuentes
¿Está transpuesta la directiva NIS2 en España?
No de forma completa. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación y la Comisión Europea remitió un segundo requerimiento formal en mayo de 2026.
¿Cumplo NIS2 si tengo la ISO 27001?
No equivale, aunque cubre buena parte de los requisitos de gestión de riesgos. NIS2 añade obligaciones como los plazos de notificación de incidentes y la responsabilidad de la dirección.
¿Qué plazos de notificación de incidentes fija NIS2?
Aviso inicial en 24 horas, notificación del incidente en 72 horas e informe final en un mes.
¿Debo esperar a que se apruebe la ley para actuar?
No. El marco de la directiva es conocido y prepararse ahora evita improvisar cuando se fijen plazos, además de reducir riesgos desde el primer día.
¿Necesitas ayuda con tu certificación? En MBV Calidad te acompañamos desde el diagnóstico hasta la auditoría. Solicita presupuesto sin compromiso.