Cada vez se habla más de firewalls, ciberataques y ransomware. Las noticias sobre brechas de seguridad han dejado de sorprender a casi nadie.
Y sin embargo, cuando se pregunta a la mayoría de empresas si están preparadas para cumplir con la directiva NIS2, la respuesta más habitual no es un sí ni un no: es un silencio incómodo seguido de «eso lo gestiona el informático».
Ese silencio es exactamente el problema.
La Directiva (UE) 2022/2555, conocida como NIS2, no es un trámite burocrático más ni una actualización técnica para el departamento de IT.
Es un cambio de paradigma en cómo Europa entiende la ciberseguridad: una responsabilidad colectiva que empieza en los organismos públicos, pasa por las empresas de telecomunicaciones y servicios digitales, y llega hasta el cliente final. Una cadena en la que todos los eslabones importan y ninguno puede mirar para otro lado.
Qué es la directiva NIS2 y por qué España va tarde
La directiva NIS2 entró en vigor en la Unión Europea en enero de 2023 y debía estar transpuesta al ordenamiento jurídico de todos los Estados miembros antes del 17 de octubre de 2024.
España no cumplió ese plazo. Tampoco fue un caso aislado, pero el retraso tiene consecuencias reales: el 7 de mayo de 2025 la Comisión Europea envió un dictamen motivado formal a España por incumplimiento, y el 8 de julio de 2026 llevó el caso ante el Tribunal de Justicia de la UE solicitando sanciones económicas al Estado.
La Ley de Coordinación y Gobernanza de la Ciberseguridad, el vehículo legislativo que transpone NIS2 al derecho español, sigue en tramitación parlamentaria a la fecha de publicación de este artículo.
Sin embargo, hay algo que muchas empresas no saben: el retraso de España no las exime de cumplir. El Real Decreto-ley 7/2025 ya está en vigor, y los clientes y reguladores europeos están trasladando contractualmente los requisitos NIS2 a sus cadenas de suministro con independencia del calendario legislativo español. Las inspecciones han comenzado.
No es solo cosa del informático: la ciberseguridad como responsabilidad compartida
Cuando hablamos de cumplir con normativas de seguridad, el primer reflejo habitual es calcular cuánto va a costar. El segundo es delegar: «eso lo lleva el informático» o «ya nos lo gestionará el proveedor de IT». Y en ese momento se comete el error más frecuente en materia de ciberseguridad.
La seguridad digital no es un producto que se compra y se instala. Es una práctica que debe impregnar toda la organización: desde cómo gestiona las contraseñas el equipo de administración hasta qué hace el proveedor de servicios cuando detecta una vulnerabilidad, pasando por cómo están configuradas las redes, los sistemas de acceso remoto o las copias de seguridad.
Desde el sector de las telecomunicaciones, tenemos una perspectiva privilegiada de esto. Somos parte de esa cadena de responsabilidad: la infraestructura que conecta a las empresas, los sistemas de comunicación que las sostienen, las redes sobre las que corren sus datos.
Si esa infraestructura no es segura, ningún software de seguridad del mundo puede compensarlo. La directiva NIS2 lo entiende así, y por eso amplía el perímetro de obligados de forma tan significativa.
A quién afecta la directiva NIS2: sectores y umbrales
NIS2 pasa de los 7 sectores que cubría su predecesora NIS1 a 18 sectores clasificados en dos categorías: entidades esenciales y entidades importantes.
Entre los sectores afectados están energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable, infraestructura digital, gestión de servicios TIC, administraciones públicas, sector espacial, residuos, fabricación de productos críticos y proveedores de servicios digitales, entre otros.
El criterio de tamaño general es: 50 o más empleados, o más de 10 millones de euros de facturación. Pero hay excepciones importantes.
Si tu empresa es proveedora de una entidad esencial, si operas en un sector crítico o si las autoridades te designan específicamente, puedes estar obligada aunque no superes esos umbrales.
En España, la directiva amplía el universo de entidades afectadas de unos 500 operadores bajo NIS1 a potencialmente entre 5.000 y 50.000 organizaciones.
Qué obliga a hacer exactamente la normativa
El artículo 21 de la directiva NIS2 establece las medidas técnicas y organizativas que las entidades obligadas deben implementar.
No es una lista de tecnologías: es un enfoque de gestión del riesgo que incluye
Análisis y gestión de riesgos de ciberseguridad.
Políticas de seguridad documentadas.
Gestión de incidentes con notificación a las autoridades en un plazo máximo de 72 horas
Continuidad de negocio y planes de recuperación ante desastres.
Seguridad de la cadena de suministro (incluyendo proveedores y subcontratistas).
Seguridad en la adquisición y desarrollo de sistemas.
Formación en ciberseguridad para toda la organización y uso de criptografía y autenticación multifactor.
Una parte de este trabajo tiene mucho que ver con la infraestructura de red: segmentación, control de acceso, monitorización del tráfico.
En Apolo Group abordamos esos aspectos desde nuestro servicio de ciberseguridad para empresas y desde el diseño de la propia infraestructura de red, que es donde muchos de estos controles se implementan en la práctica.
El dato que más sorprende a los directivos: la responsabilidad es personal
Este es el cambio que más impacto está teniendo en los consejos de administración españoles cuando lo descubren: bajo la directiva NIS2, los CEO y miembros del consejo de administración son directamente responsables del cumplimiento de las obligaciones de ciberseguridad. No el director de IT. No el responsable de sistemas. Los directivos.
Las sanciones previstas para entidades esenciales pueden llegar hasta 10 millones de euros o el 2% de la facturación anual mundial, la cifra que sea mayor.
Pero la consecuencia más contundente no es económica: la normativa contempla la inhabilitación temporal de directivos para el ejercicio de funciones de dirección en casos de negligencia grave demostrada. La ciberseguridad ha pasado de ser un coste del departamento de IT a ser un riesgo personal de la dirección.
Esperar no es una estrategia: por qué actuar ahora
El argumento de «esperemos a que salga la ley española» tiene un problema fundamental: las obligaciones materiales ya existen.
Los clientes europeos ya están incorporando requisitos NIS2 en sus contratos con proveedores españoles. Las inspecciones han comenzado. Y cuando la ley se publique en el BOE, entrará en vigor al día siguiente sin periodo transitorio prolongado.
Las empresas que lleguen a ese momento sin haber hecho ningún trabajo previo se enfrentarán a plazos muy ajustados para registrarse, documentar sus medidas de seguridad y acreditar el cumplimiento. Las que hayan avanzado, aunque sea de forma parcial, tendrán una posición muy diferente.
La falta de concienciación a todos los niveles, desde el proveedor de servicios hasta el cliente final, es el obstáculo real.
Más que el coste, que en muchos casos es menor de lo que se asume si se aborda de forma planificada, el verdadero freno es seguir pensando que la ciberseguridad es un problema técnico y no una responsabilidad de negocio.
Por dónde empezar si tu empresa podría estar afectada
El primer paso es determinar si tu empresa entra dentro del perímetro de la directiva: sector de actividad, tamaño, y si eres proveedor de entidades que sí están claramente obligadas.
A partir de ahí, un diagnóstico de la situación actual frente a los requisitos del artículo 21 permite identificar las brechas prioritarias y diseñar un plan de cumplimiento proporcional.
Todos formamos parte de la cadena de seguridad. El sector telco, los proveedores de infraestructura digital, las empresas que usan esos servicios y los organismos que los regulan.
La directiva NIS2 no hace otra cosa que poner por escrito lo que ya debería ser una convicción: que la seguridad de las redes y los sistemas de información es una responsabilidad compartida, y que aplazar esa conversación tiene un coste que, tarde o temprano, alguien acaba pagando.
Si quieres evaluar el estado de preparación de tu empresa ante la directiva NIS2, en Apolo Group te ayudamos a identificar los pasos concretos dentro de nuestro servicio de ciberseguridad para empresas.
