España sigue sin completar la transposición de la directiva NIS2, dos años después de que venciera el plazo europeo. Entender qué implica la NIS2 en España ya es parte del trabajo de cualquier partner que aloje sistemas en un cloud privado o en un CPD externo.
La falta de ley no frena la presión del mercado. Las grandes empresas ya trasladan por contrato a sus proveedores los requisitos de la directiva, los clientes públicos exigen el Esquema Nacional de Seguridad, y quien no pueda acreditar sus medidas corre el riesgo de quedarse fuera de las próximas renovaciones.
En qué punto está la transposición de NIS2 en España
A octubre de 2026, la NIS2 en España sigue pendiente de una ley nacional. El texto llamado a transponerla es la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto aprobó el Consejo de Ministros el 14 de enero de 2025 y que, a octubre de 2026, aún no se ha remitido a las Cortes como proyecto de ley.
El retraso ya tiene consecuencias. El plazo europeo venció el 17 de octubre de 2024, la Comisión Europea envió un dictamen motivado en mayo de 2025 y, el 8 de julio de 2026, llevó a España ante el Tribunal de Justicia de la UE solicitando sanciones económicas.
Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS. La futura ley creará el Centro Nacional de Ciberseguridad como autoridad nacional y repartirá la supervisión entre Interior, Defensa y Transformación Digital.
Esperar al BOE es un error de planificación, porque el contenido de las obligaciones ya está definido en la directiva y el mercado ya lo está exigiendo. Es la idea central que trasladamos en el desayuno tecnológico Cloud & NIS2 de Madrid, junto a una consultora especializada en cumplimiento normativo. Información actualizada a octubre de 2026.
A quién aplica: entidades esenciales, importantes y su cadena de suministro
La primera duda de muchos clientes es básica: NIS2, qué es y a quién obliga. La directiva NIS2 (UE 2022/2555) es el marco europeo de ciberseguridad que sustituye a la NIS de 2016 y extiende su alcance a dieciocho sectores.
Como regla general, aplica a medianas y grandes empresas de esos sectores, es decir, con 50 empleados o más, o con una facturación y un balance anuales superiores a 10 millones de euros. Algunas entidades, como los proveedores de DNS o de servicios de confianza, entran sin importar su tamaño. Dentro de ese universo, la directiva distingue dos categorías:
- Entidades esenciales: en general, grandes empresas de sectores de alta criticidad (anexo I), como energía, transporte, sanidad o infraestructura digital.
- Entidades importantes: medianas empresas de esos sectores y empresas de otros sectores críticos (anexo II), como residuos, fabricación o alimentación.
La directiva fija multas máximas de al menos 10 millones de euros o el 2% de la facturación mundial para las esenciales, y 7 millones o el 1,4% para las importantes. Las cuantías definitivas las fijará la ley española.
¿Es un centro de datos una entidad esencial o importante?
Depende de su tamaño, pero entra en la directiva. Los proveedores de servicios de centro de datos y de computación en nube figuran en el anexo I, dentro del sector de infraestructura digital. Los MSP y MSSP aparecen en el mismo anexo, en el sector de gestión de servicios TIC.
- Gran empresa (250 empleados o más, o más de 50 millones de facturación y 43 de balance): entidad esencial.
- Mediana empresa (de 50 a 249 empleados, o más de 10 millones de facturación y de balance): entidad importante.
- Pequeña empresa o microempresa: queda fuera, salvo que el Estado la designe por su papel crítico.
Las obligaciones de fondo son las mismas en las dos categorías: las medidas del artículo 21 y la notificación de incidentes. Lo que cambia es la supervisión. Las esenciales pueden recibir inspecciones y auditorías en cualquier momento, y las importantes solo cuando haya indicios de incumplimiento. Además, los proveedores de centro de datos y cloud deben facilitar sus datos a la autoridad competente para un registro europeo que gestiona ENISA.
Para el cliente, la pregunta clave no es solo en qué categoría está su proveedor, sino en cuál está él. Si tu empresa es esencial o importante, la directiva te obliga a evaluar la seguridad de tus proveedores directos, centro de datos incluido, aunque ese proveedor sea pequeño y quede fuera de su ámbito. Si no lo es, es probable que tus propios clientes sí lo sean y te trasladen esas exigencias por contrato.
La directiva también implica a la cúpula. Su artículo 20 obliga a los órganos de dirección a aprobar las medidas de ciberseguridad, supervisar su aplicación y formarse, y abre la puerta a exigirles responsabilidad si no lo hacen.
Las medidas del artículo 21 que dependen de la infraestructura
El artículo 21 de la directiva fija diez medidas mínimas de gestión de riesgos, que cada entidad debe aplicar de forma proporcional a su exposición:
- Políticas de análisis de riesgos y de seguridad de los sistemas.
- Gestión de incidentes.
- Continuidad de negocio, copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro y de la relación con cada proveedor.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
- Evaluación periódica de la eficacia de las medidas.
- Ciberhigiene básica y formación en ciberseguridad.
- Uso de criptografía y, cuando proceda, cifrado.
- Seguridad de los recursos humanos, control de accesos y gestión de activos.
- Autenticación multifactor y comunicaciones seguras, también las de emergencia.
Las medidas 3 y 4, junto con la obligación de notificar incidentes del artículo 23, dependen en buena parte del proveedor de infraestructura. Son las que el partner debe poder acreditar cuando su cliente prepare el cumplimiento de NIS2 en España.
Continuidad de negocio y gestión de copias de seguridad
NIS2 exige continuidad de negocio, gestión de copias de seguridad, recuperación ante desastres y gestión de crisis. En la práctica, y en línea con el Reglamento de Ejecución (UE) 2024/2690, que concreta estas medidas para proveedores cloud, centros de datos y servicios gestionados, eso se traduce en requisitos verificables:
- Copias de seguridad con al menos una réplica externa y protegida frente a borrado.
- Plan de recuperación documentado, con objetivos de tiempo y de pérdida de datos definidos.
- Pruebas de restauración periódicas, registradas y revisadas.
- Infraestructura con redundancia eléctrica, de climatización y de comunicaciones.
Un servicio de cloud backup con retención y réplica externa cubre buena parte de este bloque, siempre que quede documentado.
Seguridad de la cadena de suministro y del proveedor cloud
La directiva obliga a evaluar la seguridad de cada proveedor directo. Para un servicio cloud, las preguntas típicas son dónde están los datos, quién puede acceder a ellos, qué certificaciones auditadas tiene el proveedor y cómo notifica sus propios incidentes.
Las respuestas deben poder demostrarse con documentos, no con presentaciones comerciales. Un informe de auditoría, un certificado vigente o una cláusula contractual pesan más en una revisión de cumplimiento de NIS2 en España que cualquier promesa de seguridad.
Notificación de incidentes en 24 horas, 72 horas y un mes
NIS2 fija un calendario escalonado para los incidentes significativos. La entidad debe enviar una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final como máximo un mes después de esa notificación.
Cumplirlo depende de la trazabilidad de la infraestructura. Si tu proveedor no registra accesos, cambios e incidencias, tu cliente no podrá reconstruir lo ocurrido a tiempo.
NIS2 y ENS: cómo conviven y qué ventaja da tener ya la categoría alta
NIS2 y el Esquema Nacional de Seguridad son marcos complementarios. El ENS, regulado por el Real Decreto 311/2022, se aplica al sector público y a sus proveedores, mientras que NIS2 alcanza también a empresas privadas de los sectores afectados.
Ambos comparten una lógica similar: análisis de riesgos, medidas proporcionales, gestión de incidentes y control de terceros. Por eso, una infraestructura con ENS Categoría Alta ya tiene implantada una parte relevante de lo que NIS2 en España exigirá.
Esa base aporta al partner evidencias auditadas por terceros, controles ya revisados y menos trabajo documental cuando su cliente aborde el análisis de brechas.
Es el caso de Walhalla, que mantiene la certificación del ENS de categoría Alta y las ISO 27001 (seguridad de la información) y 20000-1 (gestión de servicios TI), además de la ISO 50001 de gestión energética, todas certificadas por AENOR, como recoge su última renovación de certificaciones. Tener el ENS no equivale a cumplir la NIS2, pero acorta mucho el camino para cumplirla.
Qué pedir a tu proveedor de infraestructura para llegar preparado a NIS2
Llegar preparado a NIS2 en España pasa por hacer las preguntas correctas antes de que las haga tu cliente. Estas son las que conviene tener resueltas por escrito:
- Su categoría NIS2 (esencial, importante o fuera del ámbito) y si ha comunicado sus datos a la autoridad competente.
- Certificaciones vigentes y auditadas, con su alcance y la entidad que las emite.
- Ubicación exacta del centro de datos y jurisdicción que aplica a los datos.
- SLA con disponibilidad comprometida y penalizaciones automáticas por incumplimiento.
- Procedimiento y plazos con los que el proveedor te notificará sus incidentes.
- Opciones de copia externa, retención e inmutabilidad para los datos críticos.
Con esas respuestas, el partner convierte una obligación normativa en un argumento comercial: ofrecer a su cliente una infraestructura que ya responde a lo que NIS2 obliga a preguntar, aunque la ley española aún no haya llegado al BOE.
Si quieres aplicar estos requisitos a un proyecto concreto, escríbenos a comercial@walhallacloud.com con tu nombre, empresa, teléfono, una breve descripción del proyecto y el producto de interés.
En Walhalla Cloud acompañamos al canal para que el cumplimiento de sus clientes descanse sobre hechos verificables.
