¿Tu PYME Está Obligada por NIS2? Cómo Saberlo
No hay un listado oficial donde consultar si tu empresa está incluida. Se responde comparando tres cosas con el texto de la Directiva: a qué te dedicas, cuánto pesa tu empresa y si te alcanza alguna excepción. Esta guía te da ese método. No sustituye una consulta jurídica en los casos dudosos.
Estado de la transposición (revisado el 20/09/2026)
NIS2 es una Directiva: obliga a los Estados miembros a aprobar leyes; no impone por sí sola obligaciones ni sanciones a una empresa concreta. España debía transponerla antes del 17 de octubre de 2024 (art. 41). El Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que prevé un Centro Nacional de Ciberseguridad como autoridad competente única. En las fuentes oficiales que hemos consultado no consta a día de hoy su publicación en el BOE, así que el texto puede cambiar y las obligaciones concretas para las empresas españolas siguen pendientes. Mientras tanto se mantiene el marco de la Directiva anterior (NIS1): Real Decreto-ley 12/2018 y Real Decreto 43/2021.
Paso 1: ¿tu actividad está en los anexos I o II?
El artículo 2 aplica la Directiva a entidades “de alguno de los tipos mencionados en los anexos I o II”. Si tu actividad no aparece en esos anexos, la regla general de tamaño no te alcanza. Resumen de los sectores:
| Anexo | Sectores |
|---|---|
| I – sectores de alta criticidad | Energía; transporte; banca; infraestructuras de los mercados financieros; sanitario; agua potable; aguas residuales; infraestructura digital; gestión de servicios de TIC entre empresas (proveedores de servicios gestionados y de seguridad gestionados); Administración pública; espacio |
| II – otros sectores críticos | Servicios postales y de mensajería; gestión de residuos; sustancias y mezclas químicas; alimentos; fabricación (productos sanitarios, informáticos, electrónicos y ópticos, material eléctrico, maquinaria, vehículos y otro material de transporte); proveedores de servicios digitales (mercados en línea, motores de búsqueda, redes sociales); investigación |
Tres precisiones que evitan errores habituales:
- Alimentos: el anexo II cubre a las empresas alimentarias dedicadas “a la distribución al por mayor y a la producción y transformación industriales”. No incluye, por sí mismo, el comercio minorista.
- Fabricación: solo las categorías que enumera el anexo II, no toda la industria.
- Servicios de TIC: una empresa que gestiona sistemas o seguridad de terceros como proveedor de servicios gestionados o de seguridad gestionados está en el anexo I. Una empresa que usa esos servicios, no.
Las actividades que no aparecen en los anexos, como gestorías, talleres de mantenimiento o comercio general, no se incluyen por el simple hecho de tener 50 empleados. Otra cosa es que la ley española amplíe el alcance, algo que el artículo 2, apartado 5, permite para la Administración local y los centros de enseñanza.
Paso 2: ¿superas el umbral de tamaño?
La Directiva se aplica a las entidades de esos sectores que sean medianas o mayores según el artículo 2 del anexo de la Recomendación 2003/361/CE:
- Pequeña empresa: menos de 50 personas y volumen de negocios o balance anual de hasta 10 millones de euros.
- Mediana empresa: menos de 250 personas y volumen de negocios de hasta 50 millones de euros o balance de hasta 43 millones.
- Grande: por encima de esos límites.
Las micro y pequeñas empresas quedan fuera de la regla general. Ojo con dos detalles: el cómputo incluye a las empresas asociadas y vinculadas del grupo según la Recomendación, y el tamaño se mide con plantilla y cifras financieras, no solo con el número de empleados.
Paso 3: excepciones que ignoran el tamaño
El artículo 2, apartados 2 a 4, aplica la Directiva “independientemente de su tamaño” en supuestos como estos: proveedores de redes o servicios de comunicaciones electrónicas públicos, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel y proveedores de DNS, entidades que sean el único proveedor de un servicio esencial en un Estado miembro, entidades cuya perturbación pudiera afectar de forma significativa a la seguridad pública o a riesgos sistémicos, entidades identificadas como críticas y ciertas entidades de la Administración pública. Si crees que puedes encajar en alguno, consúltalo con un asesor jurídico.
Esencial o importante
Según el artículo 3, son entidades esenciales las de tipos del anexo I que superan los límites de la mediana empresa (grandes), más las categorías que la Directiva enumera aparte. Son entidades importantes todas las demás de los anexos I y II. Una mediana del anexo I es, por tanto, importante, y una grande del anexo II también. La clasificación cambia el régimen de supervisión y el máximo sancionador (art. 34), pero ambas deben aplicar las medidas del artículo 21.
Si no estás incluida, ¿puede afectarte igual?
Sí, por vía contractual. El artículo 21, apartado 2, letra d), obliga a las entidades incluidas a tener en cuenta la seguridad de su cadena de suministro. Un cliente incluido puede pedirte garantías de seguridad en el contrato. Eso no te convierte en entidad obligada por NIS2, pero es una razón práctica para tener una gestión de la seguridad ordenada.
Qué hacer ahora
- Localiza tu actividad en los anexos I y II del texto oficial.
- Calcula plantilla, facturación y balance, incluyendo empresas vinculadas.
- Si estás dentro o en zona dudosa, consulta con un asesor y sigue la tramitación de la ley española.
- Con independencia del resultado, revisa lo básico: copias de seguridad, control de accesos y un plan para incidentes.
Artículos relacionados
- ¿Qué es la Directiva NIS2 y cómo afecta a tu PYME?
- Plazos NIS2 en España: qué está fijado y qué no
- Sectores de los anexos I y II de NIS2
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), texto en EUR-Lex
- Recomendación 2003/361/CE sobre la definición de microempresas, pequeñas y medianas empresas
- La Moncloa, 14/01/2025: anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
- Departamento de Seguridad Nacional: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. Hasta que exista esa ley, la fecha desde la que se exige a las empresas españolas no está fijada.
- ¿Una empresa de 10 a 49 empleados está obligada por NIS2?
- Como regla general, no: la Directiva se aplica a entidades de los sectores de los anexos I y II que sean al menos medianas. Las micro y pequeñas empresas (menos de 50 personas y hasta 10 millones de euros de facturación o de balance) quedan fuera, salvo las excepciones del artículo 2, apartados 2 a 4, que se aplican con independencia del tamaño, o que la ley española amplíe el alcance.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva fija máximos sancionadores mínimos distintos para entidades esenciales e importantes, pero la sanción concreta la fijará la ley española y la impondrá la autoridad competente designada. Hoy esa ley no está publicada.
- ¿Necesito una consultora para saber si estoy incluida?
- No existe obligación de contratar una consultora. Para casos límite (grupos empresariales, actividades mixtas, sectores dudosos) conviene una consulta jurídica, porque la clasificación depende de la actividad concreta y del texto final de la ley española.
