¿Cuándo entra en vigor NIS2 en España?

La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.

¿NIS2 exige segmentar la red, usar VLAN o instalar un firewall?

No. El artículo 21 exige medidas técnicas, operativas y de organización adecuadas y proporcionadas al riesgo, con un enfoque de todos los peligros, pero no enumera VLAN, firewalls, diagramas, registros ni frecuencias de revisión. La segmentación es una medida posible que puede reducir el impacto de un incidente.

¿Qué pasa si mi empresa no cumple NIS2?

La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.

¿Hay una tecnología de segmentación que «cumpla NIS2»?

Ninguna tecnología acredita cumplimiento por sí sola. Los equipos y servicios pueden ayudar a implantar una medida, pero el cumplimiento depende de una gestión de riesgos global, de su configuración y de la ley española final.

Segmentación de Red en PYMEs: Un Ejemplo Técnico dentro de la Gestión de Riesgos NIS2

Cuando un atacante entra en un equipo, lo que pueda alcanzar desde ahí depende de cómo esté organizada la red. Segmentar es dividirla en zonas con reglas entre ellas. Es una medida muy razonable para muchas PYMEs, pero no una obligación de NIS2.

Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo).

Lo que dice la Directiva

El artículo 21.1 exige medidas técnicas, operativas y de organización “adecuadas y proporcionadas” y el 21.2 pide un enfoque basado en todos los peligros para proteger los sistemas de redes y de información y su entorno físico. Ningún apartado enumera la segmentación, las VLAN, los firewalls ni frecuencias de revisión. Son ejemplos de cómo se puede aplicar la gestión de riesgos (método de análisis).

Cuándo puede ayudar

Hay equipos que no se pueden actualizar bien (maquinaria, cámaras, impresoras, IoT).
Tienes servidores con datos sensibles que no deberían ser accesibles desde cualquier puesto.
Recibes visitas o proveedores que se conectan a tu red.
Quieres limitar el daño de un ransomware que se propaga lateralmente.

Zonas típicas en una PYME (ilustrativo)

Puestos de usuario.
Servidores y datos críticos, con acceso restringido.
Invitados, sin acceso a lo interno.
Dispositivos IoT y de operación, aislados.
Administración, con acceso solo para quien administra, con MFA.

Las reglas entre zonas deberían seguir el principio de que solo se permite lo que hace falta.

Cómo empezar sin complicarlo

Haz un inventario de dispositivos y de qué habla con qué.
Empieza por la separación de mayor beneficio (invitados, IoT y servidores críticos).
Aplica reglas explícitas entre zonas y documenta las excepciones.
Comprueba que nada esencial se ha roto antes de endurecer.
Revisa cuando cambien equipos, proveedores o necesidades, y registra el resultado.

Los costes, las fases y las frecuencias de revisión dependen del tamaño, de tu equipo actual y de tu proveedor de IT. No damos cifras porque no existen valores generales fiables ni forman parte de la Directiva.

Segmentación, proveedores y acceso remoto

Los accesos de terceros y el teletrabajo son buenos candidatos para el acceso mínimo: consulta acceso remoto y VPN y la seguridad de la cadena de suministro.

Fuentes oficiales

Siguientes pasos NIS2

Guías clave

Servicios

Preguntas frecuentes

¿Cuándo entra en vigor NIS2 en España?: La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
¿NIS2 exige segmentar la red, usar VLAN o instalar un firewall?: No. El artículo 21 exige medidas técnicas, operativas y de organización adecuadas y proporcionadas al riesgo, con un enfoque de todos los peligros, pero no enumera VLAN, firewalls, diagramas, registros ni frecuencias de revisión. La segmentación es una medida posible que puede reducir el impacto de un incidente.
¿Qué pasa si mi empresa no cumple NIS2?: La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
¿Hay una tecnología de segmentación que «cumpla NIS2»?: Ninguna tecnología acredita cumplimiento por sí sola. Los equipos y servicios pueden ayudar a implantar una medida, pero el cumplimiento depende de una gestión de riesgos global, de su configuración y de la ley española final.

Segmentación de Red en PYMEs: Una Medida Posible bajo NIS2