¿Soy entidad esencial o importante según NIS2?
Siete preguntas que cruzan tu sector (anexos I y II de la Directiva), tu tamaño y los casos especiales sin umbral — y te dicen si eres entidad esencial, importante o quedas fuera de ámbito, con el artículo exacto que lo motiva, tus obligaciones y tu tramo de sanción.
Esencial o importante: la diferencia en una tabla.
La Directiva (UE) 2022/2555 (NIS2) se aplica, con carácter general, a las entidades de sus anexos I y II desde el tamaño de mediana empresa. La Recomendación 2003/361/CE define mediana como la que tiene menos de 250 empleados y una facturación anual de hasta 50 M€ o un balance de hasta 43 M€. Son esenciales las entidades del Anexo I que superan esos límites de mediana, más los casos sin umbral del art. 3.1 (prestadores cualificados de servicios de confianza, registros TLD y proveedores de DNS, Administración pública central, entidades críticas CER). Son importantes las demás entidades en ámbito: medianas del Anexo I y entidades del Anexo II (art. 3.2).
| Entidad esencial | Entidad importante | |
|---|---|---|
| Quién es | Anexo I («sectores de alta criticidad») superando los límites de mediana empresa; y, sin umbral de tamaño: prestadores cualificados de servicios de confianza, registros TLD, proveedores de DNS, Administración pública central y entidades críticas CER (art. 3.1). | El resto de entidades en ámbito: medianas del Anexo I y entidades del Anexo II («otros sectores críticos»), salvo designación estatal como esencial (art. 3.2). |
| Multa máxima (art. 34) | Al menos 10 000 000 € o el 2% del volumen de negocios anual total mundial — la cifra mayor (art. 34.4). | Al menos 7 000 000 € o el 1,4% del volumen de negocios anual total mundial — la cifra mayor (art. 34.5). |
| Supervisión | Ex ante y ex post (art. 32). | Solo ex post, a raíz de indicios de incumplimiento (art. 33). |
| Notificación de incidentes significativos (art. 23.4) | Igual para ambas: alerta temprana ≤ 24 horas · notificación ≤ 72 horas · informe final ≤ 1 mes. | |
Última verificación: 24 de julio de 2026.
Tres pasos, ningún dato enviado.
Contestas 7 preguntas
Sobre tu sector (los 11 del Anexo I y los 7 del Anexo II), las actividades sin umbral de tamaño, tu relación con la Administración pública, tu tamaño y los casos especiales.
Todo ocurre en tu navegador
La lógica es JavaScript local: ninguna respuesta se envía a un servidor ni se almacena en ningún sitio.
Obtienes un veredicto con artículos
Esencial, importante, fuera de ámbito o caso especial — con el artículo de la Directiva que lo motiva, tus obligaciones, los plazos de notificación y tu tramo de sanción.
¿En qué sector opera tu organización?
Los anexos I y II de la Directiva NIS2 delimitan el ámbito. Elige el que mejor describa tu actividad principal.
¿Realizas alguna de estas actividades?
Estas actividades entran en NIS2 con independencia del tamaño de la entidad (art. 2.2.a y 2.4). Marca todas las que apliquen — o «Ninguna de estas».
¿Eres entidad de la Administración pública?
Quedan excluidos el poder judicial, los parlamentos y los bancos centrales, y las actividades de seguridad nacional, defensa o cumplimiento de la ley (art. 2.7 y Anexo I, punto 10).
¿Qué tamaño tiene tu organización?
Criterio de la Recomendación 2003/361/CE: la mediana empresa tiene menos de 250 empleados y factura hasta 50 M€ o tiene un balance de hasta 43 M€. Si tu balance supera los 43 M€ y tu facturación los 50 M€, marca «Más de 50 M€». Cuentan también las empresas asociadas y vinculadas del grupo.
¿Has sido identificada como entidad crítica (Directiva CER)?
La Directiva (UE) 2022/2557 (CER) de resiliencia de entidades críticas. Si una autoridad te ha designado entidad crítica, NIS2 te aplica sin umbral de tamaño (art. 2.3).
¿Fuiste designada operador de servicios esenciales bajo NIS1, o has recibido notificación de una autoridad?
Designación como operador de servicios esenciales conforme al RD-ley 12/2018 (NIS1), o notificación del CCN, de INCIBE o de un ministerio sectorial.
Aunque seas pequeña: ¿eres el único proveedor de tu servicio en España, o una caída de tu servicio afectaría gravemente a la seguridad, el orden o la salud pública?
Esta vía (art. 2.2, letras b a e) depende siempre de una designación expresa del Estado: no opera de forma automática.
Tu clasificación según la Directiva NIS2
Quién entra en NIS2 y qué le exige.
Última verificación de los criterios, sanciones y del estado de la transposición española: 24 de julio de 2026 (fuentes oficiales al final).
La Directiva (UE) 2022/2555, conocida como NIS2, amplía la ciberseguridad obligatoria a sectores enteros de la economía europea. Su ámbito se delimita con dos listas y un umbral: el Anexo I recoge once «sectores de alta criticidad» (energía, transporte, banca, infraestructuras de los mercados financieros, sector sanitario, agua potable, aguas residuales, infraestructura digital, gestión de servicios de TIC entre empresas, Administración pública y espacio) y el Anexo II otros siete «sectores críticos» (servicios postales y de mensajería, gestión de residuos, sustancias y mezclas químicas, alimentos, fabricación, proveedores de servicios digitales e investigación). Con carácter general (art. 2.1), la Directiva se aplica a las entidades de esos anexos que sean medianas empresas o mayores según la Recomendación 2003/361/CE: la mediana tiene menos de 250 empleados y una facturación anual de hasta 50 M€ o un balance de hasta 43 M€. Las micro y pequeñas empresas quedan en general fuera — con excepciones sin umbral (art. 2.2): proveedores de DNS, registros TLD, prestadores de servicios de confianza, comunicaciones electrónicas, el único proveedor nacional de un servicio esencial o entidades cuya perturbación tendría repercusiones significativas en la seguridad, el orden o la salud pública. Si dudas entre varias normativas, el test ¿qué normativa me aplica? evalúa NIS2 junto al ENS, DORA, el AI Act y el RGPD.
Esencial o importante: qué cambia de verdad
Son esenciales (art. 3.1) las entidades del Anexo I que superan los límites de mediana empresa, y — con independencia del tamaño — los prestadores cualificados de servicios de confianza, los registros TLD y los proveedores de DNS, la Administración pública central y las entidades identificadas como críticas conforme a la Directiva (UE) 2022/2557 (CER); también los proveedores de comunicaciones electrónicas de tamaño mediano y, si España así lo dispone, los antiguos operadores de servicios esenciales de NIS1. Son importantes (art. 3.2) todas las demás entidades en ámbito: las medianas del Anexo I y las entidades del Anexo II. Las obligaciones de fondo son las mismas para ambas; lo que cambia es la supervisión — ex ante y ex post para las esenciales (art. 32), solo ex post para las importantes (art. 33) — y el techo sancionador.
Las obligaciones: gestión de riesgos y responsabilidad de la dirección
El art. 21.2 exige, como mínimo, diez bloques de medidas: políticas de seguridad y análisis de riesgos; gestión de incidentes; continuidad de negocio con copias de seguridad y gestión de crisis; seguridad de la cadena de suministro; seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, incluida la gestión de vulnerabilidades; procedimientos para evaluar la eficacia de las medidas; ciberhigiene básica y formación; criptografía y, en su caso, cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; y autenticación multifactor, comunicaciones seguras y comunicaciones de emergencia cuando proceda. El art. 20 añade la pieza de gobernanza: los órganos de dirección deben aprobar esas medidas, supervisar su puesta en práctica y responder por el incumplimiento, además de asistir a formaciones de ciberseguridad. Todo el bloque de ciberseguridad y cumplimiento de esta web desarrolla estas medidas en la práctica.
Notificación de incidentes: 24 horas, 72 horas, 1 mes
Ante un incidente significativo — el que causa o puede causar graves perturbaciones operativas o pérdidas económicas, o afecta a terceros con perjuicios considerables (art. 23.3) — el art. 23.4 impone tres relojes: alerta temprana en un máximo de 24 horas desde que se tiene constancia, notificación completa en 72 horas con la evaluación inicial de gravedad e indicadores de compromiso, e informe final en 1 mes. Los prestadores de servicios de confianza notifican en 24 horas, y el CSIRT puede pedir informes intermedios. También hay que informar a los destinatarios de los servicios afectados.
Sanciones: hasta 10 M€ o el 2% del negocio mundial
El art. 34 fija multas de un máximo de al menos 10 000 000 € o el 2% del volumen de negocios anual total mundial (la cifra mayor) para las entidades esenciales, y de al menos 7 000 000 € o el 1,4% (la cifra mayor) para las importantes. Son mínimos armonizados del techo: la ley nacional puede fijar importes superiores. Para las esenciales, el art. 32.6 permite además suspender temporalmente funciones directivas en caso de incumplimiento persistente.
El estado en España: demandada ante el TJUE
España debía transponer NIS2 antes del 17 de octubre de 2024 y a 24 de julio de 2026 no lo ha hecho: no existe ley de transposición publicada en el BOE. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad — que prevé un Centro Nacional de Ciberseguridad como autoridad única de coordinación —, pero no consta su remisión a las Cortes como proyecto de ley. La Comisión Europea envió carta de emplazamiento el 28 de noviembre de 2024, dictamen motivado el 7 de mayo de 2025 y, el 8 de julio de 2026, recurrió al Tribunal de Justicia de la UE contra Irlanda, España, Francia y Países Bajos, solicitando sanciones financieras (expediente INFR(2024)0270). Mientras tanto siguen vigentes el RD-ley 12/2018 (NIS1), con sus CSIRT de referencia (CCN-CERT para el sector público, INCIBE-CERT para entidades privadas y ciudadanos y ESPDEF-CERT en el ámbito de la defensa), y el ENS (RD 311/2022) para el sector público y sus proveedores — si trabajas con la Administración, mide tu preparación con el autodiagnóstico ENS. Tampoco existe todavía en España un registro oficial de entidades NIS2 ni un plazo de autorregistro en vigor.
EUR-Lex — Recomendación 2003/361/CE, definición de pyme
Comisión Europea — IP/26/1499, recurso al TJUE contra España por la falta de transposición de NIS2 (08-07-2026)
La Moncloa — Consejo de Ministros de 14-01-2025, aprobación del anteproyecto
DSN — Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
BOE — Real Decreto-ley 12/2018 (transposición de NIS1, vigente)
Antes de empezar el test.
¿Me aplica NIS2 si soy una pyme?+
La regla general (art. 2.1 de la Directiva) es que NIS2 se aplica a las entidades de los anexos I o II desde el tamaño de mediana empresa según la Recomendación 2003/361/CE (la mediana tiene menos de 250 empleados y una facturación anual de hasta 50 millones de euros o un balance de hasta 43 millones). Una micro o pequeña empresa queda en general fuera, con excepciones sin umbral de tamaño: proveedores de servicios de DNS, registros TLD, prestadores de servicios de confianza, proveedores de comunicaciones electrónicas o el único proveedor en un Estado miembro de un servicio esencial, entre otros casos del art. 2.2. Además, aunque quedes fuera, tus clientes en ámbito pueden exigirte medidas por contrato como parte de su seguridad de la cadena de suministro (art. 21.2.d).
¿Qué diferencia hay entre entidad esencial y entidad importante?+
Son esenciales (art. 3.1) las entidades del Anexo I que superan los límites de mediana empresa, más varios casos sin umbral: prestadores cualificados de servicios de confianza, registros TLD y proveedores de DNS, la Administración pública central y las entidades críticas designadas bajo la Directiva CER. Son importantes (art. 3.2) las demás entidades en ámbito: las medianas del Anexo I y las entidades del Anexo II. Las obligaciones de fondo (arts. 20, 21 y 23) son las mismas; cambian la supervisión — ex ante y ex post para las esenciales (art. 32), solo ex post para las importantes (art. 33) — y el tope de multa: al menos 10 millones de euros o el 2% del volumen de negocios anual mundial frente a al menos 7 millones o el 1,4%, en ambos casos la cifra mayor.
¿NIS2 ya es exigible en España?+
A 24 de julio de 2026 España no ha publicado la ley de transposición de NIS2: el Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero no hay ley en el BOE. La Comisión Europea demandó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026 por no transponer la Directiva (expediente INFR(2024)0270), solicitando sanciones financieras. Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 (transposición de NIS1) y, para el sector público y sus proveedores, el ENS (RD 311/2022).
¿Qué multas prevé NIS2?+
El art. 34 de la Directiva fija multas de un máximo de al menos 10 millones de euros o el 2% del volumen de negocios anual total mundial (la cifra mayor) para las entidades esenciales, y de al menos 7 millones de euros o el 1,4% (la cifra mayor) para las importantes. Son mínimos armonizados del techo: la futura ley española puede fijar techos superiores, y sus importes concretos están pendientes de confirmación oficial porque la ley aún no se ha publicado.
¿Qué es la alerta temprana de 24 horas?+
Es el primer aviso del art. 23.4: ante un incidente significativo, la entidad debe enviar al CSIRT o a la autoridad competente una alerta temprana en un máximo de 24 horas desde que tenga constancia, indicando si sospecha de una acción ilícita o malintencionada o de repercusión transfronteriza. Después llegan la notificación completa en 72 horas (con la evaluación inicial de gravedad e indicadores de compromiso) y un informe final en el plazo de 1 mes. Excepción: los prestadores de servicios de confianza notifican en 24 horas.
¿Puedo estar sujeto a NIS2 y al ENS a la vez?+
Sí. El ENS (RD 311/2022) ya es exigible hoy para el sector público español y para los proveedores tecnológicos que le prestan servicios; NIS2 se añadirá a ese marco cuando España apruebe su ley de transposición. Una Administración pública o un proveedor del sector público en un sector de los anexos puede tener que cumplir ambos. Si trabajas con la Administración, comprueba también tu situación con el autodiagnóstico ENS.
¿Tengo que registrarme ya en algún censo NIS2 en España?+
Todavía no existe un mecanismo oficial. La Directiva (art. 3.3) obligaba a los Estados miembros a elaborar antes del 17 de abril de 2025 la lista de entidades esenciales e importantes, pero en España, al no haberse aprobado la ley de transposición, a 24 de julio de 2026 no hay plazo de autorregistro en vigor ni portal oficial de registro operativo. Conviene vigilar el BOE: cuando la ley se publique, fijará el procedimiento y sus plazos.
¿Quieres que lo revisemos juntos?
Agenda una sesión gratuita de 30 minutos. Repasamos tu clasificación, qué medidas del art. 21 te faltan y por dónde empezar sin sobredimensionar el proyecto.
Agendar sesión gratuita →