INCIBE publica su material sobre NIS2 repartido en cuatro páginas distintas y no tiene una portada única que las reúna. Esta guía dice qué hay en cada una, para qué sirve y qué no vas a encontrar en ninguna.
En corto: qué es INCIBE y qué no es
INCIBE es el Instituto Nacional de Ciberseguridad de España, y su equipo técnico de respuesta se llama INCIBE-CERT. El reparto de papeles está escrito en una norma, no en un folleto: el artículo 11 del Real Decreto-ley 12/2018 designa como equipos de referencia al CCN-CERT para las entidades del sector público y al INCIBE-CERT «en el resto de los casos». La misma norma lo nombra además equipo de respuesta de referencia «para los ciudadanos, entidades de derecho privado y otras entidades» y precisa que «será operado conjuntamente por el INCIBE y el CNPIC en todo lo que se refiera a la gestión de incidentes que afecten a los operadores críticos».
Conviene fijar lo que INCIBE no es. No es la autoridad competente que impondrá las sanciones de NIS2, entre otras cosas porque esa autoridad la tiene que designar la ley española que todavía no existe. Y no es una entidad certificadora: no emite ningún sello de cumplimiento de NIS2, porque tal sello no existe.
Las cuatro páginas de INCIBE sobre NIS2
Comprobadas una a una el 10 de septiembre de 2026, las cuatro responden y esto es lo que hay en cada una.
| Recurso | Qué contiene | Cuándo usarlo |
|---|---|---|
| FAQ NIS2 (INCIBE-CERT) | Preguntas y respuestas con índice navegable, incluida la fórmula de la multa citada casi literalmente de la directiva | Cuando necesitas una respuesta concreta y con respaldo oficial a una duda concreta |
| NIS2: lo que necesitas saber | Guía divulgativa con secciones desplegables e infografías sobre el alcance de la directiva | Primera aproximación, si nunca has leído nada de NIS2 |
| Cumpliendo con la NIS2: recursos y servicios para la pyme | Artículo del 16 de abril de 2024 con una tabla que cruza los servicios del INCIBE-CERT con los artículos 21 y 23 de la directiva | Cuando ya sabes que te afecta y buscas qué servicio gratuito puedes usar para cada medida |
| Línea de Ayuda en Ciberseguridad, el 017 | Canal de atención descrito por INCIBE como «servicio nacional, gratuito, confidencial y personalizado» | Ante un incidente o una duda que no resuelve la documentación |
¿Qué servicios gratuitos ofrece INCIBE a una empresa?
El artículo de abril de 2024 lo resume con una frase que conviene leer entera: «Todos los servicios son gratuitos, pero para acceder a algunos tendrás que firmar previamente un acuerdo de confidencialidad o NDA». La tabla de ese artículo empareja cada servicio del INCIBE-CERT con la medida del artículo 21.2 o el trámite del artículo 23 al que ayuda, que es un mapeo que ninguna consultora privada puede hacer con ese detalle porque no presta esos servicios.
El canal general es el 017, con mensajería en WhatsApp y Telegram y formulario web para empresa o profesional. Para las entidades que ya son operadores existe además el Portal de Servicios a Entidades Privadas del INCIBE-CERT.
¿INCIBE dice cuántos sectores hay en España?
Sí, y su respuesta explica una confusión frecuente. El propio artículo de INCIBE cuenta que «la normativa española que traspuso la NIS extendió los 7 sectores de esta para hacerlos coincidir con los de la Ley PIC, de protección de Infraestructuras críticas», y enumera los doce sectores de operadores de servicios esenciales en España: administración, espacio, industria nuclear, industria química, instalaciones de investigación, agua, energía, salud, TIC, transporte, alimentación y sistema financiero y tributario. NIS2, en cambio, trabaja con dieciocho sectores repartidos entre sus anexos I y II. Ni las listas ni los nombres coinciden, y por eso conviene saber de qué norma habla cada documento. Lo desarrollo en infraestructura crítica, operadores esenciales y NIS2.
Un detalle de la multa que conviene mirar en la fuente
El FAQ NIS2 de INCIBE formula la sanción de dos maneras distintas en dos respuestas diferentes. En la respuesta sobre sanciones la cita casi literalmente de la directiva: «Un máximo de, al menos, 10.000.000 euros o hasta el 2 % del volumen de negocios total anual a escala mundial… optándose por la de mayor cuantía», y «Un máximo de, al menos, 7.000.000 euros o el 1,4 %» para las entidades importantes. En otra respuesta la resume como «sanciones administrativas de hasta 10 millones de euros o de un máximo del 2 %».
No son lo mismo. El artículo 34.4 de la Directiva (UE) 2022/2555 fija un suelo para el techo que cada Estado debe establecer, no un tope. Cuando dos formulaciones de la misma fuente no coinciden, la que manda es la del texto de la norma. La diferencia y sus consecuencias están en la guía de NIS2 para pymes.
Lo que no vas a encontrar en INCIBE
Tres huecos, medidos el 10 de septiembre de 2026 sobre sus propias páginas.
El primero es el estado de la transposición. El artículo «Cumpliendo con la NIS2» sigue diciendo que las directivas NIS2 y CER «han de trasponerse antes del 17 de octubre de 2024», que era cierto cuando se publicó en abril de 2024 y hoy deja al lector sin saber qué pasó después. Lo que pasó es que España no lo hizo y que el 8 de julio de 2026 la Comisión Europea anunció que la lleva ante el Tribunal de Justicia de la Unión Europea. Lo sigo en el estado de la ley española que transpondrá NIS2.
El segundo es la lista de entidades afectadas. El propio INCIBE lo dice: «Para saber los sectores, subsectores y actividades concretas que se verán afectadas tendremos que esperar a la trasposición, ya que esta podría ampliar el ámbito indicado en la directiva». Nadie puede darte esa lista todavía, ni INCIBE ni una consultora.
El tercero es la fecha de revisión visible. Ninguna de las tres páginas de contenido muestra cuándo se revisó por última vez, salvo la fecha de publicación del artículo de 2024. En una norma que ha cambiado de estado varias veces desde entonces, eso obliga a contrastar cada dato con la directiva.
Cómo usar todo esto sin perder la tarde
El orden que funciona: empezar por el FAQ NIS2 para la duda concreta, ir al texto de la directiva en el BOE cuando la respuesta implique una cifra o un plazo, y reservar el artículo de servicios para cuando ya sepas qué medida tienes que montar. La guía divulgativa sirve de entrada y poco más. Si lo que necesitas es situarte, la herramienta gratuita para saber si eres entidad esencial o importante te deja en la casilla correcta antes de leer nada.
Preguntas frecuentes
¿INCIBE es la autoridad competente de NIS2 en España?
No, y no puede serlo todavía. La autoridad competente y el régimen sancionador los tiene que designar la ley de transposición, que a 10 de septiembre de 2026 no está publicada en el BOE. Lo que sí está en vigor es el papel de INCIBE-CERT como equipo de respuesta de referencia del sector privado, que le da el artículo 11 del Real Decreto-ley 12/2018.
¿Los servicios de INCIBE para empresas son gratuitos?
Sí. Su propio artículo de recursos para la pyme lo dice: «Todos los servicios son gratuitos, pero para acceder a algunos tendrás que firmar previamente un acuerdo de confidencialidad o NDA».
¿Puedo notificar un incidente a INCIBE si no soy operador de servicios esenciales?
Sí. El Real Decreto-ley 12/2018 designa al INCIBE-CERT equipo de respuesta de referencia también para los ciudadanos y las entidades de derecho privado que no entran en ninguna de las categorías anteriores. El canal de entrada general es la Línea de Ayuda en Ciberseguridad, el 017.
¿Qué es el 017?
Es el número de la Línea de Ayuda en Ciberseguridad de INCIBE, que su propia web describe como «servicio nacional, gratuito, confidencial y personalizado». Tiene además canales de mensajería en WhatsApp y Telegram y un formulario web con opción de usuario de empresa o profesional.
¿INCIBE certifica el cumplimiento de NIS2?
No. No existe una certificación oficial de cumplimiento de NIS2, ni la emite INCIBE ni ningún otro organismo español. El artículo 24.1 de la directiva deja en manos de cada Estado la facultad de exigir productos certificados por esquemas europeos, y España no ha ejercido esa facultad porque no ha aprobado la norma.
¿Dónde está la información de INCIBE por sectores?
En el espacio «Sectores estratégicos» del INCIBE-CERT, donde publica noticias, artículos y avisos específicos por sector, y donde vive también el FAQ NIS2.
Fuentes oficiales
Autoría: Ángel Ortega Castro · consultor independiente en estrategia, calidad y digitalización para PYMEs.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.