Infraestructura crítica, operadores esenciales y NIS2 en España

En España conviven tres etiquetas legales distintas: «operador crítico» (Ley 8/2011), «operador de servicios esenciales» (Real Decreto-ley 12/2018) y «entidad esencial o importante» (Directiva NIS2). Solo las dos primeras están hoy en el BOE.

En corto: tres etiquetas que no son sinónimos

Cuando una empresa lee que «las infraestructuras críticas tienen que cumplir NIS2», está juntando dos regímenes que nacieron por separado y que en España todavía no se han encontrado. Uno protege instalaciones desde 2011. El otro impone medidas de ciberseguridad y notificación de incidentes, y su versión actual no ha llegado al BOE.

Separarlos importa por una razón práctica: la etiqueta decide qué te exigen, quién te lo exige y qué te pueden multar. Un mismo hospital o un mismo proveedor de servicios en la nube puede estar en una lista, en dos o en ninguna.

¿Qué es una infraestructura crítica en España?

Lo dice el artículo 2 de la Ley 8/2011, de 28 de abril, con estas palabras: infraestructuras críticas son «las infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales». La misma norma define «infraestructuras estratégicas» como las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre los que descansa el funcionamiento de los servicios esenciales, y llama «operadores críticos» a las entidades responsables de las inversiones o del funcionamiento diario de una infraestructura designada como crítica.

Dos matices que casi nadie cuenta. El primero: la designación no la elige la empresa, se la designan. El segundo: la propia ley define «infraestructuras críticas europeas» remitiéndose a la Directiva 2008/114/CE, una directiva que la Directiva (UE) 2022/2557 derogó con efecto desde el 18 de octubre de 2024. La definición española sigue apuntando a una norma europea que ya no está en vigor, porque España tampoco ha transpuesto la directiva que la sustituye.

Los doce sectores estratégicos de la Ley 8/2011

El anexo de la ley enumera los sectores estratégicos y asigna a cada uno los ministerios y organismos competentes. Los sectores son: Administración, Espacio, Industria nuclear, Industria química, Instalaciones de investigación, Agua, Energía, Salud, Tecnologías de la Información y las Comunicaciones, Transporte, Alimentación, y Sistema financiero y tributario. Son doce. Los nombres de los ministerios que figuran en ese anexo son los de 2011 y varios de esos departamentos ya no existen con esa denominación, así que conviene comprobar la competencia actual antes de dirigirse a nadie.

El reglamento de desarrollo es el Real Decreto 704/2011.

¿Qué es un operador de servicios esenciales?

Es la figura del Real Decreto-ley 12/2018, de 7 de septiembre, la norma que transpuso la primera directiva europea de seguridad de las redes y sistemas de información, y de su reglamento de desarrollo, el Real Decreto 43/2021. Este es el marco que hoy está en el BOE y el que hoy puede sancionarte. Su artículo 11 designa los equipos de respuesta de referencia: el CCN-CERT para las entidades del sector público y el INCIBE-CERT «en el resto de los casos», es decir, para la empresa privada. La misma norma añade que el INCIBE-CERT «será operado conjuntamente por el INCIBE y el CNPIC en todo lo que se refiera a la gestión de incidentes que afecten a los operadores críticos», que es el punto exacto donde los dos regímenes se tocan.

Entidad esencial y entidad importante: las categorías de NIS2

La Directiva (UE) 2022/2555 usa un vocabulario propio. Su artículo 2.1 fija el ámbito general: entidades de alguno de los tipos de sus anexos I o II que sean medianas empresas o mayores, según la Recomendación 2003/361/CE. El anexo I, «Sectores de alta criticidad», recoge once sectores: energía, transporte, banca, infraestructuras de los mercados financieros, sector sanitario, agua potable, aguas residuales, infraestructura digital, gestión de servicios de TIC de empresa a empresa, entidades de la Administración pública y espacio. El anexo II, «Otros sectores críticos», recoge siete: servicios postales y de mensajería, gestión de residuos, sustancias y mezclas químicas, alimentación, fabricación, proveedores de servicios digitales e investigación. Dieciocho en total.

Sobre esa base, el artículo 3.1 lista quién es entidad esencial: los tipos del anexo I que superan los límites de la mediana empresa, los prestadores cualificados de servicios de confianza y los registros de dominios de primer nivel con independencia de su tamaño, los proveedores de redes o servicios de comunicaciones electrónicas de tamaño mediano, la Administración central, y las entidades que el Estado identifique como esenciales. El artículo 3.2 resuelve el resto por descarte: entidad importante es toda entidad de los anexos I o II que no llegue a esencial. Si quieres situarte sin leer los anexos enteros, la herramienta gratuita para saber si eres entidad esencial o importante hace ese recorrido en unos minutos.

Las tres etiquetas, comparadas

¿Una infraestructura crítica es automáticamente entidad esencial de NIS2?

No de forma automática por serlo bajo la ley española, pero sí por la vía europea. El artículo 2.3 de NIS2 dice que la directiva se aplica, «independientemente de su tamaño», a las entidades que se identifiquen como entidades críticas con arreglo a la Directiva (UE) 2022/2557. Y el artículo 3.1.f) las coloca directamente en la categoría de entidades esenciales. La consecuencia práctica es que el día que España transponga las dos directivas, quien quede designado entidad crítica entra en NIS2 aunque sea una empresa pequeña. Hoy esa cadena está rota por los dos extremos, porque ninguna de las dos directivas tiene norma española que las aplique.

Lo que ya te obliga aunque España no haya transpuesto NIS2

Aquí está el punto que casi ninguna guía cuenta. Una directiva necesita ley nacional, pero un reglamento europeo no. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión, de 17 de octubre de 2024 (DO L, serie L, 2024/2690, de 18 de octubre de 2024) establece los requisitos técnicos y metodológicos de las medidas del artículo 21.2 de NIS2 y detalla cuándo un incidente se considera significativo. Su artículo 16 lo dice sin rodeos: «El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro».

No alcanza a todo el mundo. Su artículo 1 acota las «entidades pertinentes»: proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, proveedores de servicios de computación en nube, proveedores de servicios de centros de datos, proveedores de redes de distribución de contenidos, proveedores de servicios gestionados, proveedores de servicios de seguridad gestionados, proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de redes sociales, y prestadores de servicios de confianza. Si tu empresa es una de esas, el detalle técnico de las diez medidas del artículo 21 ya está escrito en el anexo de ese reglamento, y no depende de que el legislador español se ponga.

¿Qué pasó con la NIS original?

La primera directiva fue la Directiva (UE) 2016/1148, conocida simplemente como NIS. España la transpuso con el Real Decreto-ley 12/2018 y la desarrolló con el Real Decreto 43/2021. NIS2 la sustituye y amplía los sectores cubiertos, pero mientras no haya ley española, lo que se aplica en España sigue siendo el desarrollo de la primera. Por eso una búsqueda de «nis» y una de «nis2» llevan a marcos distintos: la primera describe lo que hoy está vigente aquí y la segunda lo que va a estarlo.

Las multas que hoy sí se pueden imponer en España

Las del Real Decreto-ley 12/2018, que sí tiene régimen sancionador. Su artículo 37.1 gradúa las infracciones muy graves entre 500.001 y 1.000.000 de euros, las graves entre 100.001 y 500.000 euros, y las leves en amonestación o multa de hasta 100.000 euros. Entre las infracciones graves del artículo 36 están no someterse a una auditoría ordenada por la autoridad competente y la falta de notificación de incidentes. Las cifras de NIS2, que su artículo 34.4 formula como «de un máximo de, al menos, 10 000 000 EUR o… el 2 % del volumen de negocios anual total a nivel mundial… optándose por la de mayor cuantía», todavía no son exigibles en España: el artículo 36 de la directiva deja el régimen de sanciones en manos de cada Estado miembro, y el nuestro no lo ha aprobado. Lo cuento con más detalle en la guía de NIS2 para pymes españolas y sigo aparte el estado de la ley que la transpondrá.

La otra directiva que tampoco está transpuesta

La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas, se publicó el 27 de diciembre de 2022 y entró en vigor el 16 de enero de 2023. Su artículo 26 fijaba el 17 de octubre de 2024 como fecha límite para adoptar y publicar las disposiciones nacionales, el mismo día que NIS2, y su artículo 27 derogó la Directiva 2008/114/CE con efecto desde el 18 de octubre de 2024. Es la pieza que debería relevar a la Ley 8/2011 y ampliar su alcance más allá de la protección física.

Comprobado el 10 de septiembre de 2026 en el buscador de legislación del BOE: las únicas normas españolas cuyo título contiene «infraestructuras críticas» siguen siendo la Ley 8/2011 y el Real Decreto 704/2011, y no aparece ninguna norma española posterior a 2024 con «ciberseguridad» en el título. Esta afirmación descansa en no haber encontrado algo, no en haberlo encontrado, y así hay que tomarla.

Qué hacer si crees que estás dentro

El orden que funciona va de fuera hacia dentro. Primero, comprobar si alguien te ha designado formalmente algo: la designación como operador crítico llega por resolución, no por deducción. Segundo, mirar si tu tipo de actividad aparece en los anexos I o II de NIS2 y si superas el umbral de mediana empresa, porque eso anticipa lo que te va a caer. Tercero, si prestas servicios digitales de los once tipos del Reglamento (UE) 2024/2690, empezar por su anexo, que ya es exigible. Cuarto, si vendes a una entidad que sí estará dentro, prepararte para que te lo pregunte antes de que exista la ley española: la letra d) del artículo 21.2 obliga a esa entidad a mirar la seguridad de sus proveedores directos.

Y si tu organización presta servicios a la Administración, el marco que te van a exigir en el pliego no es NIS2 sino el Esquema Nacional de Seguridad. Cómo encajan los dos lo explico en ENS y NIS2 en la misma empresa.

Preguntas frecuentes

¿Cuántos sectores cubre NIS2?

Dieciocho: once en el anexo I, «Sectores de alta criticidad», y siete en el anexo II, «Otros sectores críticos». El recuento sale de los propios anexos de la Directiva (UE) 2022/2555.

¿Mi empresa es infraestructura crítica solo por ser grande?

No. La condición de infraestructura crítica se designa conforme a la Ley 8/2011 y a su reglamento, y depende de que la instalación sea indispensable y no admita soluciones alternativas para un servicio esencial. El tamaño de la empresa es un criterio de NIS2, no de la ley de infraestructuras críticas.

¿Puedo ser entidad importante de NIS2 sin ser infraestructura crítica?

Sí, y es el caso más común. La categoría de entidad importante del artículo 3.2 de NIS2 se alcanza por pertenecer a uno de los tipos de los anexos I o II sin llegar a esencial, sin ninguna designación previa de infraestructura crítica.

¿Quién es mi CSIRT de referencia si soy una empresa privada?

El INCIBE-CERT. El artículo 11 del Real Decreto-ley 12/2018 le asigna la comunidad de referencia formada por las entidades no incluidas en el ámbito de la Ley 40/2015, y lo designa además equipo de respuesta de referencia para los ciudadanos y las entidades de derecho privado.

¿El Reglamento (UE) 2024/2690 me obliga si soy una empresa industrial?

No. Su artículo 1 acota su ámbito a once tipos de entidades digitales y a los prestadores de servicios de confianza. Una empresa industrial queda fuera de ese reglamento, aunque pueda estar dentro del anexo II de NIS2 por el sector de fabricación.

¿Cuándo tendrá España la ley de NIS2?

No hay fecha publicada. Lo comprobable a 10 de septiembre de 2026 es que el plazo terminó el 17 de octubre de 2024, que la Comisión Europea envió carta de emplazamiento el 28 de noviembre de 2024 y dictamen motivado el 7 de mayo de 2025, y que el 8 de julio de 2026 anunció la remisión de España al Tribunal de Justicia de la Unión Europea.

Fuentes oficiales

Autoría: Ángel Ortega Castro · consultor independiente en estrategia, calidad y digitalización para PYMEs.