Si su organización opera en energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, servicios TIC gestionados, fabricación, alimentación o residuos, es muy probable que NIS2 le aplique como entidad esencial o importante. Y le aplica aunque en España todavía no haya ley.
En España no hay ley todavía. Eso no es una prórroga
El plazo de transposición de la Directiva (UE) 2022/2555 venció el 17 de octubre de 2024. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y sigue sin publicarse en el BOE.
El 9 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por esa falta de transposición, pidiendo una cantidad a tanto alzado y multas coercitivas diarias. La dirección a tomar está decidida; lo único que falta es la fecha del BOE.
Lo que esto significa en la práctica: cuando la ley se publique, los plazos de adecuación contarán desde ese día, no desde que usted empiece. Las organizaciones que lleguen con el análisis de brecha hecho cumplirán; las que empiecen entonces negociarán con el reloj en contra.
Qué le va a exigir
Medidas de gestión de riesgos (art. 21): política de análisis de riesgos, gestión de incidentes, continuidad y copias de seguridad, seguridad de la cadena de suministro, adquisición y desarrollo seguro, evaluación de la eficacia, higiene y formación, criptografía, seguridad de recursos humanos, control de acceso y autenticación multifactor.
Notificación de incidentes con reloj: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
Responsabilidad del órgano de dirección: aprobar las medidas, supervisar su aplicación y formarse. No es delegable en el departamento de TI.
Cadena de suministro: usted responde también del riesgo que entra por sus proveedores.
Sanciones: hasta 10 M€ o el 2 % de la facturación mundial para entidades esenciales y hasta 7 M€ o el 1,4 % para las importantes.
Qué hacemos
Fase 1
Análisis GAP
Medimos la distancia real entre lo que exige la norma y lo que usted tiene hoy, control por control. Sin plantillas genéricas: revisamos evidencias, no declaraciones de intenciones.
Fase 2
Plan de acción
Cada brecha se convierte en una tarea con responsable, esfuerzo estimado y prioridad por riesgo. Usted decide qué hacer primero sabiendo qué le protege más.
Fase 3
Adecuación
Le acompañamos en la ejecución: políticas, procedimientos, controles técnicos y evidencias, hasta que el cumplimiento se sostiene ante un auditor.
Cómo trabajamos
1
¿Le aplica y como qué?
Determinamos si es entidad esencial o importante según sector, tamaño y criterios de aplicación. Es la primera pregunta y muchas organizaciones la responden mal, por exceso o por defecto.
2
Análisis de brecha contra el artículo 21
Recorremos las diez medidas exigidas y las contrastamos con evidencias reales: configuraciones, registros, contratos, actas. El resultado es un mapa de dónde está y dónde tiene que estar.
3
Plan de acción priorizado por riesgo
Cada brecha, con responsable, esfuerzo y prioridad. Lo que más le expone va primero, no lo que más rápido se cierra.
4
Procedimiento de notificación que aguante 24 horas
Un plan que nadie ha probado no sirve para notificar en 24 horas. Dejamos el circuito definido, con roles, plantillas y vía de contacto con la autoridad.
5
Acompañamiento hasta la conformidad
Implantación de lo acordado y revisión periódica del avance, con la documentación de respaldo lista para enseñar.
Qué recibe
Informe de aplicabilidad con la clasificación razonada de su entidad.
Análisis GAP control por control, con nivel de madurez y evidencia asociada.
Plan de acción priorizado, con responsables y esfuerzo estimado.
Procedimiento de notificación de incidentes alineado con los plazos de 24 h, 72 h y un mes.
Informe ejecutivo para el órgano de dirección, que es quien responde.
Cuadro de trazabilidad entre lo que exige la norma y lo que usted ha implantado.
Quién lo ejecuta. El mismo equipo que audita, no un perfil comercial. En gobierno, riesgo y cumplimiento: CISSP, CISM, ISO 27001 Lead Auditor, ENS y Análisis de Riesgos (CCN), DPD/DPO certificado, CCSP y CDPP (ISMS Forum) y PMP (PMI). En la parte técnica: OSCP, CRTO II y eWPTX, con presencia en el Top 1 % de la plataforma Atenea del CCN-CERT. Hemos llevado adecuaciones en exchanges de criptoactivos, universidades y administraciones públicas.
Preguntas que nos hacen
¿Tiene sentido empezar antes de que salga la ley?
Sí, y es la decisión barata. El contenido técnico del artículo 21 no va a cambiar con la transposición: lo que cambiará son plazos, autoridad competente y régimen sancionador. El trabajo de análisis y adecuación se aprovecha íntegro.
Ya tenemos ISO 27001. ¿Nos vale?
Le vale como base y le ahorra buena parte del camino, pero no es equivalente. NIS2 añade obligaciones que la ISO no cubre con ese detalle: los plazos de notificación, la responsabilidad expresa del órgano de dirección y el tratamiento de la cadena de suministro. Reutilizamos lo que ya tiene y trabajamos sobre la diferencia.
¿Nos certifican ustedes en NIS2?
NIS2 no es un esquema de certificación, es una obligación legal supervisada por la autoridad competente. Nosotros le preparamos para responder ante ella y para acreditar lo que ha hecho, que es lo que se le va a pedir.
Somos proveedores de una entidad esencial, no la entidad. ¿Nos afecta?
Sí, por la vía de la cadena de suministro. Sus clientes van a trasladarle requisitos contractuales y a pedirle evidencias. Llegar con ellas preparadas es hoy un argumento comercial.
Sepa en qué punto está antes de que corra el plazo
Media hora con un auditor para revisar si NIS2 le aplica, como qué y cuál sería el alcance razonable de un análisis de brecha. Sin compromiso y sin formularios.
Teléfono: +34 686 250 244 (L-V, 9:00 a 18:00) · Email: info@jaymonsecurity.com
Respondemos en 2 horas dentro del horario laboral.
También le puede interesar
