16 de septiembre de 2026

NIS2 en España: lo que te van a exigir tus clientes antes de que llegue la ley

Si eres proveedor de un hospital o de una eléctrica, cuenta con que el próximo contrato te pregunte cuánto tardas en avisar de un incidente y qué haces con sus datos cuando termina la relación. Esas preguntas salen de NIS2, la directiva europea de ciberseguridad, y llegan antes que la ley española que debería aplicarla.

La ley española sigue sin publicarse y Bruselas ya ha ido al TJUE

El plazo para trasponer NIS2 venció el 17 de octubre de 2024. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea un Centro Nacional de Ciberseguridad adscrito a la Presidencia del Gobierno como autoridad nacional única. A mediados de septiembre de 2026, el texto sigue sin publicarse en el BOE.

El 8 de julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE junto a otros tres Estados miembros. Reclama una suma a tanto alzado y multas diarias hasta que España notifique la trasposición completa. Mientras tanto sigue en vigor el Real Decreto-ley 12/2018, que adaptó la primera directiva NIS.

NIS2 cubre 18 sectores críticos, entre ellos la sanidad y la energía, y se aplica con carácter general a las medianas y grandes empresas de esos sectores. Si tu empresa es pequeña o trabaja en otro sector, la obligación te llega por otra vía.

Por qué la obligación te llega por contrato

El artículo 21 de NIS2 obliga a las empresas afectadas a gestionar la seguridad de su cadena de suministro. El apartado 3 concreta el alcance. Cada empresa debe valorar las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro.

Con NIS2 pasa lo mismo. Tu cliente es el que responde ante el supervisor y te traslada esa exigencia a través de cuestionarios y cláusulas contractuales. En el blog ya advertimos de que las pymes que trabajan para sectores críticos iban a recibir peticiones de garantías. Esas peticiones se concretan en forma.

Las ocho cláusulas que ya aparecen en los contratos

Para los proveedores digitales, Bruselas ya ha escrito la lista. El Reglamento de Ejecución (UE) 2024/2690 desarrolla NIS2 para los proveedores de nube y de centros de datos, entre otros.

El Reglamento 2024/2690 es obligatorio y directamente aplicable en todos los Estados miembros, sin esperar a ninguna ley nacional.

Su anexo enumera los ocho elementos que esos proveedores deben fijar en los contratos con sus propios proveedores. Aunque tu cliente sea de otro sector, es la referencia de lo que te va a pedir:

Requisitos de ciberseguridad para tu servicio, incluidos los de compra de productos y servicios TIC.
Formación y certificados de tu personal cuando el servicio lo requiera.
Verificación de antecedentes de los empleados que trabajen para el cliente.
Aviso de incidentes sin demora indebida cuando afecten a sus sistemas.
Derecho de auditoría o, como mínimo, acceso a tus informes de auditoría.
Gestión de las vulnerabilidades que supongan un riesgo para el cliente.
Reglas de subcontratación, con los mismos requisitos de seguridad para tus subcontratistas.
Obligaciones al terminar el contrato, como devolver y borrar la información del cliente.

Si tu cliente es una administración pública, el marco es el Esquema Nacional de Seguridad. Los pliegos deben exigir que los sistemas del adjudicatario cumplan el ENS, y tú lo acreditas con una declaración o una certificación de conformidad según la categoría del sistema.

Este es el ENS de acens.

Cómo llegar preparado al cuestionario de tu cliente

La prueba con más peso es una certificación reconocida. ISO 27001 sirve para acreditar el sistema de gestión de la seguridad de la información, y el ENS es el sello que pide el sector público. En acens disponemos desde hace más dos décadas de la certificación ISO 27001.

Prepara también un procedimiento de aviso de incidentes con un responsable y plazos cerrados. NIS2 pide a las empresas afectadas una alerta temprana en 24 horas y la notificación del incidente en 72, así que tu cliente necesita saberlo por ti antes.

Para las copias de seguridad, el reglamento pide a los proveedores digitales guardarlas fuera de la red del sistema y probar su recuperación con regularidad. Cloud Backup Servidores y VMs mantiene las copias fuera de tu infraestructura, y un servicio de recuperación ante desastres ayuda a sostener el plan de continuidad que el artículo 21 también exige.

El CCN publica en su web las certificaciones de conformidad con el ENS de las empresas privadas. Tu cliente puede comprobar la tuya, y la de tu proveedor cloud, sin pedirte ningún documento.