NIS2: qué es, a quién obliga y qué tiene que ver con la IA

La NIS2 es la directiva europea de ciberseguridad que aplica a las entidades que gestionan los sectores críticos de la sociedad. Aunque no es una norma de IA, la IA queda dentro de su alcance: forma parte de los sistemas que protege y de la cadena de proveedores que obliga a supervisar.

Qué es

La Directiva (UE) 2022/2555, conocida como NIS2, sustituye a la Directiva NIS de 2016. Al tratarse de una directiva, no se aplica directamente a las empresas: cada Estado miembro debe incorporarla a su ordenamiento interno mediante ley. El plazo venció el 17 de octubre de 2024, con aplicación desde el día siguiente (art. 41).

En España, mientras no se incorpore mediante ley, seguirá vigente el Real Decreto-ley 12/2018, que transpuso la primera NIS.

A quién obliga

La directiva se aplica a las entidades —públicas o privadas— de los sectores enumerados en sus dos anexos que, siendo medianas empresas o de mayor tamaño, presten servicios en la Unión (art. 2.1):

Sectores de alta criticidad (anexo I): energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas (B2B), administración pública y espacio.
Otros sectores críticos (anexo II): servicios postales y de mensajería, gestión de residuos, sustancias químicas, alimentación, fabricación, proveedores de servicios digitales e investigación.

Algunas entidades estratégicas o críticas quedan incluidas sea cual sea su tamaño: proveedores de comunicaciones electrónicas públicas, prestadores de servicios de confianza, registros de dominio de primer nivel y proveedores únicos de servicios esenciales.

Figurar en uno de los sectores de la lista no basta, por sí solo, para saber si una entidad está incluida: hay que valorar su actividad concreta, su tamaño y lo que establezca la ley española de transposición. Una determinación que se hará caso por caso.

Qué pide

En esencia, la directiva exige tres cosas:

Gestionar los riesgos de ciberseguridad mediante medidas técnicas, operativas y organizativas adecuadas y proporcionadas (art. 21). Como mínimo, estas incluyen: políticas de seguridad y análisis de riesgos, gestión de incidentes, continuidad de la actividad, seguridad de la cadena de suministro y de los proveedores, seguridad en la adquisición y el desarrollo de sistemas, ciberhigiene y formación, criptografía, control de accesos y autenticación multifactor.
Notificar los incidentes significativos por fases (art. 23.4): alerta temprana en un plazo de 24 horas, notificación del incidente en 72 horas e informe final en un mes.
Imputar responsabilidades a la dirección: los órganos de dirección deben aprobar las medidas, supervisar su aplicación, formarse en la materia y responder de su incumplimiento (art. 20).

La proporcionalidad de las medidas se gradúa según la exposición de la entidad a los riesgos, su tamaño y la probabilidad y gravedad de los incidentes (art. 21).

Qué es un incidente significativo

La obligación de notificación se refiere únicamente a los incidentes significativos. La directiva los define así (art. 23.3): es significativo el incidente que

ha causado o puede causar graves perturbaciones operativas en los servicios o pérdidas económicas para la entidad, o
ha afectado o puede afectar a otras personas, físicas o jurídicas, ocasionándoles perjuicios materiales o inmateriales considerables.

Un fallo en un sistema de IA puede encuadrarse en cualquiera de los dos supuestos. En cuanto al cómputo del plazo, la alerta temprana de 24 horas empieza a contar desde que la entidad tiene constancia del incidente (art. 23.4.a).

La formación de la dirección

Los miembros de los órganos de dirección están obligados a formarse, y la directiva anima a que las entidades formen también, con carácter periódico, a sus empleados, de modo que sepan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios (art. 20.2). Es la otra cara de su responsabilidad: no se puede aprobar ni supervisar lo que no se entiende.

Qué tiene que ver con la IA

La NIS2 apenas menciona la IA: sus considerandos la citan como una tecnología útil para mejorar la detección de ataques y la seguridad (considerandos 51 y 89). Aun así, la alcanza por varias vías:

Los sistemas de IA forman parte de los sistemas de redes y de información que la entidad tiene la obligación de proteger.
Los proveedores de IA y de servicios en la nube entrarían en la cadena de suministro que hay que supervisar (art. 21.2.d); asimismo, la seguridad exigida en la adquisición de sistemas alcanza a la IA que se compra (art. 21.2.e).
Un mismo incidente puede exigir notificación por varias vías: por la NIS2; por el AI Act, si se trata de un incidente grave en un sistema de alto riesgo (art. 73); y por el RGPD, si concurre una violación de datos personales (arts. 33 y 34).
El AI Act exige a los sistemas de alto riesgo precisión, solidez y ciberseguridad durante todo su ciclo de vida, también frente a ataques propios de la IA (art. 15).

Qué mirar en los proveedores de IA

Al definir las medidas aplicables a la cadena de suministro, cada entidad debe tener en cuenta las vulnerabilidades específicas de cada proveedor y la calidad general de sus productos y de sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro (art. 21.3). En el caso de un proveedor de IA, esto se traduce en preguntas como las siguientes:

Cómo protege el sistema y los datos con los que trabaja, y dónde los trata.
Cómo desarrolla y prueba el sistema, también frente a los ataques propios de la IA.
Cómo y en cuánto tiempo avisa de sus vulnerabilidades y de sus incidentes.
Qué ocurre con el servicio si el proveedor falla o cambia el modelo que hay detrás.

Sanciones y responsabilidad de la dirección

Las leyes nacionales deben prever multas máximas de, al menos, 10 M€ o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y de, al menos, 7 M€ o el 1,4 % para las importantes; en ambos casos se aplicará la cifra mayor (arts. 34.4 y 34.5).

Las entidades esenciales pueden ser objeto de inspecciones y auditorías periódicas; las importantes, solo de supervisión cuando haya indicios de incumplimiento. En las esenciales, cuando las medidas de ejecución fracasan, la autoridad puede llegar a pedir que se prohíba temporalmente el ejercicio de funciones de dirección a su director general o representante legal.

Cómo quede en España dependerá de la ley de transposición.

Mientras llega la ley española

En España sigue aplicándose el Real Decreto-ley 12/2018. Esta normativa obliga a los operadores de servicios esenciales y a algunos proveedores de servicios digitales —como los mercados en línea, los motores de búsqueda y los servicios de computación en la nube— a gestionar los riesgos de seguridad de sus redes y sistemas, y a notificar, a través del CSIRT de referencia, los incidentes con efectos perturbadores significativos.

En el sector público, y en las empresas que le prestan servicios o soluciones, se aplica además el Esquema Nacional de Seguridad.

Si una entidad ya está sujeta a estas normas, en qué medida le afectará la nueva ley, se determina caso por caso.

En el sector financiero: DORA

Para las entidades financieras, la referencia es DORA (Reglamento (UE) 2022/2554), la norma específica de resiliencia digital en la gestión de los riesgos de las TIC y en la notificación de incidentes.

Fuentes, comprobadas en octubre de 2026: Directiva (UE) 2022/2555 (NIS2); Real Decreto-ley 12/2018; Real Decreto 43/2021; Real Decreto 311/2022; Reglamento (UE) 2024/1689; RGPD; DORA. Orientación general, no una determinación jurídica.