NIS2: Entidades Esenciales vs Importantes — Lo Que Tu Organización Debe Saber (2026)
La Directiva NIS2 (UE 2022/2555, transpuesta en España por el RDL 3/2025 y en vigor desde octubre de 2024) crea dos niveles de entidades reguladas: Entidades Esenciales (EE) e Entidades Importantes (EI). La distinción es fundamental porque las EE se enfrentan a obligaciones más estrictas, supervisión proactiva y multas de hasta 10 millones de euros o el 2% de la facturación global. Esta guía explica qué nivel se aplica a tu organización y qué debes implementar ahora.
10 M€ o el 2%
"Multa máxima para las Entidades Esenciales bajo NIS2 por no implementar las medidas de gestión de riesgos de ciberseguridad exigidas — la cuantía que resulte mayor."
— Directiva NIS2, art. 34(4), UE 2022/2555
¿Qué es NIS2 y cuándo entró en vigor?
La Directiva UE 2022/2555 (NIS2) fue adoptada el 14 de diciembre de 2022, sustituyendo a la Directiva NIS1 original (2016/1148). NIS2 amplió sustancialmente el alcance de los sectores regulados, introdujo obligaciones más estrictas y estableció una responsabilidad más clara para la alta dirección. Los Estados miembros debían transponer NIS2 al derecho nacional antes del 17 de octubre de 2024.
En España, la transposición se realizó mediante el Real Decreto-Ley 3/2025, que entró en vigor en marzo de 2025. Las autoridades nacionales competentes son el CCN-CERT (para el sector público y las infraestructuras críticas) y el INCIBE-CERT (para el sector privado). En el Reino Unido, tras el Brexit, NIS2 no se aplica directamente; en su lugar, las NIS Regulations 2018 (modificadas por las Network and Information Systems (Amendment) Regulations 2022) constituyen un régimen distinto pero ampliamente comparable, supervisado por el NCSC y la ICO.
Entidades Esenciales vs Entidades Importantes — la distinción clave
NIS2 divide a las organizaciones reguladas en dos categorías. Las Entidades Esenciales (EE) son, por lo general, organizaciones grandes que operan en los sectores más críticos (Anexo I). Las Entidades Importantes (EI) son organizaciones medianas de los sectores del Anexo I, u organizaciones de cualquier tamaño en los sectores de alta criticidad recogidos en el Anexo II. Las consecuencias prácticas de esta clasificación son significativas.
| Criterio | Entidad Esencial (EE) | Entidad Importante (EI) |
|---|---|---|
| Modelo de supervisión | Proactiva — auditorías e inspecciones ex ante | Reactiva — la acción supervisora se activa ante evidencia de incumplimiento |
| Multa máxima | 10 M€ o el 2% de la facturación global | 7 M€ o el 1,4% de la facturación global |
| Plazo de notificación de incidentes | Alerta temprana 24h → notificación 72h → informe final 1 mes | Se aplican los mismos plazos |
| Auditorías | Auditorías periódicas obligatorias por la autoridad nacional | Auditorías solo a petición o ante sospecha de incumplimiento |
| Responsabilidad de la dirección | Responsabilidad personal; formación en ciberseguridad obligatoria | Responsabilidad personal; formación recomendada |
| Medidas de riesgo (art. 21) | Las 10 medidas obligatorias — alcance completo | Las 10 medidas obligatorias — implementación proporcional |
| Requisitos de cadena de suministro | Debe evaluar y vincular contractualmente a los proveedores directos | Debe evaluar a los proveedores directos; se recomienda la vinculación contractual |
| Coordinación transfronteriza | Debe designar un punto de contacto; participación proactiva en EU-CyCLONe | Punto de contacto recomendado; participación reactiva |
¿Qué sectores están cubiertos?
NIS2 utiliza dos anexos para definir el alcance. El Anexo I cubre los sectores de alta criticidad, donde los grandes operadores se clasifican como Entidades Esenciales: Energía (electricidad, calefacción urbana, petróleo, gas, hidrógeno), Transporte (aéreo, ferroviario, marítimo, por carretera), Banca, Infraestructura de los mercados financieros, Sanidad, Agua potable, Aguas residuales, Infraestructura digital (IXP, DNS, registros de TLD, computación en la nube, centros de datos, CDN, servicios de confianza, comunicaciones electrónicas), Gestión de servicios TIC (servicios gestionados, servicios de seguridad gestionados), Espacio y Administración pública.
El Anexo II cubre otros sectores críticos donde las organizaciones se clasifican generalmente como Entidades Importantes con independencia de su tamaño: Servicios postales y de mensajería, Gestión de residuos, Fabricación, producción y distribución de productos químicos, Producción, transformación y distribución de alimentos, Fabricación (dispositivos médicos, ordenadores, equipos eléctricos, maquinaria, vehículos de motor, equipos de transporte), Proveedores digitales (mercados en línea, motores de búsqueda en línea, plataformas de redes sociales) y Organizaciones de investigación.
La regla del umbral de tamaño — y las excepciones críticas
La regla general de tamaño bajo NIS2 es sencilla. En los sectores del Anexo I: las organizaciones que sean grandes empresas (250 empleados o más, o facturación anual superior a 50 M€ y balance anual superior a 43 M€) se clasifican como Entidades Esenciales. Las organizaciones que sean medianas empresas (50-249 empleados) en los mismos sectores se clasifican como Entidades Importantes.
En los sectores del Anexo II: las empresas medianas y grandes se clasifican como Entidades Importantes con independencia del Anexo en el que se encuadren.
EXCEPCIÓN CRÍTICA — siempre Esencial con independencia del tamaño: Determinadas entidades se clasifican automáticamente como Entidades Esenciales con independencia de su número de empleados o facturación. Entre ellas: proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público; prestadores cualificados de servicios de confianza; registros de nombres de dominio de primer nivel (TLD) y proveedores de servicios DNS; proveedores de servicios de computación en la nube, servicios de centros de datos, redes de distribución de contenidos, servicios gestionados y servicios de seguridad gestionados (cuando así lo designe el Estado miembro); operadores de servicios esenciales (OSE) ya designados en virtud de NIS1; entidades identificadas como críticas por un Estado miembro en virtud de otra legislación (p. ej. DORA, Directiva CER); proveedores únicos de un servicio crítico en un Estado miembro; entidades de administración pública de nivel de gobierno central.
¿Qué deben implementar las Entidades Esenciales? Art. 21 NIS2
El artículo 21 de NIS2 establece diez categorías de medidas de gestión de riesgos de ciberseguridad. Tanto las Entidades Esenciales como las Importantes deben implementar las diez, pero se espera que las EE las implementen con un estándar más alto y serán auditadas de forma proactiva para verificar el cumplimiento.
Responsabilidad de la dirección bajo el art. 20 NIS2
El artículo 20 de NIS2 introduce un cambio significativo respecto a NIS1: la alta dirección es personalmente responsable de los incumplimientos de NIS2. Los órganos de gobierno tanto de las Entidades Esenciales como de las Importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación y pueden ser declarados personalmente responsables si la entidad incumple.
¿Realizas el seguimiento de las obligaciones NIS2 en múltiples entidades y jurisdicciones?
IgeraRegTech rastrea tus obligaciones NIS2, los plazos de notificación de incidentes y los requisitos de evidencia — actualizados automáticamente cuando cambia la normativa
Descubre IgeraRegTechÚltima actualización: julio 2026 | Revisado por: Equipo Legal y RegTech de IgeraSolutions | Fuentes: Directiva UE 2022/2555 (NIS2); RDL 3/2025 España; Guía de Implementación NIS2 de ENISA 2024; CCN-CERT | IgeraRegTech — seguimiento automatizado del cumplimiento NIS2.