NIS2 vs NIS1: Qué Cambia Entre la Directiva Original y su Sucesora Para las Empresas Españolas
La Directiva NIS2 —Directiva (UE) 2022/2555, del 14 de diciembre de 2022— deroga formalmente la Directiva NIS1 original, la Directiva (UE) 2016/1148 de 6 de julio de 2016. No es una actualización menor: NIS2 multiplica por más de dos el número de sectores cubiertos, sustituye la discrecionalidad de cada Estado miembro por criterios de tamaño objetivos, introduce responsabilidad personal de la dirección y endurece drásticamente el régimen sancionador. Esta guía compara ambas directivas artículo por artículo y explica en qué punto se encuentra España en su transposición.
EN RESUMEN: NIS1 (2016) cubría 7 sectores y dejaba a cada Estado miembro la discrecionalidad de decidir qué empresas eran "operadores de servicios esenciales". NIS2 (2022) amplía la cobertura a 18 sectores, fija criterios de tamaño objetivos, crea responsabilidad directa de los órganos de dirección y multiplica las sanciones máximas. NIS2 entró en vigor el 16 de enero de 2023 y NIS1 quedó derogada el 18 de octubre de 2024, pero la ley española de transposición sigue en tramitación a fecha de esta guía.
¿Por qué la UE sustituyó la NIS1 por la NIS2?
La Directiva NIS1 (Directiva (UE) 2016/1148) fue la primera legislación europea horizontal en materia de ciberseguridad, pero su aplicación reveló limitaciones estructurales: cada Estado miembro definía sus propios criterios para identificar "operadores de servicios esenciales", lo que generó una fragmentación notable dentro del mercado único —una misma empresa podía estar obligada en un país y no en otro—, además de una cobertura sectorial reducida a solo siete sectores y mecanismos de supervisión y sanción demasiado débiles para incentivar el cumplimiento real.
El Parlamento Europeo y el Consejo adoptaron la Directiva NIS2 el 14 de diciembre de 2022, con entrada en vigor el 16 de enero de 2023. El plazo de transposición nacional para los Estados miembros vencía el 17 de octubre de 2024, y la propia NIS2 establece en su artículo 40 la derogación de NIS1 con efectos desde el 18 de octubre de 2024. A nivel de Unión Europea, por tanto, NIS1 ya no está vigente: ha sido sustituida en bloque por NIS2.
Diferencia 1: alcance sectorial — de 7 a 18 sectores
NIS1 limitaba los "operadores de servicios esenciales" a siete sectores: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, suministro y distribución de agua potable, e infraestructura digital. Los "proveedores de servicios digitales" (mercados en línea, motores de búsqueda y servicios de computación en la nube) tenían un régimen más ligero y separado.
NIS2 divide los sectores en dos anexos: el Anexo I, "sectores de alta criticidad" (11 sectores), y el Anexo II, "otros sectores críticos" (7 sectores), sumando un total de 18 sectores. Se incorporan, entre otros, fabricación, producción de alimentos, gestión de residuos, servicios postales y de mensajería, administración pública y espacio —sectores que bajo NIS1 quedaban completamente fuera del ámbito de aplicación.
| Aspecto | NIS1 (Directiva 2016/1148) | NIS2 (Directiva 2022/2555) |
|---|---|---|
| Sectores cubiertos | 7 sectores | 18 sectores (Anexo I + II) |
| Criterio de identificación | Discrecional por Estado miembro | Criterio de tamaño objetivo (Art. 2) |
| Categorías de entidad | OSE + proveedores digitales | Esenciales + importantes (Art. 3) |
| Responsabilidad de dirección | No explícita | Aprobación y formación obligatoria (Art. 20) |
| Notificación de incidentes | Sin plazo armonizado | 24h alerta + 72h notificación + 1 mes informe (Art. 23) |
| Sanción máxima | Definida por cada Estado miembro | Hasta €10M o 2% facturación global (Art. 34) |
| Entidades en el ámbito de aplicación (UE) | ~15.000 | ~160.000 |
Diferencia 2: dos categorías de entidad con supervisión distinta
NIS1 diferenciaba entre "operadores de servicios esenciales" —identificados de forma discrecional por cada Estado miembro— y "proveedores de servicios digitales", con requisitos más ligeros. NIS2 sustituye esta lógica por una clasificación uniforme en toda la UE, definida en el artículo 3: entidades esenciales y entidades importantes.
La diferencia práctica más relevante entre ambas categorías no está tanto en las obligaciones de fondo —la gestión de riesgos (Art. 21) y la notificación de incidentes (Art. 23) son en gran medida iguales para ambas— sino en el modelo de supervisión: las entidades esenciales están sujetas a supervisión proactiva (ex ante), con auditorías e inspecciones periódicas y no anunciadas, mientras que las entidades importantes están sujetas a supervisión mayoritariamente reactiva (ex post), que se activa tras un incidente o una denuncia. Este modelo de doble vía de supervisión no existía bajo NIS1.
Diferencia 3: responsabilidad explícita de los órganos de dirección
NIS1 no imponía ninguna obligación directa sobre los consejos de administración o la dirección ejecutiva: la responsabilidad de cumplimiento recaía sobre la organización como persona jurídica, sin atribución personal. El artículo 20 de NIS2 cambia radicalmente este enfoque: los órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación, y pueden ser considerados responsables por incumplimientos graves. El artículo 20.2 exige además que los miembros de los órganos de dirección reciban formación periódica en ciberseguridad.
Diferencia 4: notificación de incidentes en tres fases
NIS1 exigía notificar incidentes "sin demora indebida", una fórmula ambigua que cada Estado miembro interpretaba de forma distinta. El artículo 23 de NIS2 introduce un procedimiento de notificación escalonado y armonizado en toda la UE:
Calendario de notificación bajo NIS2 (Art. 23)
- 24 horas — Alerta temprana: notificación inicial de que se ha producido un incidente significativo, indicando si se sospecha origen ilícito o transfronterizo. No requiere análisis completo.
- 72 horas — Notificación del incidente: evaluación inicial, gravedad e impacto del incidente, e indicadores de compromiso si están disponibles.
- 1 mes — Informe final: descripción detallada del incidente, gravedad, causa raíz, medidas de mitigación aplicadas e impacto transfronterizo si procede.
Diferencia 5: régimen sancionador mucho más severo
Bajo NIS1, cada Estado miembro fijaba sus propias sanciones, sin ningún techo común a escala europea, lo que generaba una dispersión considerable. El artículo 34 de NIS2 armoniza este régimen: las entidades esenciales se enfrentan a multas de hasta 10 millones de euros o el 2% de la facturación anual global (lo que sea mayor); las entidades importantes, a multas de hasta 7 millones de euros o el 1,4% de la facturación anual global. Estos importes son comparables a los del RGPD, lo que refleja la intención del legislador europeo de dar a la ciberseguridad el mismo peso normativo que ya tiene la protección de datos.
Diferencia 6: gestión de riesgos de la cadena de suministro
NIS1 no contemplaba de forma explícita los riesgos derivados de proveedores y subcontratistas. El artículo 21.2.d de NIS2 introduce la obligación expresa de evaluar y gestionar los riesgos de ciberseguridad asociados a la cadena de suministro y a las relaciones con proveedores, incluyendo la calidad de las prácticas de desarrollo seguro de los proveedores de software.
¿En qué punto está España en la transposición de NIS2?
Situación de la transposición española (importante, léase con atención)
A nivel de la Unión Europea, NIS2 ya está en vigor y NIS1 ya está derogada: eso es un hecho jurídico consumado desde el 18 de octubre de 2024. Sin embargo, España no ha completado todavía su ley nacional de transposición. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros el 14 de enero de 2025, pero a fecha de esta guía sigue en tramitación parlamentaria y no ha sido publicado en el BOE como ley definitiva.
La Comisión Europea ha remitido a España sendos avisos formales por incumplir el plazo de transposición: un dictamen motivado en mayo de 2025 y un segundo requerimiento formal en mayo de 2026. Esto significa que, mientras la ley española esté pendiente de aprobación definitiva, las empresas españolas deben planificar su cumplimiento tomando como referencia el texto de la Directiva (UE) 2022/2555 directamente, sin que exista todavía un régimen sancionador nacional propio y definitivo publicado.
Esta situación no exime a las empresas de prepararse: los criterios de sectores, tamaño, medidas de seguridad y plazos de notificación de la propia Directiva NIS2 ya son conocidos y estables, y la ley nacional española, cuando se apruebe, se articulará sobre ese mismo marco. Esperar a la publicación definitiva en el BOE antes de empezar a implementar las medidas del artículo 21 es una estrategia de alto riesgo dado el historial de retraso ya acumulado.
¿Tu empresa ya sabe si es entidad esencial o importante bajo NIS2?
IgeraRegTech identifica tus obligaciones concretas según sector, tamaño y anexo aplicable, citando siempre el artículo exacto de la Directiva 2022/2555
Prueba gratis 14 díasEn resumen: NIS2 vs NIS1
- NIS1 (Directiva 2016/1148) cubría 7 sectores; NIS2 (Directiva 2022/2555) cubre 18, divididos en Anexo I y Anexo II
- NIS1 dejaba la identificación de operadores esenciales a la discrecionalidad de cada Estado; NIS2 fija criterios de tamaño objetivos en el Art. 2
- NIS2 crea dos categorías uniformes: entidades esenciales y entidades importantes (Art. 3), con supervisión ex ante vs ex post
- NIS2 impone responsabilidad directa y formación obligatoria a los órganos de dirección (Art. 20), ausente en NIS1
- NIS2 establece plazos de notificación armonizados: 24h alerta, 72h notificación, 1 mes informe final (Art. 23)
- Las sanciones bajo NIS2 llegan hasta €10M o el 2% de facturación global (Art. 34), muy por encima de lo que preveía NIS1
- NIS2 entró en vigor el 16 de enero de 2023; NIS1 quedó derogada el 18 de octubre de 2024 (Art. 40 NIS2)
- España aún no ha completado la transposición nacional: el anteproyecto de ley está en tramitación desde enero de 2025, con avisos formales de la Comisión Europea por el retraso
Preguntas frecuentes
¿La NIS1 sigue vigente en algún caso?
No, a nivel de la Unión Europea. El artículo 40 de la Directiva NIS2 deroga expresamente la Directiva NIS1 con efectos desde el 18 de octubre de 2024. Lo que sí puede seguir vigente de forma transitoria son las normativas nacionales de transposición de NIS1 en aquellos Estados que, como España, todavía no han aprobado su ley definitiva de transposición de NIS2 — pero el marco de referencia europeo ya es NIS2, no NIS1.
Si mi empresa ya cumplía con NIS1, ¿está automáticamente al día con NIS2?
No necesariamente. Aunque la empresa ya fuera un "operador de servicios esenciales" bajo NIS1, debe reevaluar su clasificación según los nuevos criterios de tamaño y sector de NIS2, actualizar sus medidas de gestión de riesgos conforme al artículo 21 (más detallado que su equivalente en NIS1) e implementar los nuevos procedimientos de notificación de incidentes en tres fases.
¿Ya existe una ley española de NIS2 en vigor?
No, a fecha de esta guía. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado por el Consejo de Ministros el 14 de enero de 2025, pero sigue en tramitación parlamentaria y no se ha publicado como ley definitiva en el BOE. La Comisión Europea ha enviado a España un dictamen motivado (mayo de 2025) y un segundo requerimiento formal (mayo de 2026) por el retraso en la transposición.
¿Qué diferencia práctica hay entre ser "entidad esencial" y "entidad importante" bajo NIS2?
Las obligaciones de fondo de gestión de riesgos (Art. 21) y notificación de incidentes (Art. 23) son prácticamente idénticas para ambas categorías. La diferencia principal está en el régimen de supervisión: las entidades esenciales están sujetas a supervisión ex ante (auditorías proactivas e inspecciones no anunciadas), mientras que las entidades importantes están sujetas mayoritariamente a supervisión ex post (activada tras un incidente). Las sanciones máximas también difieren: hasta €10M/2% para esenciales frente a €7M/1,4% para importantes.
¿Cuántas empresas entran en el ámbito de NIS2 que no lo estaban bajo NIS1?
A escala de la Unión Europea, se estima que NIS2 lleva a unas 160.000 entidades al ámbito de aplicación, frente a aproximadamente 15.000 bajo NIS1 — un incremento de aproximadamente diez veces, impulsado sobre todo por la ampliación de 7 a 18 sectores y por la sustitución de la discrecionalidad estatal por criterios de tamaño objetivos.
¿Cómo ayuda IgeraRegTech a gestionar la transición de NIS1 a NIS2?
IgeraRegTech indexa el texto completo de la Directiva (UE) 2022/2555 y permite consultar en lenguaje natural si una actividad concreta queda dentro del Anexo I o II, qué plazo de notificación aplica a un incidente específico, y qué medidas del artículo 21 faltan por documentar. Cada respuesta cita el artículo exacto de la normativa aplicable, sin inventar contenido que no esté en la fuente.
Este contenido es informativo y no constituye asesoramiento legal. Consulta con un profesional del derecho o de ciberseguridad para valorar el caso concreto de tu empresa, especialmente mientras la ley española de transposición de NIS2 siga en tramitación. Última actualización: agosto 2026 | Fuentes: Directiva (UE) 2022/2555 (EUR-Lex); Directiva (UE) 2016/1148 (EUR-Lex); Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Consejo de Ministros, 14 enero 2025) | Autor: Equipo IgeraSolutions | IgeraRegTech — prueba gratis 14 días.