NIS2 en España: qué pymes están obligadas y qué exige antes de octubre de 2026NIS2 in Spain: which SMEs are required to comply, and what's needed before October 2026
España perdió el plazo original de transposición y la Comisión Europea lo está vigilando de cerca. Esto es lo que dice la normativa hoy, sin adornos, y qué evidencia técnica espera ver un auditor.
Spain missed the original transposition deadline and the European Commission is watching closely. Here's what the rules actually say today, plainly, and what technical evidence an auditor expects to see.
NIS2 lleva meses generando titulares confusos — unos dicen que ya es obligatoria, otros que aún no. La realidad, sin adornos: España transpuso la directiva de forma parcial mediante el Real Decreto-ley 7/2025, y sigue en tramitación parlamentaria la ley que completará la transposición. El horizonte de exigencia plena de cumplimiento se sitúa en torno a octubre de 2026.
¿Mi empresa está obligada?
Como regla general, aplica a organizaciones con 50 o más empleados o más de 10 millones de euros de facturación anual, si operan en uno de los sectores considerados esenciales o importantes: energía, transporte, sanidad, banca, infraestructura digital, administración pública, gestión de residuos, alimentación, fabricación, servicios digitales y varios más. Muchas pymes que nunca se habían visto como "críticas" entran dentro del radar por primera vez.
Las sanciones no son simbólicas
Las entidades esenciales se enfrentan a multas de hasta 10 millones de euros o el 2% de la facturación mundial; las importantes, hasta 7 millones o el 1,4%. Y hay un matiz que suele sorprender: los consejos de administración y los CEO pueden ser sancionados personalmente, e incluso inhabilitados temporalmente, si se demuestra negligencia en el cumplimiento.
Qué exige en la práctica
Más allá del papeleo, NIS2 obliga a medidas técnicas concretas: gestión de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, y — el punto que conecta directamente con lo que hacemos — copias de seguridad cifradas y planes de recuperación.
Lo que un auditor de verdad quiere ver
Tener backups cifrados no basta si no puedes demostrar que funcionan y que no se han manipulado. Un auditor NIS2 espera ver evidencia verificable: registros de auditoría con integridad demostrable, capacidad de probar cuándo se generó un backup y que no ha cambiado desde entonces, y — cada vez más — que la protección aguanta frente a amenazas futuras, no solo las de hoy.
TitanVault nació precisamente para esto: cifra los backups con criptografía resistente a ordenadores cuánticos (para que sigan protegidos incluso si alguien los roba hoy y los guarda para descifrarlos dentro de años — la estrategia conocida como "harvest now, decrypt later"), y genera un registro de auditoría a prueba de manipulación que un auditor puede verificar de forma independiente, no solo confiar en tu palabra.
Preguntas frecuentes
¿Qué empresas están obligadas por NIS2?
Organizaciones con 50+ empleados o 10M€+ de facturación en sectores esenciales o importantes.
¿Cuál es el plazo real?
Transposición parcial vía RD-ley 7/2025; horizonte de exigencia plena en torno a octubre de 2026.
¿Qué sanciones hay?
Hasta 10M€ o 2% de facturación (esenciales); hasta 7M€ o 1,4% (importantes); posible sanción personal a consejo/CEO.
¿Qué evidencia técnica espera un auditor?
Backups cifrados verificables, registros de auditoría con integridad demostrable, y prueba de cuándo se generó cada evidencia.
NIS2 has generated confusing headlines for months — some say it's already mandatory, others that it isn't yet. The plain reality: Spain transposed the directive partially via Royal Decree-Law 7/2025, with the law completing transposition still in parliamentary process. Full compliance is expected to be enforceable around October 2026.
Is my company required to comply?
As a general rule, it applies to organizations with 50+ employees or more than €10M in annual revenue, operating in a sector considered essential or important: energy, transport, healthcare, banking, digital infrastructure, public administration, waste management, food, manufacturing, digital services and more.
The fines aren't symbolic
Essential entities face fines up to €10 million or 2% of global turnover; important entities, up to €7M or 1.4%. And boards/CEOs can be personally sanctioned, even temporarily barred, if negligence is proven.
What it actually requires
Beyond paperwork, NIS2 mandates concrete technical measures: risk management, incident handling, business continuity, supply chain security, and — directly relevant here — encrypted backups and recovery plans.
What an auditor actually wants to see
Having encrypted backups isn't enough if you can't prove they work and haven't been tampered with. TitanVault was built for exactly this: it encrypts backups with quantum-resistant cryptography, and generates a tamper-evident audit log an auditor can verify independently.
FAQ
Which companies must comply with NIS2?
Organizations with 50+ employees or €10M+ revenue in essential/important sectors.
What's the real deadline?
Partial transposition via RD-ley 7/2025; full enforcement expected around October 2026.
What are the penalties?
Up to €10M or 2% turnover (essential); up to €7M or 1.4% (important); possible personal liability for boards/CEOs.
What technical evidence does an auditor expect?
Verifiable encrypted backups, tamper-evident audit logs, and proof of when evidence was generated.